Die einfachste Lösung seine Daten verschlüsselt zu übertragen ist SSL.
Wer an Opensource Webprojekten schraubt kann aber weder den User zwingen teure Zertifikate zu kaufen oder entsprechende Module wie mycrypt für AES oder openSSL bei seinem Hoster nachzurüsten.

Eine symetrische Verschlüsselung mit AES scheidet wegen dem “man in the middle” Problem aus. Also muss eine Methode her, die bei Netzwerküberwachung keine Daten preisgibt die einfach zu entschlüsseln wären.

Ich habe mich auf Anraten eines Commuitymitglieds (Danke an goosejan für die Nerven) entschieden, das asymetrische PKI Verfahren zu verwenden.
Auf der Clientseite werden die Formularinhalte mittels Javascript RC4 mit einem öffentlichen Schlüssel verschlüsselt, den der Server liefert und per Ajax an den Server übertragen. Das Ganze funktioniert 2 Way. Die Antwort des Servers wird natürlich auch verschlüsselt und clientseitig wieder entschlüsselt.

Als Privatekey auf dem Server wird eine 40 Zeichen lange Zeichenkette verwendet.

Als Grundlage habe ich die Implementierung verschiedener Programmierkollegen verwendet (siehe Sourcecomments).
Das Ganze habe ich auf Zend Framework 1.9.6 mit jquery (jquery-min) portiert und als Zend Modul “Zend_RSAjax” für Zend-Framework Projekte flott gemacht.

Hier sind die Sourcen dazu.
library: liegt bei mir unter library im Zend_Framework Projektordner, damit sie automatisch geladen werden
library:Zend_RSAjax
public: javascripte im publicordner
public:javascripts

Lizenzen: Bitte die Lizenzen MIT und GPL der einzelnen Implementierungen beachten.

Hier das Tutorial:
1) Controller anlegen, der die Requests entgegennimmt. Bei mir liegt der im Modul Admin also Admin_PgpController)

<?php
/**
 * @desc implements the serverside RAS RC4
 * @author: Peter Boethig
 */
class Admin_PgpController extends Zend_Controller_Action {

    public function init() {

        $this->RSAWrapper = new Zend_RSAjax_Wrapper();
    }

    public function indexAction() {
        ;
    }
    //disable layout for Ajaxcalls
    public function preDispatch() {
        $this->_helper->layout()->disableLayout();
        $this->_helper->viewRenderer->setNoRender(true);
    }

    //return the pKey for clientsite
    public function getpublickeyAction() {
        $json = array('n'=>$this->RSAWrapper->rsajax_server_n, 'e'=>$this->RSAWrapper->rsajax_server_e);
        print(json_encode($json));
    }

    //saves PK into session
    public function setsessionAction() {
        if($this->_request->getParam('key') !=null) {
            if(!session_id){session_start();}
            $_SESSION['s_rsajax_client_key'] = $this->RSAWrapper->decrypt($this->_request->getParam('key'));
        }
    }

    //decodes Value and returns encoded
    public function getkeyAction() {
        if($this->_request->getParam('secure')=='t') {
            $val = $this->RSAWrapper->encrypt($this->RSAWrapper->decrypt($this->_request->getParam('val')));
        }
        header('Content-Type: text/html;charset=utf-8');
        print(json_encode(array('val'=>utf8_encode($val))));
    }
}

2) RC4 und RAS Javscripte für die Clientseite einhängen
Hier im Downloadlink sind die Sourcen dazu. einfach in den html Head einhängen.

3) In dem Viewscript oder in einem Helper, welches das Formular enthält zb. index.phtml wird ein Javascript ausgeben, welches die Secure Session startet.

$SecureSession = new Zend_RSAjax_SecureSession();
$this->getController     = $this->baseURL."/admin/pgp/getpublickey";  // Pfad auf  die Controlleraction (bei mir admin)
$this->sessionController = $this->baseURL."/admin/pgp/setsession";
echo $SecureSession->create();

4) Das Formular übertragen

<input type=’submit’ onclick=’sendForm()’>

function sendForm(){
        var secure = true; //should be tested
        var secureParam = secure ? 't' : 'f';
        val='testpass';  // your formvalues

        if(secure){
            val = rsajax.encrypt(val);
        }

        $.ajax({
            url: '/cocominZend/0.0.1/public/admin/pgp/getkey', //your requestcontroller in Zend
            data: {val: val, secure: secureParam},
            dataType: 'json',
            success: function(data)
            {
                var val = data.val;
                if(secure)
                {
                    val = rsajax.decrypt(val);
                    alert(val + 'As you can see, your data was encrypted. Nobody could have read it by monitoring your network activity.');
                }
                else
                {
                    alert('Anybody who happened to be monitoring your network activity could have seen that data.');
                }
          },
            error: function(e)
            {
                alert('error:'+e.responseText);
            }
        });
}