Wie sicher ist ein HTTP-POST?

Question

Ist ein POST sicher genug, um Anmeldedaten zu senden?

Oder ist eine SSL-Verbindung ein muss?

Answer 1

SSL ist ein Muss. POST ist nicht sicherer als GET, da es auch unverschlüsselt gesendet wird. SSL deckt die gesamte HTTP-Kommunikation ab und verschlüsselt die HTTP-Daten, die zwischen dem Client und dem Server gesendet werden.

Answer 2

SSL ist ein

HTTP Post im Klartext übertragen :) muss. Laden Sie beispielsweise Fiddler herunter und verwenden Sie es, um den HTTP-Verkehr zu überwachen. Sie können den gesamten Post einfach darin sehen (oder über einen Netzwerkverkehrsmonitor wie WireShark)

Answer 3

Nein ... POST ist nicht sicher genug. SSL ist ein Muss.

POST blendet nur die Parameter in der Abfragezeichenfolge effektiv aus. Diese Parameter können immer noch von jedem abgerufen werden, der den Verkehr zwischen dem Browser und dem Endpunkt betrachtet.

Answer 4

Es ist nicht sicher. Ein POST kann genauso einfach wie ein GET geschnüffelt werden.

Answer 5

Das hängt von Ihren Umständen ab, wie viel kostet das Abfangen der Anmeldedaten jemanden?

Wenn es sich nur um eine Anmeldung auf einer Software-Q + A-Website handelt, ist SSL möglicherweise nicht erforderlich, wenn es sich um eine Online-Banking-Website handelt oder Sie Kreditkartendaten speichern.
Dies ist ein Geschäft keine technische Entscheidung.

Answer 6

POST ist Klartext.

Eine sichere Verbindung ist ein Muss.

Deshalb wird es eine sichere Verbindung genannt.

Answer 7

Eine POST-Anfrage ist nicht sicher, weil alle Daten im Klartext "reisen".

Sie benötigen SSL, um es sicher zu machen.

Answer 8

Nein, verwenden Sie SSL.

Mit POST werden die Werte weiterhin als Nur-Text gesendet, es sei denn, SSL wird verwendet.

Answer 9

POST-Daten werden im Klartext gesendet, wenn Sie eine unverschlüsselte HTTP-Verbindung verwenden. WENN das sicher genug ist, hängt von Ihrer Verwendung ab (Hinweis: es ist nicht).

Wenn sowohl der Server, der Client-Rechner als auch ALLE MASCHINEN, DIE ZWISCHEN DIESEN GERÄTEN ZWISCHEN DIESEM BETRIEB SIND, Teil eines kontrollierten, voll vertrauenswürdigen Netzwerks sind, kann dies in Ordnung sein.

Außerhalb dieser sehr eingeschränkten Umstände (und manchmal sogar in ihnen), fordert die reine Textauthentifizierung Probleme.

Answer 10

Der einzige Unterschied zwischen HTTP GET und HTTP POST ist die Art und Weise, in der die Daten codiert sind. In beiden Fällen wird es als Klartext gesendet.

Um jegliche Art von Sicherheit für Anmeldedaten zu gewährleisten, ist HTTPS ein Muss.

Sie benötigen kein teures Zertifikat, um HTTPS bereitzustellen.Es gibt viele Anbieter, die sehr einfache Zertifikate für etwa 20USD ausgeben werden. Zu den teureren gehört die Überprüfung der Identität, die eher für E-Commerce-Websites von Bedeutung ist.

Answer 11

Hängt davon ab, wo Sie es verwenden und wie sicher Sie wirklich brauchen.

Es gibt keine Möglichkeit für jemanden, die POST-Daten, die Sie von zu Hause aus senden, zu erhalten, es sei denn, Sie verwenden einen Proxy (TOR) oder jemand klopft auf Ihre Leitungen.

Wenn Sie jedoch Bedenken haben, dass sich jemand mit einem unsicheren WLAN-Netzwerk anmeldet, ist SSL wichtig.

Wenn Sie eine Bank sind, können Sie dieses Risiko nicht einmal eingehen. Wenn Sie ein Teacher mit Logins sind, um Zuordnungen zu sehen, dann sollten Sie in Ordnung sein

Answer 12

HTTP POST ist nicht verschlüsselt, es kann durch einen Netzwerk-Sniffer, durch einen Proxy abgefangen werden oder in den Protokollen des Servers mit einem benutzerdefinierten durchgesickert Protokollierungsstufe. Ja, POST ist besser als GET, da POST-Daten nicht sind, die von einem Proxy oder Server protokolliert werden, aber es ist nicht sicher. Um ein Passwort oder andere vertrauliche Daten zu sichern, müssen Sie vor dem POST SSL verwenden oder die Daten verschlüsseln. Eine andere Option wäre die Verwendung der Digestauthentifizierung mit dem Browser (siehe RFC 2617). Denken Sie daran, dass die (hausgewachsene) Verschlüsselung nicht ausreicht, um Replay-Angriffe zu verhindern. Sie müssen vor dem Verschlüsseln ein Nonce und andere Daten (zB Realm) verketten (siehe RFC 2617, wie es in Digest Auth geschieht).

Answer 13

Der sicherste Weg ist, keine Zugangsdaten zu senden. Wenn Sie Digest Authentication verwenden, dann ist SSL ein Muss.

(Hinweis: Ich unterstelle nicht, dass die Digest-Authentifizierung über HTTP immer sicherer ist als die Verwendung von POST über HTTPS).

Answer 14

<shameless plug> Ich habe eine blog post, die detailliert, wie eine HTTP-Anfrage aussieht und wie eine GET-Anfrage mit einer POST-Anfrage vergleicht. Aus Gründen der Kürze, GET:

GET /?page=123 HTTP/1.1 CRLF 
Host: jasonmbaker.wordpress.com CRLF 
User-Agent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_6; en-us) AppleWebKit/525.27.1 (KHTML, like Gecko) Version/3.2.1 Safari/525.27.1 CRLF 
Connection: close CRLF 

und POST:

POST/HTTP/1.1 CRLF 
Host: jasonmbaker.wordpress.com CRLF 
User-Agent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_6; en-us) AppleWebKit/525.27.1 (KHTML, like Gecko) Version/3.2.1 Safari/525.27.1 CRLF 
Connection: close CRLF 
CRLF 
page=123 

(Die CRLF ist nur ein Newline)

Wie Sie, sind die einzigen Unterschiede im Hinblick auf die, wie eine Anforderung sehen gebildet * ist, dass eine POST-Anfrage das Wort POST verwendet und die Formulardaten im Body der Anfrage gegen die URI gesendet werden. Daher ist die Verwendung von HTTP POST Sicherheit durch Dunkelheit. Wenn Sie Daten schützen möchten, sollten Sie SSL verwenden.

* Beachten Sie, dass dort are other differences.

Answer 15

Bitte lesen Sie diesen großen Artikel:

Schutz vor böswilligen POST-Requests

https://perishablepress.com/protect-post-requests/