Если веб-страница HTTP отправляет ajax-запрос к URL-адресу HTTPS, является ли сообщение безопасным?

Question

Если я создал виджет html / jquery, который должен был быть размещен на сторонних веб-сайтах (где пользователи, как ожидается, обладают крайне низкими техническими знаниями и, вероятно, не имеют SSL-сертификата), и использовал jquery для AJAX. на безопасный URL-адрес размещенная информация будет надежно защищена?

Редактировать: Может ли кто-нибудь уточнить ту же политику происхождения / последствия наличия сайта, который не имеет SSL-сертификата в отношении этого?

Answer 1

Данные будут в безопасности при передаче, но страница, выполняющая запрос, может быть перехвачена и изменена до достижения клиента, чтобы запрос мог быть перенаправлен или изменен.(Простой случай - сделайте два запроса вместо одного, один на защищенный сервер и один на сервер хакера)

Если вы хотите обеспечить безопасность, вам нужно, чтобы страница выполняла сбор / передачу данных и обработку страницыданные передаются по протоколу SSL.

(Вам также придется столкнуться с проблемой политики единого происхождения.)

Answer 2

Это зависит от определения, которое вы хотите использовать для «Безопасный».Безопасность субъективна, и у некоторых людей есть более «широкое» определение «защищенного», чем у других.

Если с помощью «Безопасного» вы спрашиваете, может ли перехватчик получить ваше сообщение через сеть, тогда, конечно,использование https обеспечит безопасность в этом отношении.

Однако, если страница отправляет эту публикацию на ваш сервер, чтобы делать что-то, что пользователь может не захотеть делать, то по МОЕМ определению это небезопасно.

Например, мне было бы хорошо, если бы этот скрипт вызывал вашу службу, если бы ваша служба передавала данные обратно на сайт (другими словами, для законной цели).Хорошим примером будет вызов вашего сайта, чтобы предоставить котировку акций или шутку дня, которая появляется на странице, это нормально,

НО, если ваш скрипт делал запись для отслеживаниямое присутствие на сайте, добавление меня в потенциальный список рассылки, кража моих данных или любые другие цели, кроме тех, которые необходимы для моей работы на вашем сайте, затем вы нарушаете мою конфиденциальность или, по крайней мере, делаете что-то засцены, которые я действительно не ожидаю или не хочу случиться.В этом случае, по определению, любое действие, которое использует скрытность для отслеживания меня или кражи моих личных и / или финансовых данных (включая мои привычки просмотра), является нарушением безопасности.

Кроме того, если ваш сценарий каким-либо образом ослабеваетсуществующих защит на веб-странице или вводящих новые уязвимости, то нет, это не безопасно по чьему-либо определению.

Answer 3

Да, он будет использовать HTTPS для запроса Ajax.

Однако вы не можете сделать внешний запрос (политика того же источника), и когда у вашего клиента отсутствует надлежащий сертификат SSL, яПосмотрите, как вы сделали бы безопасный запрос AJAX (?).