Adatbázis biztonságos HTTP kapcsolaton?

Azt megnézem, ha te http-n keresztül kapcsolódsz adatbázishoz.

[link]

HTTPS csak a kommunikáció csatornát titkosítja. Azaz az alábbi képen a email=...&password=...&... nem látszódna.

[link]

HTTPS kérés miután beesik a szerverre, onnan a titkosítás semmivé válik, mivel a webszervernek értelmeznie kell, hogy a küldő mit küldött.

Fentiek miatt, ha gyenge a weboldal biztonságos jellemzői, akkor a HTTP/HTTPS megléte majdhogy mindegy.

Így egy SQL Injection technikállal elérhető az adatbázis. Fentiek értelmében a https sem nyújt védelmet, csak a http csomag lehallgatása ellen.

Kedves kérdező... Akkor csináld úgy, ahogy jónak látod, ha nem éretted meg, amit én akartam mondani a 3. válaszban.

A "úgy gondolom" nem azt jelenti, hogy a biztonsági mechanizmusok kihagyhatóak. Szóval sok sikert. :)

A http egy protokoll a szerver és a kliens közötti kommunikációra. Ez a protokoll szöveges természetű.

A kliens küld egy kérést a szerver felé, ami valahogy így néz ki:

GET /utvonal/fajlnev.kiterjesztes HTTP/1.1

Host: valami.hu

Connection: close

User-Agent: …

…

Ebben a kérésben benne van néhány információ a kliensről, hogy milyen böngésző kéri az oldalt, milyen nyelveket, karakterkódolást preferál, esetleg benne vannak a kliensen tárolt sütik, POST kérés esetén az átadott adatok. A szerver meg erre fog egy választ adni, ami nyilván lehet egy html tartalom, egy kép, egy hang, ez zene, egy akármilyen fájl, stb…

Ezzel az a gond, hogy egy támadó be tud ékelődni a kliens és a szerver közötti kommunikációba, így le tudja hallgatni a kommunikációt – így bizalmas információkhoz tud hozzáférni –, sőt manipulálni is tudja a kommunikációt, illetve kiadhatja magát valamelyik szereplőnek.

A https protokoll erre húzódik rá, a szerver és a kliens közötti kommunikáció titkosított módon történik, a kliens által küldött adatokat csak a tényleges szerver, a szerver által küldött információkat csak a tényleges kilens tudja dekódolni. A közbeékelődött támadó nem tudja dekódolni a kommunikációt, nem tudja manipulálni azt, nem tud közvetíteni a két fél között, nem tudja kiadni magát egyik vagy másik szereplőnek.

~ ~ ~

A PHP a szerveren fut. Az adatbázis is. Ez nem http protokollon zajlik, nem a kliens és a szerver közötti kommunikációról, hanem a szerveren belül zajló kommunikációról van szó, így szigorúan nézve nincs jelentősége annak, hogy amúgy a szerver a klienssel milyen protokollal kommunikál, http, https, vagy valami egészen más protokollal.

Az adatbázis szempontjából maximum annyiban van jelentősége a http/https kérdésnek, amennyiben a szerver ad valamilyen elérést http(s) protokollon keresztül az adatbázishoz, mondjuk egy phpMyAdmin segítségével. Ebben az esetben azért nagyon nem mindegy, hogy titkosított-e a kliens és a szerver közötti kommunikáció. De jobb helyeken nem folyamodnak ilyen megoldáshoz.