http et la section restreinte

Question

Je voudrais vous demander les gars parce que je ne suis pas sûr de la réponse.

J'ai un site Web, Asp.Net 2.0, où j'ai une section où seul l'utilisateur authentifié a accès. Pour sûr, l'utilisateur est redirigé vers la section restreinte seulement après une authentification réussie (login/pass). Mais ma question est plus préoccupé par les faits si j'ai besoin d'utiliser https sur http. Je vérifie la méthode Page_load que l'utilisateur est authentifié et est dans le rôle approprié. Comme ceci:

protected void Page_Load(object sender, EventArgs e) 
    { 
    if (!IsPostBack) 
    { 
     ApplyAuthorizationRules(); 
     InitData(); 
    } 
    } 

    private void ApplyAuthorizationRules() 
    { 
    //Check if the user is logged in 
    if (!Page.User.Identity.IsAuthenticated) 
    { 
     Response.Redirect(NotAuthenticated.UrlToSelf()); 
    } 
    //check if the user is in one of FU roles 
    if (!Page.User.IsInRole(Constants.ROLECLIENT)) 
    { 
     Response.Redirect(NotAuthorized.UrlToSelf()); 
    } 
    } 

Juste pour une meilleure desc, il est aperçu de mes paramètres web.config:

<identity impersonate="false" /> 
    <authentication mode="Windows" /> 
    <authorization> 
    <allow users="*" /> 
    </authorization> 

et il est aperçu de mon processus auth:

public static bool Login(string username, string password) 
    { 
    AppIdentity identity = AppIdentity.GetIdentity(username, password); 
    AppPrincipal principal = new AppPrincipal(identity); 
    HttpContext.Current.User = principal; 

    return identity.IsAuthenticated; 
    } 

Ainsi est -il vraiment nécessaire d'utiliser https?

Merci pour votre suggestion. X.

Answer 1

L'autorisation et le cryptage servent à différentes fins. Si les données sont sensibles, vous devriez probablement utiliser https.

Answer 2

En supposant que vous avez utilisé "Basic" HTTP authentication, sachez que si vous utilisez http, le nom d'utilisateur, mot de passe est envoyé en clair à chaque demande. Si vous souhaitez fournir plus de sécurité pour empêcher les informations d'identification d'être reniflées, utilisez https.

Il existe d'autres méthodes, telles que Digest authentication qui offrent un peu plus de protection, mais généralement, utilisez https pour tout ce dont un utilisateur peut se sentir protégé.