http и ограниченный раздел

Question

Я хотел бы спросить вас, ребята, потому что я не уверен в ответе.

У меня есть веб-сайт Asp.Net 2.0, где есть раздел, доступ к которому имеет только авторизованный пользователь. Наверняка пользователь перенаправляется в раздел с ограниченным доступом только после успешной аутентификации (логин / пароль). Но мой вопрос больше касается того, нужно ли мне использовать https через http. Я проверяю на методе Page_load, что пользователь аутентифицирован и находится в соответствующей роли. Как это:

  protected void Page_Load(object sender, EventArgs e)
  {
     if (!IsPostBack)
     {
        ApplyAuthorizationRules();
        InitData();
     }
  }

  private void ApplyAuthorizationRules()
  {
     //Check if the user is logged in
     if (!Page.User.Identity.IsAuthenticated)
     {
        Response.Redirect(NotAuthenticated.UrlToSelf());
     }
     //check if the user is in one of FU roles
     if (!Page.User.IsInRole(Constants.ROLECLIENT))
     {
        Response.Redirect(NotAuthorized.UrlToSelf());
     }
  }

Просто для лучшего описания, есть снимок моей настройки web.config:

  <identity impersonate="false" />
  <authentication mode="Windows" />
  <authorization>
    <allow users="*" />
  </authorization>

и снимок моего процесса аутентификации:

  public static bool Login(string username, string password)
  {
     AppIdentity identity = AppIdentity.GetIdentity(username, password);
     AppPrincipal principal = new AppPrincipal(identity);
     HttpContext.Current.User = principal;

     return identity.IsAuthenticated;
  }

Так действительно ли необходимо использовать https?

Спасибо за любое предложение. X.

Answer 1

Авторизация и шифрование служат различным целям. Если данные конфиденциальны, вы, вероятно, должны использовать https.

Answer 2

Предполагая, что вы использовали «Базовую» HTTP-аутентификацию , помните, что если вы используете http, имя пользователя и пароль будут отправляться в открытом виде при каждом запросе. Если вы хотите обеспечить большую безопасность, чтобы предотвратить перехват учетных данных, используйте https.

Существуют и другие методы, такие как Дайджест-аутентификация , которые предлагают немного больше защиты, но, вообще говоря, используют https для всего, что может показаться пользователю защищенным.