Передача имени пользователя и пароля в URL-адресе защищенного домена `htpasswd`, будет ли он зашифрован?
Я знаю, что вы можете ввести имя пользователя, пароль и домен для защищенного URL-адреса htpasswd, используя следующую схему:
http://$username:$password@$Domain
например:
http://sam:[email protected]
Но будет ли это работать для домена HTTPS? И если да, будут ли имя пользователя и пароль шифроваться при передаче?
Ответы 1
Есть несколько проблем с HTTP Basic Auth:
- Пароль передается по сети в кодировке base64 (которую можно легко преобразовать в открытый текст).
- Пароль отправляется повторно, для каждого запроса. (Увеличенное окно атаки)
- Пароль кэшируется веб-браузером, как минимум на длину окна/процесса. (Может быть повторно использован любым другим запросом к серверу, например, CSRF).
- Пароль может постоянно храниться в браузере, если пользователь этого потребует. (То же, что и в предыдущем пункте, кроме того, он может быть украден другим пользователем на общей машине).
Из них использование SSL решает только первое. И даже при этом SSL защищает только до тех пор, пока веб-сервер — любая внутренняя маршрутизация, ведение журнала сервера и т. д. — не увидит пароль в виде открытого текста.
Так что, как и во всем, важно смотреть на картину в целом.
Защищает ли HTTPS пароль при передаче? да.
Этого достаточно? Обычно нет. (Я хочу сказать, что всегда нет, но это действительно зависит от того, что представляет собой ваш сайт и насколько он должен быть безопасным.)
Полный кредит на ответ ниже (скопировано слово в слово)
https://security.stackexchange.com/questions/988/is-basic-auth-secure-if-done-over-https