Niniejszym piszę, że wiem jak działa SSL, wiem po co jest, wiem co zapewnia i wiem, że jest do podsłuchania/obejścia po jednej ze stron łącza (właściwie po obu, ale łatwiej po stronie użytkownika). Ponadto klucze były upraszczane swego czasu, niektóre metody szyfrowania zostały zaklasyfikowane jako niebezpieczne, i zalecono używać krótszych, "bezpieczniejszych" kluczy. Więc _domyślam się_ że podsłuch może się odbywać również na pośredniczących routerach; a na pewno logowanie i później ew. deszyfracja offline wybranych pakietów.
A co ma JS? ano to, że serwer wysyła określony kod szyfrujący JS z określonymi kluczami publicznymi, haszuje i szyfruje hasło, wysyła na serwer, a serwer kluczem prywatnym (i publicznym) sobie to odszyfrowuje i porównuje hasz. Nie wiem, czy takie rozwiązania są stosowane pewnie tak. Ale jest to jak najbardziej możliwe i bezpieczne, jeśli nie będzie luk.