使用OpenID進行登錄的頁面是否需要通過https提供服務？

Question

使用用戶名/密碼登錄的網站顯然需要通過https運行登錄過程。僅在使用OpenID時是否適用，或者使用https的提供商是否足以確保安全？

Answer 1

一切仍然必須是HTTPS才能保證安全。否則，攻擊者可以攔截用戶提供的OpenID字符串，並將其替換爲他們自己的惡意OpenID服務器。這會很糟糕，並且會欺騙所有人，但最聰明的用戶將他們的密碼輸入到錯誤的服務器中。

他們甚至可以用真實的OpenID服務器替換您的客戶端，並讓客戶端（無效）在返回到您的網站之前登錄...如果他們這樣做，他們不會偷用戶的密碼，但他們仍然有一個後門進入他們的帳戶。

也許更重要的是，如果您不使用HTTPS，則您發送的會話cookie不安全。所以攻擊者可以等待，直到用戶登錄，然後竊取他們的會話。