php - SSL 登录，然后是常规 http...从数据库传输的数据有多脆弱？

Question

我使用搜索引擎浏览了这个问题的网站，但我认为它不存在。如果是的话，请提前道歉并随时向我指出。

这是我的场景:

我正在设置一个 Web 应用程序，Moodle(如果有人熟悉的话)，在 Windows 上使用 Apache、MySQL 和 php。 Moodle 支持启用 SSL 登录，但在建立登录后恢复为常规 http。它运行在内部网络上，与外界没有连接，因此无法通过该网络访问 Internet。所有使用网络的用户都可以登录，但是有一些通用的访客类型登录具有某些受限的权限。目前MySQL数据库未加密。

我的问题是这样的:

如果我的用户进行 SSL 登录，然后系统在 session 的剩余部分恢复到 http，那么在浏览器界面和数据库之间来回传输的数据有多容易受到攻击？

我可能更愿意对所有数据进行加密，但我不确定这样做会对性能造成多大的影响，因此任何有关此的建议也将不胜感激。虽然我将扩展 Moodle 中的功能，但我不一定要更改它来加密所有内容(如果已经这样做了)。

我是 IT 安全领域的新手，我的 DBA 技能很生疏，所以如果你给我答案，请慢慢输入，以便我能够理解! ;)

提前致谢!卡维尔

Answer 1

一些事情。

1. 数据库服务器中的数据未加密这一事实绝不是用户与 Web 服务器之间通信的一个因素。这显然是 Web 服务器和数据库服务器之间通信的一个问题。

2. 用户和网络服务器之间的风险点在于，如果有人能够插入通信链的中间，数据包可能会被嗅探。但是，由于您位于内部网络，因此可以减轻这种风险。

因此，除非您非常关心组织中的其他人，否则您很可能没问题。但是，如果确实是敏感数据，您可能会通过 SSL 进行所有通信，以确保其安全传输。如果您担心这一点，那么我还会研究数据库的安全性以及从数据库到网络服务器的通信。