Byłem dość paranoikiem, jeśli chodzi o naukę „poprawiania bezpieczeństwa” dla tej witryny, którą buduję (pierwsza nietrywialna strona, którą stworzyłem) i zauważyłem coś, co mnie niepokoi: SSL.
Przeczytałem tutaj wiele wątków dotyczących bezpieczeństwa, na StackOverflow, i gdzie indziej, które szczegółowo omawiają regenerację identyfikatorów sesji po n użyciu i jak twoje hasła powinny być solone, mieszane i nigdy nie przechowywane w postaci zwykłego tekstu. Czytałem dużo o tym, jak wykryć, kiedy sesja została przejęta, śledząc adresy IP, programy użytkownika i używając śledzących plików cookie.
Nie rozumiem, co to ma znaczenie, gdy strona loguje się za pomocą zwykłego testu POST HTTP i wysyła Twoje hasło za pośrednictwem zwykłego tekstu?
Rozumiem, że wszystkie inne metody, które wymieniłem, są potrzebne, aby zmniejszyć ogólną ekspozycję, i być może są strony, które i tak nie potrzebują tak dużego bezpieczeństwa, ale myślę, że o to pytam:
- Kiedy można nie przejmować się protokołem SSL?
Witryny takie jak Gmail, Twój bank i LinkedIn, widzę powód do korzystania z protokołu SSL, ale co sprawia, że nie przeszkadza to, że strony takie jak Facebook i Reddit (cholera, PlentyOfFish nawet przechowuje twoje hasło w postaci zwykłego tekstu, a nawet je e-mailem dla Ciebie co tydzień jako przypomnienie!?!)?
Jak powinienem się martwić upewnieniem się, że SSL jest skonfigurowany (zwłaszcza, że zaczynam od hosta współdzielonego, a startowanie jest dość tanie)? Moja strona nie będzie przechowywać żadnych szczególnie osobistych informacji, jeśli to pomoże. Jeśli witryna odniesie sukces, poważnie zastanowię się nad zapłaceniem dodatkowo za dodatkowe bezpieczeństwo.