Можно ли защитить диалог Jquery UI с https, когда остальная часть страницы в http?

Question

Дело: Пользовательский интерфейс JQuery Dialog должен содержать кредитные данные клиента, когда остальная часть страницы является каталогом товаров в http.

Вопрос: Можно ли защитить диалоговое окно Jquery UI с помощью https , когда остальная часть страницы будет http ? или все страницы должны быть https, а не только диалог?

(Что я знаю, это диалоговое окно является частью страницы, потому что оно не может быть безопасным, но мой босс сказал, что я ошибся).

Спасибо

Answer 1

Ответ без сомнения НЕТ . Если вы не защищаете весь сеанс с HTTPS, то злоумышленник получит идентификатор сеанса и использует его вместо имени пользователя / пароля.

То, что вы описываете, является явным нарушением топ-10 OWASP: Сломанная аутентификация и управление сеансами .

Answer 2

«Страница» не обязательно должна быть HTTPS. Только соединение, которое захватывает информацию (если эти данные не сохраняются на незащищенной странице на другой незащищенной странице).

Такая защита работает на основе транзакций.

Как только вы загрузите свою страницу небезопасно (HTTP), вы можете загрузить защищенный контент, пока ваш ajax достигает защищенного URL (HTTPS).

Помимо этого, при работе с безопасными пользовательскими данными, безусловно, существуют и другие проблемы безопасности, но если вызов, который захватывает эти данные, выполняется через соединение HTTPS, то у вас все хорошо.

Еще один пример этого - если вы создали форму, собирающую информацию пользователей. Страницу, содержащую форму, не нужно доставлять через HTTPS, вам нужен HTTPS, только когда пользователь отправляет эти данные в ваше приложение для обработки. Не считайте «страницу» защищенной HTTPS, просто «транзакцию».

EDIT:

Перечитывая ваш вопрос, я думаю, что я сделал предположение. Если вы получаете эти защищенные данные после загрузки своей страницы, и вы используете ajax через HTTPS-соединение, то вы хороши.

Но в своем вопросе вы не упоминаете использование ajax. Если вы захватываете все данные и сразу отправляете их пользователю, а затем просто скрываете / отображаете их на странице, тогда ДА, эта страница должна быть HTTPS. Вы по-прежнему передаете защищенные данные через незащищенное соединение, даже если конечная страница их скрывает.