[BROWSER] Wanneer is https precies veilig?

[Cliff]

Hallo,

Ik heb een meningsverschil met een collega en we komen er niet helemaal uit.

In een programma wat we gebruiken staat een regel code die er ongeveer zo uitziet:

code:

wget https://www.domeinnaam.nl/bladiebla.php?login=username&password=geheim

Ons meningsverschil is over de veiligheid. Volgens mijn collega is dit veilig, omdat het https is. Volgens mij niet, omdat dit commando eerst verstuurd wordt voordat het versleuteld wordt. Het wachtwoord zou dus op te pikken zijn omdat het ongecodeerd die kant op geschoten wordt.

Weten jullie hoe het zit?

[ Voor 1% gewijzigd door Cliff op 22-06-2009 14:32 . Reden: code tgas vergeten ]

[Orion84]

Er wordt eerst een SSL verbinding opgezet voordat daar versleutelde pakketjes met daarin HTTP requests en responses overheen gaan

Moet je alleen natuurlijk nog wel even zorgen dat het systeem waarop dat programma staat beveiligd is, zodat die code niet te lezen is door onbevoegden en onbevoegden ook niet kunnen zien dat je dat wget commando aan het uitvoeren bent.

[ Voor 4% gewijzigd door Orion84 op 22-06-2009 14:38 ]

[Eddy Dean]

Ik heb het net even geprobeert met een sniffer erbij. Er wordt eerst een verbinding gemaakt met de server, zonder de parameters enzo, daarna wordt over de beveiligde verbinding een echte request gemaakt.

Het wachtwoord is dus niet op te pikken, de domeinnaam wel.

[Cliff]

Bedankt! Dit was precies wat ik wilde weten

[Verwijderd]

met een geldig SSL certificaat kan je het bron identificeren. Je weet dus dat bijvv. domeinnaam.nl echt van domeinnaam.nl is (als de CA een beetje betrouwbaar is).

Dit voorkomt dat je door typo fouten je wachtwoord aan een phising site afstaat.

en idd check daarna even met een sniffer om te kijken of het daadwerkelijk versleuteld word.


Daarnaast. je verstuurt hem alsnog met een GET verzoek, hij valt dus nog uit je browser cache te halen. Gebruik altijd POST voor dit soort dingen!!!!