Comment soumettre des informations de connexion en toute sécurité depuis une page non-wrappée SSL?

Question

Dans mes pages Web qui ne sont pas enveloppées SSL, j'ai un formulaire de connexion. Les utilisateurs peuvent entrer leur nom d'utilisateur et mot de passe et soumettre les informations dans ce formulaire de connexion pour s'authentifier.

L'action spécifiée dans le formulaire de connexion est https: /// login. Est-ce suffisant pour que le fichier soit crypté ou les deux pages doivent-elles être ssl?

Merci Eric

Answer 1

Il suffit. De cette façon, un attaquant ne peut pas obtenir l'identifiant et le mot de passe car le navigateur les envoie cryptés. MAIS Si, après la connexion, vous revenez à http simple, un attaquant peut renifler le cookie de session et l'utiliser pour usurper l'identité de vos utilisateurs. Voir firesheep pour plus de détails.