Cuando uso HTTP BASIC authentication junto con HTTPS, ¿el nombre de usuario y la contraseña se pasan de forma segura al servidor?autenticación HTTPS y BASIC
Estaría encantado si me puede ayudar con algunas referencias.
Quiero decir, sería genial si puedo citar StackOverflow Q & A como referencia en, por ejemplo, asignaciones, informes, exámenes o incluso en un documento técnico. Pero creo que todavía no estoy allí.
sí. Si usa https, la conversación con el servidor web está completamente encriptada.
+1. Incluso el hecho de que Basic Auth se lleve a cabo no se puede establecer desde el exterior. – Thilo
@Thilo: Gracias; ¿Me puedes ayudar con algunas referencias? –
[Stripe] (https://stripe.com/docs/api#authentication) le gusta esto (y procesan las transacciones con tarjeta de crédito). – greatwitenorth
HTTP Basic Authentication y HTTPS son conceptos diferentes.
Nota: existe una diferencia entre la autorización y la seguridad. La autorización básica HTTP es un concepto de autorización, no es seguridad
SÍ. En su caso, el mensaje HTTP con nombre de usuario y contraseña se cifrará y luego se enviará al servidor.
Es la autenticación HTTP básica, no la autorización, que es otro concepto más. – Bruno
Por autorización me refiero al encabezado "401 no autorizado" según RFC 2617. Lo siento por crear confusión – Alam
También vale la pena mencionar que HTTPS también proporciona formas de autenticación (registro basado en el inicio de sesión), no solo cifrado: la autenticación HTTP básica puede no ser necesitado allí. –
Sí, se pasan de forma segura ... si un hacker puede descifrar su transacción https él puede descifrar con seguridad al usuario base64: contraseña ...
Sé que el más rocas que ponen más difícil se hace. .. pero base64 no es por razones de seguridad
¿Podría indicarnos cómo saltó de la autenticación HTTP BASIC a base64? –
Las contraseñas de autenticación básica están codificadas en base64. Estas cadenas luego son encriptadas por SSL. – bnieland
Si una herramienta como Fiddler está instalada en su sistema local, podría usarse para reenviar sus transmisiones https descifradas a un tercero. Si alguien lo configura para hacer esto, ya posee su sistema (ya sea que tenga acceso físico o acceso completo/raíz).
Mi otra pregunta tiene muy buenas respuestas que también responden esta pregunta: http://stackoverflow.com/questions/3563957/https-url-path-and-query-string –