Credenziali di autenticazione di base HTTP passate in URL e crittografia

Question

Ho una domanda sulle credenziali di autenticazione HTTPS e HTTP.

Supponiamo che io fissare un URL con l'autenticazione HTTP:

<Directory /var/www/webcallback> 
AuthType Basic 
AuthName "Restricted Area" 
AuthUserFile /var/www/passwd/passwords 
Require user gooduser 
</Directory> 

Ho quindi accedere a tale URL da un sistema remoto via HTTPS, passando le credenziali nell'URL:

https://gooduser:secretpassword@www.example.com/webcallback?foo=bar 

Sarà il nome utente e la la password deve essere automaticamente crittografata con SSL? Lo stesso vale per GET e POST? Sto avendo difficoltà a trovare una fonte credibile con queste informazioni.

Answer 1

Il nome utente e la password saranno automaticamente crittografati con SSL? Lo stesso vale per GET e POST

Sì, sì sì.

L'intera comunicazione (salva per la ricerca DNS se l'IP per il nome host non è già memorizzato nella cache) viene crittografata quando SSL è in uso.

Answer 2

Non necessariamente vero. Esso sarà criptato sul filo tuttavia atterra ancora nei log di testo normale

Answer 3

Sì, e sarà crittografato.

Lo comprenderete se controllate semplicemente cosa succede dietro le quinte.

1. Il browser o l'applicazione prima analizzano l'URL e cercano di ottenere l'IP dell'host utilizzando una query DNS. Ad esempio: verrà effettuata una richiesta DNS per trovare l'indirizzo IP del dominio (www.example.com). Si prega di notare che nessun'altra informazione verrà inviata tramite questa richiesta.
2. Il browser o l'applicazione avvieranno una connessione SSL con l'indirizzo IP ricevuto dalla richiesta DNS. I certificati verranno scambiati e ciò avviene a livello di trasporto. A questo punto non verranno trasferite informazioni sul livello di applicazione. Ricorda che l'autenticazione di base è parte di HTTP e HTTP è un protocollo a livello di applicazione. Non un'attività di trasporto.
3. Dopo aver stabilito la connessione SSL, ora i dati necessari verranno passati al server. vale a dire: il percorso o l'URL, i parametri e il nome utente e la password di autenticazione di base.