basic認証とpassword_verify

Question

もの凄く初歩的な質問ですいません。
特定の人にしか見られないホームページを作る場合、
basic認証（ダイジェスト認証はレンタルサーバーの仕様で遣えないので省きます）と、
各ページをセッションで振り分けし、
（セッションidがない場合、ログインページへ飛ばし、ある場合は各ページにアクセスさせる）
mysqlにハッシュ化したパスワードを保存、password_verifyで確認するログイン方法、どちらがよりセキュアでしょうか？

Answer 1

Basic認証にしても、フォームでそのままパスワード入力する形にしても、（HTTPSでない場合には）パスワードが平文でインターネット上を流れることになってしまいます。どちらも同程度にセキュアではありません。

HTTPS化が現実的でない場合は、PHPでDigest認証を実装する、あるいはサーバ側からNonceを送って、JavaScriptでパスワードをハッシュ化して送信する、などの対策が必要でしょう。

Comments

[nakamura03]

回答ありがとうございます。
ログインページのみ、httpsを使おうと思います！
PHPでDigest認証を実装するってこともできるんですね。調べてみます。
ご指摘ありがとうございます！！

Answer 2

BASIC認証※1はそこまでセキュアではないので、後者の方がセキュアになります。

※1
http://www.phppro.jp/school/security/vol3/1

Comments

[nakamura03]

詳しいサイトのご紹介、ありがとうございます。
セッションを使って、入口を作りたいと思います。本当にありがとうございました！