De HTTP à HTTPS, le plus tôt sera le mieux?

Question

Si j'ai cette page dans "http://example.com/login" avec verbe GET:

<form action="https://example.com/login" method="post"> 
    <input type="text" name="login"/> 
    <input type="password" name="pass"/> 
    <input type="submit" value="Login"/> 
</form> 

Est-ce une faille de sécurité? Je veux dire, la page est HTTP mais lors de l'envoi des données, elle utilise HTTPS. J'ai lu plusieurs fois que je devrais déjà exiger HTTPS dans la page de connexion, mais je ne vois pas clairement pourquoi.

Answer 1

Oui, c'est défectueux. Ce que vous avez est sûr aussi loin que possible tant que c'est votre formulaire de connexion que l'utilisateur voit. Parce que votre formulaire de connexion n'est pas sécurisé, je peux remplacer mon propre formulaire de connexion par usurpation d'identité et collecter les informations de connexion de vos utilisateurs, par exemple. via une attaque man-in-the-middle. Un système de connexion n'est sécurisé que si le formulaire de connexion et la page cible utilisent le protocole SSL.

En outre, il ne semble pas sécurisé pour l'utilisateur. Les utilisateurs recherchent le symbole du cadenas sur le formulaire de connexion, et le vôtre n'en a pas.

Answer 2

Oui, c'est un défaut de sécurité.

Étant donné que le formulaire est servi sur HTTP, il est susceptible d'être modifié en cours de route. Cette modification peut être, par exemple, l'ajout de JavaScript qui envoie les informations d'identification à un serveur contrôlé par l'attaquant, ainsi que le fait que le navigateur se connecte normalement.