Штатный инструмент безопасной авторизации

Пароли для большинства сайтов передаются в открытом виде, если не используется SSL SSL (англ. Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, который подразумевает более безопасную связь. Он использует асимметричную криптографию для аутентификации ключей обмена, симметричное шифрование для сохранения конфиденциальности, коды аутентификации сообщений для целостности сообщений.

Подробнее... . Отказ от использования SSL связан в большинстве случаев с административным фактором. Тем не менее проблему передачи паролей и логинов в открытом виде надо решать. Это можно сделать с помощью штатной функции Безопасная авторизация.

Если у злоумышленника есть возможность изменять трафик, то шифрование не поможет. При разработке функции исходили из того, что изменить трафик сложнее, чем прослушать его (тот же открытый WiFi). Более того, шифрование паролей не защищает от перехвата сессии, но у сессии есть свои механизмы защиты (привязка к IP, частое изменение кода сессии). В целом можно сказать, что уровень защиты повысился, но лучше использовать SSL.

Безопасная авторизация работает в компоненте system.auth.authorize, при входе в Административную часть системы этот механизм защиты не включается. Поэтому, всё же вендор Вендор - это компания, которая разрабатывает и владеет неким ПО, и которая продает лицензии на него другим.
Вендор у "1С-Битрикс: Управление сайтом" и "Битрикс24 в коробке" единый: компания "1С:Битрикс".

Подробнее ... рекомендует настройку HTTPS соединения Перевод сайта на работу по протоколу https обеспечивает защиту от атак, основанных на прослушивании сетевого соединения. Действия по такому переводу не сложны, но требуют определённых знаний.

Подробнее ... .

  Подключение

Подключается Безопасная авторизация в настройках Главного модуля на закладке Авторизация:

По нажатию на Сгенерировать ключ происходит генерация ключа RSA RSA (буквенная аббревиатура от фамилий Rivest, Shamir и Adleman) — криптографический алгоритм с открытым ключом. .

Размер ключа зависит от библиотек, установленных на сервере. По умолчанию используется модуль PHP openssl, который создаёт 1024-битный ключ. Его и рекомендуется использовать. Если модуль не установлен, то возможно использование bcmath с генерацией 512-битного ключа. Если нет ни того, ни другого модуля, включить шифрование нельзя.

Генерация ключа выполняется один раз. Повторную генерацию производить необходимо, если есть подозрения в компрометации ключа.

  Алгоритм работы

1. Вместе с формой авторизации клиенту передается открытый ключ;
2. Перед отправкой формы авторизации Javascript перехватывает отправку, зашифровывает пароль с использованием открытого ключа и отправляет на сервер;
3. Сервер принимает шифротекст, расшифровывает его с использованием секретного ключа и проводит аутентификацию пользователя.