Можно ли перехватить данные post-запроса?

#security #post

#Безопасность #Публикация

Вопрос:

Прошу прощения, я новичок в этом и предполагаю, что перепутаю некоторые термины.

Я пытаюсь настроить Google ClientLogin и беспокоюсь об отправке моей личной информации в POST-запросе.

Из того, что я читаю, вы должны создать post-запрос на указанный ими URL (https://www.google.com/accounts/ClientLogin ) и ОПУБЛИКОВАТЬ следующие данные:

 Email=<username>amp;Passwd=<password>amp;service=youtubeamp;source=<source>
  

Но если этот запрос просто передается по сети, разве кто-нибудь не может просто перехватить эти запросы и получить вашу регистрационную информацию?

Они зашифрованы, потому что это https? Должен ли я беспокоиться об этом только с http?

Честно говоря, я совершенно сбит с толку, делая все это, и если в дополнение к ответу на мой вопрос кто-нибудь может указать мне на хорошее руководство по использованию Google Maps с частными таблицами Fusion, я отправлю вам положительные мысли!

Комментарии:

1. Факт, о котором я сам был неясен до недавнего времени. Достойный вопрос. 1

Ответ №1:

  • HTTP-запросы передаются по сети в виде открытого текста — и, таким образом, их можно легко перехватить.
  • HTTPS — это HTTP-запросы, выполняемые через уровень защищенных сокетов (SSL), который обеспечивает шифрование данных между клиентом и сервером, идентифицирует сервер и (необязательно) идентифицирует клиента.

Таким образом, хотя зашифрованные данные можно перехватить, они могут считаться безопасными во время передачи — другими словами, злоумышленник не увидит открытый текст.

Существуют различные атаки на HTTPS, но наиболее распространенные легко обнаруживаются, например, если вы получаете ошибку сертификата на HTTPS-сайте, который раньше работал нормально, это может быть признаком попытки атаки. Для дополнительной информации смотрите вопросы с тегом SSL на security.stackexchange.com

Короче говоря: отправка по протоколу HTTPS намного безопаснее, чем по HTTP. (Вам все равно нужно тщательно обрабатывать данные на стороне клиента и сервера, HTTPS — это защита транспорта)

Смотрите также: https://security.stackexchange.com/questions/5/does-an-established-ssl-connection-mean-a-line-is-really-secure

Ответ №2:

Да, данные post зашифровываются при отправке по протоколу https. Фактически, весь ваш запрос зашифрован.

Ответ №3:

Это https-соединение. Это означает, что все данные зашифрованы.

https — это безопасный протокол передачи гипертекста

Просто убедитесь, что сертификат правильный.

Сертификат гарантирует, что на другом конце линии находится тот, за кого вы его принимаете.

Для получения дополнительной информации ознакомьтесь:

http://en.wikipedia.org/wiki/HTTPS

Ответ №4:

Вообще говоря, все по протоколу https безопасно. Единственное выдающееся исключение, которое я могу придумать (кроме скомпрометированного клиента / сервера), — это установление SSL-соединения при использовании общей сети (например, интернет-кафе). Несмотря на редкость, природа ssl-соединений делает его уязвимым для подобных типов атак, хотя это и не делает его «script kiddie» простым — просто возможным. [Вот почему многие онлайн-банки всегда будут осуществлять ваш мобильный банкинг через данные 3g / 4g, а не Wi-Fi].

Недействительный сертификат должен вызвать у вас подозрения, но не является значком defacto «это соединение безопасно». Сертификаты только подтверждают, что сервер, с которым вы связываетесь, управляется людьми, указанными в сертификате, и технически не требуется устанавливать безопасное соединение.