Muss Logins eine https-Seite sein

Mehrere Sicherheitsexperten haben in der Vergangenheit gesagt, dass die Anmeldeseite auf SSL https sein sollte. Was ist, wenn mein Login ein Block ist, der auf allen Seiten angezeigt wird? Bedeutet das, dass meine gesamte Website https sein muss?

Ich habe gelesen, dass es möglich ist, das Formular auf http zu stellen, aber es auf https zu posten, aber ich habe gelesen, dass jemand sagt, dass es mit einem Man-in-the-Middle-Angriff ausgenutzt werden kann. Kann das jemand bestätigen? Ich habe eine Prämie von 100 Punkten für jemanden, der dies bestätigen kann (und mir mit einer praktischen Antwort hilft, wie ich das sicher lösen kann). Mein Login-Formular befindet sich auf jeder Seite, muss ich die gesamte Website auf https stellen? Bitte fühlen Sie sich frei, alles, was ich hier gesagt habe, in Frage zu stellen. Das sind nur Dinge, die ich gelesen habe, aber keine Erfahrung damit habe und es nicht selbst ausprobiert habe.

Bearbeiten: Für diejenigen, die gefragt haben, als ich die Frage gestellt habe, habe ich versucht, das Kopfgeld festzulegen, aber das System hat mich nicht gelassen. Ich habe die FAQ überprüft und gesehen, dass Bounty zwei Tage nach dem Posten der Frage gepostet werden kann. Deshalb siehst du noch kein Kopfgeld. Aber ich werde keine Antwort auswählen, bis ich in 2 Tagen ein Kopfgeld gesetzt habe. Entschuldigen Sie die Verwirrung.

Ich habe gelesen, dass es möglich ist, das Formular auf http zu stellen, aber es auf https zu posten, aber ich habe gelesen, dass jemand sagt, dass es mit einem Man-in-the-Middle-Angriff ausgenutzt werden kann. Kann das jemand bestätigen?

Ja. Das Formular wird über HTTP bereitgestellt, sodass ein Man-in-the-Middle Änderungen daran vornehmen kann (z. B. so dass Anmeldeinformationen an den eigenen Server gesendet werden, bevor das Formular gesendet wird).

eine praktische Antwort, wie Sie dies sicher lösen können

Wenn Sicherheit wirklich wichtig ist – verwenden Sie HTTPS für die gesamte Website. Auch nachdem das Passwort gesendet wurde, kann das Cookie gestohlen werden, wenn Sie zu HTTP zurückkehren (siehe Feuerschaf)

Wenn Sicherheit keine so große Rolle spielt, platzieren Sie das Anmeldeformular nicht auf jeder Seite. Haben Sie stattdessen einfach einen Link zu einer Anmeldeseite.

Antworten Sie einfach mit „Ja“, Ihre Anmeldeseite und der Rest der Websites sollten über SSL bereitgestellt werden

Und hier ist der Grund aus den häufig gestellten Fragen zur SSL-Implementierung:

• Kann ich mein Anmeldeformular auf HTTP setzen und mein Formular auf HTTPS ausrichten?
• Ist es sicher, nach der Anmeldung über HTTPS wieder auf HTTP umzuschalten?

Nun, wenn Sie SSL nicht für Anmeldungen verwenden, kann das Passwort des Benutzers an jeden weitergegeben werden, der die Möglichkeit hat, die Client-Server-Kommunikation abzuhören (im Grunde den Datenstrom zu lesen). (was nicht gut ist^^)

Wie oben bei goreSplatter gesagt, können Sie das Formularziel einfach auf einen gesicherten Endpunkt (dh https://site.com/login) und eine gesicherte Verbindung wird verwendet, um die Anmeldeinformationen des Benutzers zu senden und Antworten zu erhalten.

Die meisten Websites kommunizieren dann weiterhin über einfaches HTTP, was ihre Benutzer „nur“ den Risiken des Session-Hijacking aussetzt (Man-in-the-Middle liest ihre Sitzungskennung/Signatur/nonce/was auch immer und gibt dann vor, der authentifizierte Client zu sein, daher kann er, wenn er erfolgreich ist, die geschützten Ressourcen des Clients manipulieren, aber diese Methode erlaubt nicht, “das gesamte Konto zu stehlen”). Dies wird normalerweise als geringfügige Bedrohung angesehen, und aufgrund des mit der SSL-Kommunikation verbundenen Overheads wird eine sichere Verbindung für alle Anfragen nur in kritischen Anwendungen (z. B. Online-Banking) verwendet.

