Protegendo o tráfego enviado via HTTP, lado do cliente [fechado]

Question

Atualmente, estou escrevendo sobre HTTP e HTTPS e as vantagens do HTTPS. Eu estava pensando, é possível enviar dados com segurança para um servidor, ou seja, login, que é apenas HTTP. O resultado foi que as credenciais de login são criptografadas antes de serem enviadas. não são legíveis (usando o wireshark), mas o servidor ainda pode recuperar as informações.

Eu posso entender por que isso não seria possível, como tornar o servidor o único a ler as credenciais.

Novamente, isso foi apenas um pensamento.

    

Answer 1

É realmente possível. Você pode implementar os algoritmos criptográficos que o SSL usa no JavaScript do lado do cliente e criptografar sua data com uma chave pública. Somente o aplicativo em seu servidor teria a chave privada correspondente e, portanto, ninguém poderia ler os dados mesmo quando estiver usando HTTP simples.

No entanto, há uma grande desvantagem em relação ao SSL: você não está protegido contra ataques do tipo Man-in-the-Middle (quem substituirá a chave pública por um que tenha a chave privada). Fazer o mesmo com HTTPS exigiria uma CA corrupta / maliciosa ou o usuário aceitaria um certificado inválido / auto-assinado.