Dlaczego uwierzytelnianie AJAX za pośrednictwem protokołu HTTP jest uważane za niezabezpieczone?

Question

Rozważmy następny scenariusz: załóżmy, że mam aplikację internetową i uwierzytelnianie użytkowników odbywa się za pośrednictwem modalnego okna dialogowego (powiedzmy, że gdy użytkownik kliknie przycisk logowania, zapytanie ajax jest wysyłane i w zależności od wywołania zwrotnego zamykam okno lub wyświetlać błąd) i korzystam z protokołu tylko HTTP. Dlaczego uważa się, że nie jest to bezpieczny sposób robienia rzeczy?

Upewnij się również, że modalne okno dialogowe jest brane pod uwagę, ponieważ jest to niezbędne. Niektóre dane mogą być wyświetlane pod oknem dialogowym i mogą być dostępne w przypadku awarii modalności.

Pytanie obejmuje zarówno:

1. Jak można złamać zabezpieczenia aplikacji z wykorzystaniem połączenia przez ajax?
2. Czy HTTP Ajax jest mniej bezpieczny niż zwykły formularz HTTP od ?

Answer 1

Ktokolwiek ci powiedział - jest w błędzie. The ajax przez pocztę nie jest mniej bezpieczny niż post z regularnymi formularzami. Tylko dlatego, że jest to to samo, co.

Update 1 według ostatniego EDIT:

1. Nie można
2. Nie

Argument: żądanie AJAX jest takie samo żądanie HTTP, jak każdy inny (takie jak żądanie wysłane przez formularz html). Absolutnie ten sam. Z definicji nie może być mniej lub bardziej bezpieczny.

Nie wiem, jak wyjaśnić więcej i co powiedzieć jeszcze: ajax jest żądaniem http. to samo żądanie, co twoja przeglądarka, kiedy otwierasz stronę SO lub publikujesz formularz pytania SO.

Mogę przeformułować twoje pytanie na "Dlaczego A jest mniej bezpieczne niż A". Odpowiedź na to: A nie jest mniej bezpieczny niż A, ponieważ A jest A: -S

Answer 2

HTTP nie jest bezpieczny dla prywatnych danych, ponieważ dane są przesyłane w postaci zwykłego tekstu. Można go przechwycić w dowolnym miejscu między klientem a serwerem (np. Wifi). Ajax przez HTTPS byłby znacznie lepszy.

Answer 3

Nie jestem ekspertem od zabezpieczeń, ale uważam, że może być bezpieczniejsze wysyłanie go przez HTTPS. Wystarczy googlowania uczy mnie, że można to zrobić bezpiecznie mimo:

http://www.indicthreads.com/1524/secure-ajax-based-user-authentication/ http://msdn.microsoft.com/en-us/magazine/cc793961.aspx (koncentruje się na ASP.NET) itp

Answer 4

Wszelkie poufne dane powinny być przekazywane za pośrednictwem protokołu HTTPS. Dane GET są wysyłane w querystringu. Dane POST są wysyłane w nagłówku żądania HTTP. Ajax może robić jedno i drugie. ZARÓWNO nie są bezpieczne. Aby go naprawdę zabezpieczyć, potrzebujesz szyfrowania na poziomie kanału.

Answer 5

Ponieważ przeglądarki używają tego samego stosu sieciowego dla HTTP i HTTPS, czy to AJAX, czy nie, nie ma różnicy. Wszystkie nagłówki, pliki cookie, uwierzytelnianie itp. Działają dokładnie tak samo.

Answer 6

Myślę, że problem polega na tym, że używasz http. Bez względu na to, jak na to spojrzysz, nie będzie to bezpieczne. Jeśli używasz https, zapytanie ajax będzie tak samo bezpieczne jak formularz HTML.

Odpowiedź Somy polegałaby na użyciu https, a wszystko będzie gotowe.