Безопасность при авторизации в попапе

Здравствуйте!

Нужно сделать авторизацию в попапе. Хочу понять как это сделать наиболее правильным путем. Основной момент - как передать строку пароля на сервер.

Допустим, два поля: логин, пароль. Создаем массив, пихаем их туда и аяксом шлем на сервер, где сверяем с базой, после чего редиректим или отдаем строку с ошибкой. Но получается некрасиво - открыв консольку можно свободно прочитать строку пароля в описании ПОСТ-запроса.

Кроме того, Файрбаг толсто намекает:
Форма с незащищённым (http://) действием содержит поля для ввода пароля. Это представляет собой угрозу безопасности, которая позволяет украсть учетные данные для входа пользователя.

Незащищённая (http://) страница содержит поля для ввода пароля. Это представляет собой угрозу безопасности, которая позволяет украсть учетные данные для входа пользователя.

Подскажите, как наиболее канонично решаются такие задачи? Вряд ли хватит сделать мд5 на пароль. Как-то наверно надо из http сделать https?

(Отредактировано автором: 23 Декабря, 2013 - 12:09:10)

Vdomah, https.

Апдейтил свой первый пост. Это понятно, а конкретно что как сделать?

Vdomah, даже если вы отправите пароль в md5, а я его увижу, что помешает мне послать ту же самую строку на сервер?
Единственный способ - получение/установка SSL сертификата и настройка сервера.

(Отредактировано автором: 23 Декабря, 2013 - 12:15:34)

И что?
Это совершенно логично, что клиент может получить доступ к своему паролю до его инкапсуляции в HTTPS.

-----
PostgreSQL DBA

Мелкий

Вы хотите сказать, что так, как у меня сейчас, можно оставлять?

IllusionMH

Полистал ссылки по этому поводу - везде длинные сложные инструкции. Мне не лень, но хочу уточнить: необходимо ли это применять в данном случае? И чего можно опасаться, если не сделать?

Vdomah, там еще сертификаты стоят тысячи денег, так что это критичный вопрос.
Зависит от приложения. Если это банк и работа с деньгами, сертификат нужен, либо если утечка может стоить денег, которые в несколько раз больше. чем необходимые для сертификатов.
Если очень захотеть и иметь возможность перехватывать трафик от клиента, то можно получить данные для входа. Если используется шифрование, то нужно еще и открытую часть ключа узнать.

Не банк, так что, я понял, такая ситуация нормальна. Спасибо.

Vdomah, разлогиньтесь и зайдите на главную страницу этого форума с открытой консолью ;)

Хахаха))) От жеж файрбаг, паникует зря и меня заставил задуматься!