asp.net - https 能否回退到 http 和 https 的安全级别

Question

我正在考虑为我的域安装 SSL/TLS。有两个问题一直困扰着我:

• 是否存在 https 连接可以回退到 http 的情况？所以，例如如果我的 ajax 看起来像这样

  $.post("https://foo.com", function(){ 
  
  });
  

  这有没有可能变成

  $.post("http://foo.com", function(){ 
  
  });
  

  即使是这样，我的域仍然可以在 http://foo.com 访问吗？ ?

• 接下来我广泛阅读了有关使用 SSL/TLS 的内容，从我所阅读的内容来看，假设我启用了此功能并且即使我以纯文本形式发送用户凭据，它仍然是相当准确的安全(当然会有盐加密和服务器上的所有内容)。这在多大程度上是正确的，在客户端上创建哈希然后通过 https 发送它会更安全吗？

更新:如果通过 SSL 发送明文足够安全，那么使用 cnonce 之类的东西的真正意义是什么？这不是客户端不必要的开销吗？

Answer 1

1. 不，HTTPS 永远不会自动回退到 HTTP。这将需要用户有意识地采取行动。如果您只是通过将其 URL 放入地址栏来访问网页，这很容易；对于表单提交，它更难。

2. 是的，可以通过 SSL 发送纯文本。事实上，发送散列密码并不能真正提高安全性——如果有人设法嗅探连接并获得散列密码，这就是他们登录站点所需的全部内容。它有一个小优势:如果用户在多个站点使用相同的密码，了解一个站点的散列密码并不能帮助他们进入另一个使用不同(或没有)散列的站点。而且发送加盐哈希不太可能可行，因为客户端不知道加盐值。

cnonce 增加了额外的保护级别。如果以某种方式有人设法破解 SSL 加密，则 cnonce 会阻止他们从中获取可用密码。这基本上解决了我上面关于为什么发送散列密码没有帮助的观点:您需要的是在 session 之间发生变化的东西，而 cnonce 提供了这个。

参见 https://security.stackexchange.com/questions/3001/what-is-the-use-of-a-client-nonce