Um Ihre Frage abschließend zu beantworten: Nein, nur Übertragungen, bei denen sensible Daten gesendet werden, müssen unbedingt gesichert werden.

Wenn Sie möchten, dass Ihre Daten sicher sind, müssen Sie auf Ihrer gesamten Website SSL (zertifiziert) verwenden. Aber Sie brauchen kein SSL, um Ihre Passwörter sicher aufzubewahren. Sie könnten zum Beispiel openID, facebook connect, twitter sign-in verwenden, um diesen Teil für Sie zu erledigen. Auf diese Weise werden niemals Passwörter im Klartext über die Leitung gesendet.

Haben Sie die Möglichkeit, das UI-Konzept neu zu gestalten? Die Idee: Auf jeder Seite eine informative Login-Benutzeroberfläche haben, aber nicht die eigentliche Login-Steuerung. Dein neues die Info control würde auflisten:

1. Logged In As <user_name> oder Not Logged In
2. Login oder Logout Link je nach Bundesland

Die Links würden dann eine Anmelde-Popup-Seite anzeigen, deren Inhalt vollständig gesichert ist.

Dieser Ansatz würde Sie dem nahebringen, was Sie bereits haben (einige Anmeldefunktionen auf jeder Seite), aber so geroutet/geschichtet, dass Ihre Authentifizierung vollständig über SSL gesichert ist.

Zum Beispiel hat GMAIL eine Option in der Konfiguration, wo Sie SSL aktivieren können. Facebook, Twitter und alle sozialen Medien haben kein SSL oder sind nicht aktiviert.

Ich denke, wenn Sie wirklich wollen, dass Ihre Website vor allen bösartigen (Bots oder nicht) besser geschützt ist, verwenden Sie SSL. (Wenn jedoch SSL aktiviert ist, besteht die Gefahr einer Entführung.) Andernfalls können Sie versuchen, die Formulardaten mit einem js-Hardcode zu verschleiern.

Gute Antworten oben, plus alles und machen Sie sich Ihr eigenes Bild von der Sache!

Viel Glück.

Ich habe gelesen, dass es möglich ist, das Formular auf http zu stellen, aber es auf https zu posten, aber ich habe gelesen, dass jemand sagt, dass es mit einem Man-in-the-Middle-Angriff ausgenutzt werden kann.

Nein. Das Ziel der <form> ist ein frischer Aufruf, der vom verwendeten Browser durchgeführt wird.

Wenn die URL http://beispiel.com/ besucht wurde und der Inhalt der Seite vom Browser gerendert wurde, wird die unsichere Verbindung geschlossen (ja. Es kann offen gehalten werden [Keep-Alive]. Aber die Anfrage für diese URL ist abgeschlossen).

Für das Anmeldeziel der Site https://beispiel.com/ eine SSL-Session wird zwischen Server und Client unter Verwendung eines anderen Serverports (normalerweise 443) ausgehandelt und es werden keine Daten von der vorherigen Seite (außer vielleicht “Referer”) verwendet/übertragen nach Die sichere Verbindung wurde hergestellt.

Ich habe gelesen, dass es möglich ist, das Formular auf http zu stellen, aber es auf https zu posten, aber ich habe gelesen, dass jemand sagt, dass es mit einem Man-in-the-Middle-Angriff ausgenutzt werden kann. Kann das jemand bestätigen?

Ja. Das Formular wird über HTTP bereitgestellt, sodass ein Man-in-the-Middle Änderungen daran vornehmen kann (z. B. so dass Anmeldeinformationen an den eigenen Server gesendet werden, bevor das Formular gesendet wird).

Bei einer kompromittierten Seite spielt es keine Rolle, ob der Inhalt gesichert ausgeliefert wurde oder nicht. Der Inhalt einer Website kann über SSL übermittelt werden, aber der Code kann immer noch kompromittiert werden.

Außerdem können Cookies gestohlen werden. Aber sie sind nur Text. Es ist wichtig, was Ihre Website mit diesem “Text” macht. Wenn Sie sich darauf verlassen, was ein „Browser“ Ihren Skripten mitteilt, ist Ihre Anwendung unsicher. Verwenden Sie die Cookie-Validierung (IP-basiert, browserbasiert, was auch immer), damit Cookies nicht „gestohlen“ werden können.

Verwenden Sie SSL-gesicherte Websites, wann immer Ihre Benutzer Daten senden schützenswert. Das Kommentieren eines Blogbeitrags ist keine Sache, für die ich meinen Server mit dem Aufbau einer SSL-Verbindung belasten würde …