[SSL] Via http naar https versturen ook veilig ?

[BacardiBreezer]

Topic kan volgens mij hier we staan; NT, PNS is/was ook mogelijk.

Stel je bezoekt een pagina via http en logt in via een formulier die het hele verhaal doorstuurt naar een https verbinding, vanaf wanneer is het dan veilig ?

Ik heb even wat websites van grote bedrijven opgezocht waaronder ook Active24. Active24 draait het login-formulier ook via een normale http verbinding en doet de "formsubmit" naar een https verbinding.

Nu durf ik NIET te zeggen of het verzenden van de gegevens op die http-pagina tijdens het submitten ook al veilig verzonden worden..... het wordt immers naar een https-verzonden.

Beetje lastig te achterhalen vind ik.

[MTWZZ]

Aangezien een form-post een nieuwe verbinding opent neem ik aan dat browsers als ze zien dat er naar een https url gepost wordt er automagisch voor gezorgd wordt dat die verbinding vanaf het 1e begin gecrypt is.
Het lijkt me nogal vreemd als dat niet zo zou zijn. Als het niet zo zou zijn haalt dat de waarde van encryptie nogal onderuit denk ik zo.

[coubertin119]

Je bent dan nog steeds kwetsbaar voor zogenaamde man-in-the-middle attacks. Niet meer voor passive attacks, maar nog altijd kunnen je gegevens achterhaald worden.

Maar ik ben geen autoriteit op dit gebied, meer weet ik er echt niet over .

[CyBeR]

Het is heel simpel.

Alles wat via http gaat is onveilig
Alles wat via https gaat is veilig.

Dat houdt dus in dat iemand die meeluistert wel de form kan meelezen (voordat je 'm ingevuld hebt) maar omdat je die vervolgens ingevuld verstuurt naar een https server kan het daar niet.

De https verbinding wordt al meteen bij het begin versleuteld, nog voor dat er enige vorm van http is gesproken.

[BacardiBreezer]

@MTWZZ

Ik zit dus met dezelfde gedacht die jij hebt. De vraag die ik me ook stel is omdat je toch client-side met een onbeveiligde verbinding aan het werken bent voor verzenden en of dit echt zo omschakeld. Opzich zou het moeten idd, en anders zouden "de grote jongens" het ook zo niet doen natuurlijk.

CyBeR schreef op zondag 29 mei 2005 @ 19:31:
Het is heel simpel.

Alles wat via http gaat is onveilig
Alles wat via https gaat is veilig.

Dat houdt dus in dat iemand die meeluistert wel de form kan meelezen (voordat je 'm ingevuld hebt) maar omdat je die vervolgens ingevuld verstuurt naar een https server kan het daar niet.

De https verbinding wordt al meteen bij het begin versleuteld, nog voor dat er enige vorm van http is gesproken.

Lijkt me duidelijk dat http onveilig is en https niet..... ging alleen even om de omschakeling.

Ik denk dat jouw verhaal mijn idee ook wel enigzins richting "dat gaat wel werken" bevestigt

[ Voor 62% gewijzigd door BacardiBreezer op 29-05-2005 19:34 ]

[MTWZZ]

Je kunt anders ook nog even een testje bouwen en dan met ethereal de boel sniffen dan ben je er snel genoeg achter.

[BacardiBreezer]

MTWZZ schreef op zondag 29 mei 2005 @ 19:48:
Je kunt anders ook nog even een testje bouwen en dan met ethereal de boel sniffen dan ben je er snel genoeg achter.

Dat is een hele goede tip !! Ik kan het zelfs APT-GETTEN op mijn Debian-sys... helemaal geweldig !

[NMe]

Sorry BacardiBreezer, maar ik ga je topic alweer sluiten. Je geeft in deze topicstart wederom er geen blijk van dat je ook maar iets hebt geprobeerd om er zelf uit te komen. Desnoods had je even een Windows-pc met Internet Explorer gepakt waarbij je het formuliertje gebruikt. Een cleane (nieuwe) install van IE vertelt het je als je een beveiligde verbinding opent of afsluit. (Firefox meldt het geloof ik alleen als je een beveiligde verbinding verlaat, maar dat kan ik mis hebben.)

Verder heb je dit topic inderdaad niet in het goede forum geplaatst. Als je daarover twijfelt, post het topic dan niet gewoon ergens, maar spreek een moderator aan. Dit topic had beter zijn plaats gevonden in Internet & Telefonie, maar aangezien het antwoord toch al gegeven is en je wederom geen blijk geeft van het feit dat je zelf ook maar iets geprobeerd hebt, doe ik je topic op slot.