Безопасны ли данные CURLOPT_USERPWD при передаче по ssl?

Question

Я строю сервис, который будет обслуживаться через https.

Я хотел бы знать, безопасен ли пароль (или какой-либо конкретный ключ), передаваемый в параметре curl CURLOPT_USERPWD, когда данные «по проводам»?

Answer 1

ВСЕ данные, отправленные через HTTPS, зашифрованы.Это означает, что очень очень трудно (но не невозможно) для любого пользователя между сервером и клиентом просматривать необработанные данные запроса.

Если вы хотите полностью понять возможные последствияиспользуя базовую аутентификацию HTTP, вы должны полностью понимать , как она работает .

Поскольку HTTP - это простой текстовый протокол, он очень небезопасен.HTTPS - это просто HTTP с использованием зашифрованного сокета , что означает, что сам формат запроса / ответа полностью не изменился.Если вы можете просмотреть текстовую версию запроса, вы можете почерпнуть из нее любую информацию, которая вам нравится.Но использование SSL / TLS делает очень трудным просмотр текстовой версии.

Базовая аутентификация HTTP по своей сути уязвима для атак типа "человек посередине" и должна никогда использоватьсячерез незашифрованное соединение, но использование HTTPS делает его довольно безопасным.Единственное соображение заключается в том, что сервер сможет просматривать пароль в виде обычного текста - если вы не хотите, чтобы это произошло, вам следует использовать Digest auth , HTTPS или другое.

Answer 2

Да, пароль не будет виден, потому что он отправляется в зашифрованном виде по сети, но, скорее всего (не полностью уверен), скрипт, который запускается на целевом веб-сайте (услуга в вашем случае), сможетчтобы увидеть ваш пароль.