Pensa a una tipica applicazione web in cui gli utenti eseguono l'accesso, quindi la sessione viene mantenuta con una chiave di sessione. È possibile proteggerlo da tutti i tipi di attacchi basati sullo sniffing senza HTTPS o il suo equivalente?
Diciamo che non sono preoccupato per il trasferimento dei dati, solo password o furto di sessione.
No.
Anche supponendo che tu stia solo riferendo alla perdita di password utente e / o ID di sessione (btw "sicuro" include molto più di questo) ...
Semplicemente non esiste un modo sicuro per inviare una password utente su Internet in chiaro, senza beneficiare di un adeguato protocollo di crittografia. Senza usare TLS / SSL, saresti costretto a implementarlo tu stesso - cosa che, nel migliore dei casi, sarebbe insicura.
Allo stesso modo, l'identificatore di sessione dell'utente sarebbe ugualmente esposto, se non limitato solo a HTTPS.
Detto questo, il tutto presuppone un sito Web su Internet pubblico.
Ci sono altre situazioni che possono essere protette senza TLS / SSL:
Leggi altre domande sui tag http web-application tls