action="http ili https' ?

[misk0]

Imam stranicu i na njoj formu koja ima klasicne parametre

<form method="post" action="https://www.nekastranica.com/login.php">
<input name="username" type="text">
<input name="password" type="password">
<input name="login" type="submit">
</form>

Ako je ta stranica, na kojoj se nalazi forma otvorena preko klasicnog http-a (bez enkripcije) da li ce podaci koji se submituju da idu preko kriptovanog SSL layera ili ce samo rezultate te forme da bude vracen preko SSLa?..
Da li se prvo uspostavi https konekcija pa tek onda salju podaci ili to ide obratno, tj da li i stranicu na kojoj se nalazi forma moram ucitati preko ssl-a?

[jablan]

Trebalo bi da podaci koji se šalju POST-om budu kriptovani. Doduše, ne znam da li je uopšte izvodljivo da sa obične strane submituješ na https, to najbolje probaj.

[misk0]

To radi, logujem se bez problema, ali me interesuje ima li smisla, jer dzaba sam usmjerio to na https (certif. i sve ostalo) ako se najvazniji podaci submituju nezasticeni.

[Ivan]

POST je kriptovan i to moze tako da radi, zanimjiv text na tu temu: http://blogs.msdn.com/ie/archive/200...eal-world.aspx

[jablan]

Odličan tekst. Zaključak je da se to ne radi, iako može.

[Ivan]

Pa sad, mnogo toga ne treba da se radi, ali procene se rizici pa ono ...

Inace, man-in-the-middle attack nije tako jednostavno izvesti, trebaju se pronaci vitalne tacke za sniff, itd ... Ova metoda se koristi kada nema druge (ili ako je bas toliko dostupna sto i nije cesti slucaj) a i obicno su mete "velike zverke".

[caiser]

Originalno napisao misk0

Da li se prvo uspostavi https konekcija pa tek onda salju podaci ili to ide obratno

Razmena kljuceva/enktipcija se ostvaruje odmah na pocetku komunikacije. To je inace razlog zasto se ne moze staviti vise HTTPS vhost-ova na jednu IP adresu - SSL sertifikat se ucita pre "Host" instrukcije.