Login seguro sin SSL

[rhijar]

Acabo de leer el post y se me ocurre una solución que nunca he visto pero creo que funciona cuando menos en teoria.

El detalle es que ocupamos una llave que nadie mas pueda tener o... una que nadie pueda utilizar aunque la tenga.

Como lo primero lo veo muy dificil, por que si te capturan el pasword encriptado pues es todo lo que necesitan para loguearse. Esto no sirve de nada.

Y la segunda opción seria:

1.- Cuando el cliente se conecte al servidor, este (servidor) debera generar una llave basada en la dirección IP que sea solo valida para esta IP y la enviara al cliente.

2.- El cliente encriptara la información y la envia al servidor.

3.- EL servidor verifica que la contraseña encriptada venga de la IP correcta, si no viene de la ip correcta no la aceptara aunque venga correctamente encriptada.

Con esto garantizamos por un lado que el hacker no vea la contraseña y por otro lado que aunque la capture encriptada, no la pueda utilizar por que no viene de la ip correcta.

En teoria debería de funcionar y me imagino que los certificados SSL deben de funcionar de manera parecida.