Credenciais de autenticação básica HTTP transmitidas na URL e criptografia

250

Tenho uma pergunta sobre credenciais de autenticação HTTPS e HTTP.

Suponha que eu proteja uma URL com autenticação HTTP:

<Directory /var/www/webcallback>
AuthType Basic
AuthName "Restricted Area"
AuthUserFile /var/www/passwd/passwords
Require user gooduser
</Directory>

Depois, acesso esse URL a partir de um sistema remoto via HTTPS, passando as credenciais no URL:

https://gooduser:secretpassword@www.example.com/webcallback?foo=bar

O nome de usuário e a senha serão automaticamente criptografados por SSL? O mesmo vale para GETs e POSTs? Estou com dificuldade para localizar uma fonte confiável com essas informações.

https basic-authentication

— rcourtna
fonte

Relacionado: Nome de usuário e senha no URL https

— Hawkeye Parker

Pergunta muito antiga, mas, no entanto: essa abordagem foi preterida por ietf.org/rfc/rfc3986.txt : "O uso do formato" usuário: senha "no campo userinfo foi preterido."

— Madbreaks

Respostas:

237

O nome de usuário e a senha serão automaticamente criptografados por SSL? O mesmo vale para GETs e POSTs

Sim Sim Sim.

Toda a comunicação (exceto a pesquisa de DNS se o IP do nome do host ainda não estiver armazenado em cache) é criptografada quando o SSL está em uso.

— Quentin
fonte

+1. GETs e POSTs, incluindo o URL, são criptografados. Vou acrescentar apenas - ferramentas como os dados do firebug e do Tamper podem mostrar os resultados não criptografados apenas porque fazem parte do navegador e, portanto, são capazes de interceptar a solicitação antes que ela seja criptografada. Uma vez enviado pela ligação, tudo é criptografado.

— Sripathi Krishnan

Para ser claro, tudo, exceto o domínio, é criptografado. Se alguém se deparar com isso e

— desejar

Por uma questão de integridade, "O Internet Explorer não oferece suporte a nomes de usuário e senhas em endereços de sites (URLs HTTP ou HTTPS) " Parece que apenas as versões 3.0 a 6.0 do Internet Explorer oferecem suporte à seguinte sintaxe para URLs HTTP ou HTTPS: http (s): //username:password@server/resource.ext Nota: Essa alteração no comportamento padrão não afeta outros protocolos. Por exemplo, você ainda pode incluir informações do usuário em um URL FTP depois de instalar a atualização de segurança 832894.

— Luke

esta resposta não contém nenhuma fonte confiável nem explicações adicionais.

— precisa saber é o seguinte

Sim, será criptografado.

Você entenderá se simplesmente verificar o que acontece nos bastidores.

O navegador ou aplicativo primeiro divide a URL e tenta obter o IP do host usando uma Consulta DNS. ou seja: será feita uma solicitação de DNS para encontrar o endereço IP do domínio (www.example.com). Observe que nenhuma outra informação será enviada por essa solicitação.
O navegador ou aplicativo iniciará uma conexão SSL com o endereço IP recebido da solicitação DNS. Os certificados serão trocados e isso acontece no nível do transporte. Nenhuma informação no nível do aplicativo será transferida neste momento. Lembre-se de que a autenticação básica faz parte do HTTP e o HTTP é um protocolo no nível do aplicativo. Não é uma tarefa da camada de transporte.
Depois de estabelecer a conexão SSL, agora os dados necessários serão transmitidos ao servidor. ou seja: O caminho ou o URL, os parâmetros e o nome de usuário e senha de autenticação básica.

— Ruchira Randana
fonte

-5

Não é necessariamente verdade. Ele será criptografado na conexão, no entanto, continuará no texto simples dos logs

— Brandon
fonte

Qual servidor Web registra o nome de usuário e as senhas das solicitações? Seria um servidor web inseguro.

— Andrew Barber

Sim, isso não é verdade. Provavelmente, é possível instruir o apache para registrar essas informações, mas certamente não o faz por padrão.

— DougW 13/08/12

O @Brandon provavelmente estava pensando "em URL" na string de consulta (por exemplo,? User = bob & pw = 123hackmeplz). Isso pode acabar nos logs do servidor.

— Mike Graf

Relacionado: "Quando você chama esse URL no cliente com, por exemplo, curvatura, o nome de usuário e a senha ficam claramente visíveis na lista de processos e podem aparecer no arquivo de histórico do bash". - stackoverflow.com/a/4981309

— Hawkeye Parker

@ zb226, o autor da pergunta mencionou especificamente a colocação das credenciais no URL.

— Lambart