XMLHttpRequest через SSL со незащищенной страницы

Question

Насколько безопасна эта настройка?

Небезопасная страница 'http://www.site.com' делает запрос XMLHttpRequest с POST для URL' https://www.site.com/dosomething.asp'

Страница dosomething.asp имеет заголовок 'Access-Control-Allow-Origin: http://www.site.com' устанавливает и возвращает некоторые пользовательские данные, которые должны быть защищены.

Без ошибок, все идет хорошо.

Насколько безопасен фактический запрос POST?Насколько защищен текст ответа от этого запроса?

Answer 1

Самая значительная проблема, которую я вижу, заключается в том, что ваша небезопасная страница небезопасна (хорошо, очевидно). Если кто-то попытается выполнить атаку «человек посередине» на эту небезопасную страницу, он может отредактировать функциональные возможности страницы (с помощью внедрения JavaScript и т. Д.), Чтобы перехватывать контент, отправляемый и получаемый с защищенного URL-адреса. Лучше всего использовать обе страницы в безопасном режиме (SSL / TLS).

Answer 2

Как только вы вводите в приложение не-SSL компонент, вы теряете все преимущества SSL.Вы только в безопасности, как самая слабая часть.Вот почему браузеры сообщают пользователю о смешанном содержимом SSL / не-SSL как предупреждение системы безопасности.

Answer 3

Wireshark - это программа, которая отслеживает сетевые пакеты, проходящие через сеть.Это бесплатно и популярно.Окончательный способ ответить на этот вопрос - получить Wireshark, потратить день на его изучение и применить его.

Фильтр для просмотра трафика с исходного сайта будет:

(ip.src == [IP-адрес источника]) && (ip.dst == [IP-адрес цели])

Поменяйте местами ip.src и ip.dst, чтобы увидеть, что возвращается.Вы могли бы фактически объединить оба в одном выражении фильтра.

Это сработало бы, если вы находитесь в сети, через которую проходят пакеты.

Еще один последний пункт: вот описание PKI (https / SSL / TLS): http://www.mitre.org/news/the_edge/february_01/steve.html

Я перебил подобную ситуацию и проверил, что я отправляю и получаю TLS (https) движение.Но это была не та ситуация, поэтому я не хочу спекулировать.