[zajeli-wszystkie-loginy]

Czy wysłanie hasła postem po ssl ze skryptu js(ajax) do skryptu php jest bezpieczne? Wiem że post jest szyfrowany a nagłówki http?
#javascript #webdev #programowanie

[Zajc]

@zajeli-wszystkie-loginy: SSL szyfruje całość ruchu HTTP, więc nie ma to znaczenia, czy wyślesz dane (login, hasło) normalnie formularzem (POST), czy też AJAXem.

[koob]

@zajeli-wszystkie-loginy: nagłówkie też są szyfrowane. Nie lepiej przesyłać od razu szyfrowane hasło zamiast plaintextem ?

[zajeli-wszystkie-loginy]

@koob: @Zajc: a znacie jakiś atak na przeglądarkę, zanim post zostanie wysłany? (w tym przypadku niezaszyfrowane hasło)

[Zaszczyk]

@zajeli-wszystkie-loginy: CSRF

[brakloginuf]

@zajeli-wszystkie-loginy: przeciez post to nic innego jak naglowek ;)

[Jurigag]

@koob: po cholere ? i niemów tutaj o snifferach, skoro ktoś ma sniffera na kompie to i tak ma na 99% keyloggera, trojany i inny syf

[koob]

@Jurigag: bo zwyczajnie jest bezpieczniej ?
https://niebezpiecznik.pl/post/drown-nowy-atak-na-protokol-https-tlssslv2/ i heartbleed ?
i jeszcze pewnie jakieś inne exploity w SSL o których nie wiemy

[Jurigag]

@koob: i jak to szyfrowanie ma niby pomóc ? XD

[koob]

@Jurigag: tak, że hasło będzie zaszyfrowane, a nie w plaintexcie ?

[Jurigag]

@koob: beka z ciebie, przecież jeśli ktoś potrafi skorzystać z tych luk co piszesz to jakieś szyfrowanie po stronie klienta hasła i jego deszyfracja to będzie dla niego pikuś, to jest zerowe zabezpieczenie i szkoda naprawdę na takie rzeczy tracić czasu, wstawienie breakpointa w jsie takie trudne i kosztowne xd

[koob]

@Jurigag: jak chcesz zdeszyfrować hasło przy szyfrowaniu jednokierunkowym ?

[Jurigag]

@koob: w ogóle go nie szyfrować ? XD

[koob]

@Jurigag: w sumie jeżeli założymy, że atakujący może zaserwować własny js to nie ma sensu.