Как безопасно передать access token ВКонтакте на без использования https?

Question

[redtram1991]

Здравствуйте! Подскажите как лучше всего передать access token Вконтакте веб-серверу из мобильного приложения на android? По нему будет проходить авторизация. Без HTTPS боюсь можно скомпрометировать, а токены вконтакта живут очень долго..
Есть мысль использовать обратимое шифрование. Например, по запросу генерировать ключ, который отдавать пользователю. Запоминать этот ключ в приложении и в базе MySQL в поле key таблицы user. При запросе на авторизацию зашифровывать-расшифровывать его этим ключом, но опять же ключ в открытом виде будет лететь по HTTP.

Answer 1

[Rsa97]

Лучше всего, конечно, поднять HTTPS. Но если с этим проблем, то можно использовать асимметричный ключ.
Сервер генерирует пару ключей RSA, пересылает открытый ключ клиенту, запоминает закрытый ключ у себя. Клиент шифрует информацию открытым ключом, передаёт её серверу, тот расшифровывает закрытым ключом.

Comments

[redtram1991]

Не подскажите где почитать как бесплатно сделать HTTPS?

[Rsa97]

redtram1991: Что означает "сделать"? Включить можно в http-сервере, например apache или nginx, а сертификат на одно доменное имя можно бесплатно получить, например, на startssl.com