Насколько безопасно HTTP POST?

Question

Является ли POST достаточно безопасным для отправки учетных данных?

Или это соединение SSL a должно?

Answer 1

SSL является обязательным. POST не более безопасен, чем GET, поскольку он также отправляет незашифрованные. SSL будет охватывать всю HTTP-связь и шифровать передачу данных HTTP между клиентом и сервером.

Answer 2

SSL является обязательным :)

HTTP Post передается в виде обычного текста. Например, загрузите и используйте Fiddler для просмотра HTTP-трафика. Вы можете легко увидеть всю запись там (или через монитор сетевого трафика, такой как WireShark)

Answer 3

Нет ... POST недостаточно безопасен. SSL является ДОЛЖНЫ.

POST только эффективно скрывает параметры в строке запроса. Эти параметры все равно могут быть подняты любым, кто смотрит на трафик между браузером и конечной точкой.

Answer 4

Это не безопасно. POST можно обнюхивать так же легко, как GET.

Answer 5

Это зависит от ваших обстоятельств, сколько бы перехват учетных данных стоил кому-то?

Если это просто логин для программного обеспечения Q + A, тогда SSL может не понадобиться, если это сайт онлайн-банкинга или вы храните данные кредитной карты, то это так.
Это бизнес не техническое решение.

Answer 6

POST - открытый текст.

Безопасное соединение является обязательным.

Именно поэтому это называется безопасным подключением.

Answer 7

Один запрос POST не является безопасным, потому что все данные «перемещаются» в виде обычного текста.

Для этого вам необходим SSL.

Answer 8

Нет, используйте SSL.

С POST значения по-прежнему передаются как обычный текст, если не используется SSL.

Answer 9

Данные POST отправляются простым текстом, если вы используете незашифрованное HTTP-соединение. ЕСЛИ это достаточно безопасно, зависит от вашего использования (подсказка: это не так).

Если сервер, клиентская машина и ВСЕ МАШИНЫ МЕЖДУ ИХ являются частью контролируемой, полностью доверенной сети, это может быть нормально.

Вне этих очень ограниченных обстоятельств (а иногда даже и внутри них) обычная аутентификация текста требует неприятностей.

Answer 10

Единственная разница между HTTP GET и HTTP POST - это способ кодирования данных. В обоих случаях он отправляется как обычный текст.

Для обеспечения какой-либо безопасности учетных данных для входа требуется HTTPS.

Вам не нужен дорогой сертификат для обеспечения HTTPS.Есть много провайдеров, которые выдадут очень простые сертификаты примерно за 20 долларов США. Более дорогие включают проверку личности, которая больше беспокоит сайты электронной коммерции.

Answer 11

Зависит от того, где вы его используете и насколько безопасно вам действительно нужно.

Невозможно, чтобы кто-то получил данные POST, которые вы отправляете из своего дома, если вы не используете прокси (TOR), или кто-то нажимает на ваши провода.

Однако, если вы обеспокоены тем, что кто-то войдет в систему, используя беспроводную незащищенную сеть, то важна ssl.

Если вы банк, вы даже не можете принять такой риск. Если вы являетесь techer с входами для просмотра заданий, то вы должны быть в порядке

Answer 12

HTTP POST не зашифрован, он может быть перехвачен сетевым сниффером, прокси-сервером или просочился в журналы сервера с настраиваемым уровень регистрации. Да, POST лучше, чем GET, потому что данные POST не являются обычно, зарегистрированным прокси или сервером, но это не secure. Чтобы защитить пароль или другие конфиденциальные данные, вы должны использовать SSL или шифровать данные перед POST. Другим вариантом будет использование Digest Authentication с браузером (см. RFC 2617). Помните, что для предотвращения повторных атак недостаточно (для дома) шифрования, вы должны конкатенировать nonce и другие данные (например, realm) до шифрования (см. RFC 2617, как это делается в Digest Auth).

Answer 13

Самый безопасный способ - не отправлять учетные данные вообще.

Если вы используете Digest Authentication, тогда SSL равен NOT a must.

(NB: Я не подразумеваю, что аутентификация Digest через HTTP всегда более безопасна, чем использование POST через HTTPS).

Answer 14

<shameless plug> У меня есть blog post, который детализирует, как выглядит HTTP-запрос, и как запрос GET сравнивается с запросом POST. Ради краткости, GET:

GET /?page=123 HTTP/1.1 CRLF 
Host: jasonmbaker.wordpress.com CRLF 
User-Agent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_6; en-us) AppleWebKit/525.27.1 (KHTML, like Gecko) Version/3.2.1 Safari/525.27.1 CRLF 
Connection: close CRLF 

и POST:

POST/HTTP/1.1 CRLF 
Host: jasonmbaker.wordpress.com CRLF 
User-Agent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_5_6; en-us) AppleWebKit/525.27.1 (KHTML, like Gecko) Version/3.2.1 Safari/525.27.1 CRLF 
Connection: close CRLF 
CRLF 
page=123 

(CRLF это просто перевод строки)

Как вы можете видеть, только различия с точки зрения того, как запрос формируется *, заключается в том, что запрос POST использует слово POST, и данные формы отправляются в тело запроса по отношению к URI. Таким образом, использование HTTP POST - это безопасность безвестности. Если вы хотите защитить данные, вы должны использовать SSL.

* Обратите внимание, что там are other differences.

Answer 15

Пожалуйста, смотрите эту замечательную статью:

Защита от вредоносных POST ПРЕДЛАГАЕТ

https://perishablepress.com/protect-post-requests/