security - 从 HTTP 表单提交到 HTTPS 安全吗？

Question

可以通过 https 从 http 表单提交吗？看起来它应该是安全的，但它允许中间人攻击(here is a good discussion)。有像 mint.com 这样的网站允许您从 http 页面登录，但执行 https 发布。在我的网站中，请求是拥有一个 http 登陆页面，但能够安全登录。难道不值得冒可能的安全风险吗？我应该让所有用户都转到安全页面登录(或使登陆页面安全)吗？

Answer 1

将表单从 http 页面发布到 https 页面确实会在以最简单的方式传输表单中的数据时对其进行加密。如果存在中间人攻击，浏览器会向您发出警告。

但是，如果原始http表单受到中间人攻击并且https回发地址被攻击者修改，那么您将不会收到任何警告。数据实际上仍然会被加密，但中间人攻击者将能够解密(因为他首先向您发送了 key )并读取数据。

此外，如果表单通过其他方式(脚本连接)发回内容，则在发布表单之前，可能会通过线路发送未加密的数据(尽管任何好的网站都不会使用任何类型的方式执行此操作)敏感数据)。