Können HTTPS POST-Daten von Dritten gelesen werden?

Question

Wenn ich einen Benutzer über einen sicheren HTTPS AJAX POST anmelde, bedeutet dies, dass der Hauptteil des HTTP POST verschlüsselt und daher sicher ist?

Answer 1

Es hängt davon ab, was Sie schützen wollen (welche Bedrohungen sollen gemildert werden).

HTTPS ist ein sicherer Kanal zwischen dem Client (Browser in diesem Fall) und dem Server. Dies bedeutet, dass jeder mit ausreichenden Berechtigungen auf dem Client und auch auf dem Server die Daten lesen kann, da dies die Enden der imaginären Pipe sind, die HTTPS ist. Praktisch jeder Admin auf dem Client oder auf dem Server kann die übertragenen Daten lesen, aber ein Man-in-the-Middle-Angreifer (jemand im Netzwerk dazwischen) kann nicht, HTTPS ist dagegen sicher (und nur das, obwohl es nicht nur Vertraulichkeit ist dass HTTPS bietet, aber das ist ein separates Thema).

Die wichtigere Frage ist, wie werden Sie den Benutzernamen und das Passwort in den Körper einer Ajax-Anfrage setzen? Das würde bedeuten, dass Sie diesen Benutzernamen und Ihr Passwort irgendwo auf dem Client speichern müssen, wo es höchstwahrscheinlich nicht sehr sicher ist. Zum Beispiel kann jeder einzelne erfolgreiche XSS-Angriff solche Anmeldeinformationen einem Angreifer zeigen. Das wäre wahrscheinlich in diesem Fall mein Hauptanliegen.