爲什麼登錄不通過HTTPS安全？

Firefox最近添加了一個信息對話框，告訴我們，登錄數據可能會被泄露（因爲它是通過普通的HTTP發送的）。爲什麼這麼多網站是通過SSL進行安全保護的，但是他們放棄了登錄過程？那些東西有很大的不同嗎？如果SSL已經正常工作，爲什麼不將它用於登錄過程呢？這首先如何成爲問題？我的意思是，爲後端應用程序設置SSL需要一些工作，但是它是否可以自由鏈接到登錄？當你這樣做時有缺陷或什麼？爲什麼登錄不通過HTTPS安全？

來源

2017-04-10 codepleb

_「爲什麼通過SSL保護這麼多網站，但他們讓登錄過程？」 - 你能提供一些這樣的網站的例子嗎？我還沒有看到任何地方使用SSL，但在登錄時。 – 1615903

沒有理由忽略來自https的登錄。恰恰相反。

如果登錄頁面使用https，但表單具有http目標，即使該目標重定向到https，它也是不安全的，瀏覽器可能會顯示警告。沒有理由不改變目標直接使用https。

而且，唯一的安全配置是在所有網頁上使用https和HSTS。任何其他配置都會使https網頁易受MitM/SSLStrip攻擊。

來源

2017-04-10 09:35:14 Tom

但是，如果沒有理由不包括登錄過程，爲什麼mozilla（以及AFAIK Google也很快）會感受到爲此創建警告的衝動？我注意到有很多網站的登錄過程是不安全的。我真的不明白。 – codepleb

@TrudleR我說：「沒有理由**不**改變」，並有一個很好的理由來改變它：安全。沒有理由保持http。這就是Mozilla顯示警告的原因。 – Tom

我不是母語的，這就是爲什麼你理解我錯了，對不起。我的觀點是：如果覆蓋登錄沒有問題，爲什麼有那麼多網站不包括他們的登錄信息，因此Mozilla覺得有必要警告用戶。如果網站使用HTTPS，並且實現它沒有問題，爲什麼開發人員不這樣做？必須有一個原因，爲什麼登錄通常不安全。如果使用HTTPS更容易地覆蓋所有內容，則此問題根本不存在，對嗎？ – codepleb

爲什麼登錄不通過HTTPS安全？

回答

相關問題