安全性——可以通过 HTTP GET 发送用户名和密码吗？

Question

我们是一个购买了系统的组织，医生使用该系统查看患者的测试结果(非常敏感的信息)。作为一名程序员，我对系统进行了探索和刺激，发现它通过 HTTP GET 请求提交用户名和密码。在它运行的域上，所有计算机都设置为绕过代理，因此带有请求的 URL 不会保存在某个代理日志中的某个地方。但我认为无论如何这都是一种不安全的处理用户名和密码的方式。

供应商会争辩说，因为我们从未要求过它，所以这将是一种“增强”，需要额外的 $$$。 (我们从来没有写过系统的规范)。

我可以向管理层提出什么样的案例，让他们觉得这不符合标准，而且这个系统安全的唯一方法可能是通过 HTTPS？

编辑:感谢您的所有回复!我已经向项目负责人提出了这个问题，她的回答是“什么是 HTTP？”。所以我打算更详细地向她解释这一切，调查法律影响，并尝试直接向程序员提出问题，询问他们为什么走那条路。我也会尝试向没有直接参与但可能对此事有一定影响的其他同事解释情况。

Answer 1

如果它是医疗数据并且您住在美国，那么访问它很可能会受到 HIPAA 法规(包括安全要求)的约束。您应该查看 http://www.cms.hhs.gov/SecurityStandard/Downloads/SecurityGuidanceforRemoteUseFinal122806.pdf .如果您不住在美国，我建议您仍然可以将 HIPAA 指向与域相关的内容。

如果您的供应商试图以额外费用退回，请说“您是说您不符合相关政府标准吗？老天，也许您应该向我们提供有关您的安全和隐私标准、保障措施的完整文档和程序。因为很明显，如果我们被罚款，我们会追你。”(IANAL 等等。)

从技术层面来看，显示清除用户名和密码是多么容易的空灵跟踪的建议肯定会让您的管理层大开眼界。鉴于嗅探正常网络流量是多么容易，以及使用 SSL 进行传输是多么容易，供应商将作为“安全增强”推回的想法是离谱的。