暗号化されていない、httpのページから、 SSL通信のhttpsへPOSTする場合、 セッション確立前なので、 暗号化されていないと思っていたので、 私がログインページ…

暗号化されていない、httpのページから、 SSL通信のhttpsへPOSTする場合、 セッション確立前なので、 暗号化されていないと思っていたので、 私がログインページなどを作る場合、 httpsのページに一旦アクセスさせてから、 そこにログインフォームを作っていました。 しかし、知人の話によると、httpsへPOSTされるデータは、 どこからとも関係なく、すでに暗号化されているので、大丈夫といわれました。 SSLにおいてHandshake（SSLのセッション確立）が完了した後のクライアント（ブラウザ）と サーバ（Ｗｅｂサーバ）間の電文はすべて暗号化されると認識していたのですが、 違ったのでしょうか？

[bebit]

知らなかった。mixiやはてながhttpsのログインフォームを提供しているのは「ユーザーを安心させるためだけ」ってこと？

[guri0414]

SSL⇔非SSL間のPOSTでの値の引渡し