Возмжно ли перехватить пароли через HTTPS?
Кратко: Возможно.
Шифруйте свой трафик своим протоколом внутри SSL.
При отправке формы, на стороне браузера всё шифруется публичным ключем. Потому провайдер не видит что отправляется, он видит бессмысленные символы. На сервере всё расшифровывается и уже используется. То же самое и при отправке данных с сервера, они все зашифрованы.
При изменении сайта на фейковый, браузер не сможет ничего отобразить, так как сервер сертификации ему даёт определенный публичный ключ для расшифровки и он очевидно не будет подходить к фейковому сайту.