In primo luogo, ho creato un delegato privato sul mio sito web per OpenID e ho indirizzato il mio account SE all'URL sul mio sito web; SE non è a conoscenza dell'effettivo endpoint del provider OpenID finché la mia risposta delegata non lo dice.
In secondo luogo, quando si autentica su SE e altri, si noti che se non si digita esplicitamente https: // ... rende la richiesta utilizzando HTTP anziché HTTPS.
In terzo luogo, avendo associato il mio account SE al mio endpoint OpenID, sono in grado di utilizzare HTTP o HTTPS per accedere, nonostante l'utilizzo di HTTPS quando l'account è stato associato.
Questo, quindi, non mi apre ad un attacco MITM in cui l'attaccante modifica semplicemente la risposta dal mio server web per delegare al proprio provider OpenID, ottenendo in tal modo l'accesso al mio account SE?
Nota: non sto parlando dell'attuale fase di autenticazione con il provider OpenID, che utilizza HTTPS e reindirizza a HTTPS se vi si accede tramite HTTP, sto parlando della richiesta iniziale da parte di SE al mio delegato, che SE consente di essere fatto usando HTTP perché memorizzano solo l'URL dal dominio di base in poi (omettendo sia il protocollo che il sottodominio) da utilizzare per la corrispondenza fino a un account invece dell'URL completo.