¿Cómo asegurar que un inicio de sesión realmente está pasando por http?

2

Por eso me ofrecieron la oportunidad de asistir a un evento de concienciación sobre seguridad de un día de duración organizado por alguna organización. En su sitio, noté el cuadro de inicio de sesión en la esquina, pero el sitio se entregó en HTTP. Probablemente lo están haciendo como en otros sitios y solo usan https para el inicio de sesión real. , pensé. Así que verifiqué el origen de la página, encontré el formulario que se envió para iniciar sesión y noté 'http: // ...'.

Así que decido hacer una prueba. Rompe las herramientas de desarrollador de Google y captura la publicación. Todavía no veo ninguna mención de https y veo mi contraseña falsa en texto sin formato (por lo que no se cifraron con javascript antes de enviar).

Estoy deseando señalar esto a la atención de mis compañeros de trabajo, pero primero quiero estar seguro de que realmente lo están enviando a través de http. ¿Hay alguna otra forma de verificar que la conexión se realiza a través de http (aparte de configurar un ataque MITM en mí mismo, lo cual estoy bastante seguro de que causaría que el administrador de la red exprese gran ... desagrado hacia mí)?     

pregunta Lawtonfogle 19.12.2014 - 21:29
fuente

2 respuestas

7

Lo que has hecho es una prueba bastante completa, pero puedes obtener una prueba sólida de esta manera: instala Wireshark en tu propia computadora, active la captura de paquetes y realice el inicio de sesión. Si es HTTPS, los paquetes que capture se marcarán como tales y se cifrarán. De lo contrario, podrá ver las credenciales de inicio de sesión en claire en los datos capturados.

Tenga en cuenta que cifrar el lado del cliente con JavaScript no funciona. Es vulnerable a los ataques de repetición y MITM porque cualquier cliente que envíe al servidor efectivamente es la contraseña, no importa lo que se le haya hecho.

    
respondido por el Bob Brown 20.12.2014 - 06:10
fuente
3

La forma más segura de disparar sería colocar un enrutador en línea y monitorear los paquetes, pero al final del día es realmente irrelevante. En el mejor de los casos, están rodando su propia criptografía, que sigue siendo terriblemente mala.

Hay varias formas en que una página que no es HTTPS podría verse comprometida a renunciar a las credenciales, incluso si están realizando algún tipo de cifrado del lado del cliente en javascript que falta.

    
respondido por el AJ Henderson 19.12.2014 - 22:21
fuente

Lea otras preguntas en las etiquetas