Game Of Life 那一系列的，先暫停一期 :D，先穿插一篇不相干的內容...。這篇要講的是網站的登入部份要改用 SSL 的作法。這是很常見的問題，不過對怎麼作搞不清楚的人，仍然大有人在... 所以興起了寫這篇的念頭。
先從 "為什麼" 來說好了。實際碰到的客戶，常常會把 "SSL" 跟 "加密" 劃上等號... 以為網站加上 SSL 就固若金湯了。這樣講是沒錯啦，不過 SSL ( Secure Socket Layer。Wiki 有說明) 再安全，也只是個 "加密" 的傳輸方式，只有對外人 (竊聽者) 是加密的... 正所謂內賊難防... SSL 可以防外賊，但是防不了內賊。因此 SSL 是不等於 DRM 這類技術的...
扯遠了，會這樣講只是因為，很多客戶需要的其實是 DRM，不過客戶的 IT 卻天真的以為，網站加上 SSL 就萬無一失了... 於是老有客戶在問:
客: "你們的系統可以整個放到 HTTPS 裡嗎?"
我: "可以啊，不過效能會很糟，有什麼特別的需求，要這樣作嗎?"
客: "老闆說網站的文件怕流出去，所以要用 HTTPS"
我: "...."
很想把 DRM / DPM 的介紹貼給客戶看... 不過只能很婉轉的引導客戶的需求...
我: "HTTPS 只是防竊聽，不防把資料存下來偷帶出去的... 要防外賊，只要保互好登入過程傳輸帳號秘碼"
大部份人對 SSL 的第一個誤解，就是 SSL 只是個加密的傳輸方式，不是加密的儲存方式。就好像你用黑貓寄東西，他是用貨車載... 像 Mission Impossible 裡的阿湯哥那種身手，一下就可以把你的包裹摸出來... 如果你的包裹給保全公司送，他們用的安全規格就完全不同了... 至少是運鈔車的那種規格 (不過應該也擋不住阿湯哥就是...)。
不過，貨物送到對方手上之後，保護就不見了... 這點就是大家常常沒搞清楚的地方。
弄清楚 SSL 只保護傳輸過程後，該怎麼應用，該應用在那裡，就很清楚了。最典型的例子，就是用在網站登入 (輸入帳號密碼，輸入信用卡號碼等等) 的地方。登入成功後就沒必要繼續留在 SSL (HTTPS) 保護的範圍了，就可以切回一般網站 (HTTP)。
剩下的就跟你怎麼設計，怎麼規劃有關了。概念上來說，一般網站就像這張圖一樣:
所有資訊都在橘色 (不安全) 的部份傳輸。為了確保重要資訊不被竊聽，我們至少要改成這樣:
如果把 HTTP / HTTPS 當成兩個網站，則帳號密碼一定要在綠色(安全)部份傳輸。而兩台SERVER之間可以用HTTPS，或是其它管道傳輸，不一定要加密，不過至少可以把外面的駭客檔在門外。
接下來的作法就各憑本事了，沒有標準的解法。我的客戶因為有可能有各種不同的認證規則，這規則可能跟網站的邏輯有關，所以不大適合把認證的部份擺在 HTTPS 這端，因此我的設計是:
- 把帳號密碼，透過HTTPS安全送到A網站，儲存起來。
- A網站發出一個 TOKEN (可以搭配一些HASH及EXPIRE的處理)，再把這 TOKEN 轉給B網站。
- B網站再根據收到的 TOKEN，先作好基本的HASH及EXPIRE的檢查後無誤後，最後再到後端的 STORAGE 把當初 (1) 儲存的登入資訊取出。
- 取得登入資訊後，就在B網站用正常的登入程序，進行驗證工作。
- 驗證成功後，就可以正常的設定SESSION，使用網站的各個功能。
打個比方，這就是傳統的商店刷信用卡時，會用電話等方式，銀行先跟使用者確認資訊後，給店家一個授權碼。之後店家就只能在規範的條件下，用這授權碼取款。這授權碼是不怕被盜取的，因為它只是個代號，外人取得它完全無法做壞事，就好像上例的 TOKEN 一樣。
接下來，就來看看程式該怎麼寫了。只要使用量不大的話，A/B兩網站是可以放在同一台SERVER上，這時中間的傳輸方式就很多種簡易的選擇 (比如 local file)。考量到整個系統的 scalability, HTTPS 的部份屬 CPU BOUND，量大的話有可能影響到原網站的運作，因此實際部屬時，有可能碰到 A 網站必需跟 B 網站獨立出來，而且 B 網站也有可能因為效能問題，而再分散成多個 Web Farm 的運作方式...，這時 AB 網站間的傳輸方式就得能跨 SERVER 運作，就得挑選 DB / WCF 等等方式進行。 (當然 ASP.NET Session State Server 也可以啦，不過暫不考慮，不然就沒東西好寫了...)
整理一下最後要實作的需求，跟架構設計。都到設計階段了，Use Case 就跳過去，直接到 Sequence Diagram…
用到的技術反而沒什麼特別的。我舉幾個常見的難題，或是常被忽略掉的漏洞:
- HTTP / HTTPS 可能是不同的網站，SESSION 不會通... 怎麼把 LOGIN 成功的資訊， *安全* 的帶到 HTTP 這邊的 SESSION ?
