Wymuszać używanie SSL na stronie teraz?

Zaczynam widzieć, że większość stron internetowych zaczyna wykorzystywać SSL jako standardową praktykę bezpiecznego przeglądania strony dzięki objawieniom Edwarda Snowdena na temat inwigilacji NSA.

Czy powinniśmy uczynić to standardem internetowym, aby wszystkie witryny korzystały z protokołu SSL do bezpieczeństwa, przeglądania, płatności i wszędzie?

Mam prosty blog osobisty i ludzie mówią, że muszę z niego korzystać, ponieważ wyrażam swoje opinie, obawy i pomysły na temat NSA, a oni mówią, że zaczynają czuć się mniej bezpiecznie bez HTTPS ...

Interesujące pytanie. Jednak oczywistą odpowiedzią byłoby, jeśli mogę uzyskać stronę internetową z przeglądarką, to NSA też może ją zdobyć. Nie staram się być w tym sprytny. Do logowania się na konto, płatności itp. Należy używać protokołu SSL. Normalny tryb pracy nie jest konieczny.

Powiedziawszy to, popieram SSL bardziej niż sugeruje to odpowiedź. Jeśli jesteś blogerem, nie użyłbym SSL. Jeśli mówisz rzeczy, które chcesz prywatnie, nawet w pewnych okolicznościach, nie powinieneś ich publikować ani umieszczać za logowaniem, aby lepiej kontrolować, kto je widzi.

Pamiętaj, że sieć jest otwartym środkiem komunikacji. Jest zaprojektowany i ukierunkowany na to. Prywatne pojazdy komunikacyjne nie są rozwiązane z tym, z kim się łączą i dzielą się informacjami oraz często wdrażają liczne systemy bezpieczeństwa w celu zapewnienia bezpiecznej komunikacji. Sieć została zaprojektowana tak, aby łatwo i anonimowo łączyć się z dowolnym klientem i udostępniać wszystkie lub prawie wszystkie posiadane informacje. Tak, istnieją opcje zabezpieczenia komunikacji internetowej do pewnego stopnia, jednak zawsze będzie ona ograniczona ze względu na jej charakter.

HTTPS może osiągnąć trzy rzeczy:

• Autentyczność . Upewnij się, że komunikujesz się z prawdziwym właścicielem domeny.
• Poufność . Upewnij się, że tylko ten właściciel domeny i Ty możesz przeczytać komunikat.
• Uczciwość . Upewnij się, że treść nie zostanie zmodyfikowana przez kogoś innego.

Prawdopodobnie wszyscy zgadzają się, że HTTPS powinien być obowiązkowy przy przesyłaniu tajemnic (takich jak hasła, dane bankowe itp.).

Istnieje jednak kilka innych przypadków, w których i dlaczego użycie HTTPS może być korzystne:

Atakujący nie mogą manipulować przy żądanej treści.

Podczas korzystania z protokołu HTTP osoby podsłuchujące mogą manipulować treściami, które użytkownicy widzą w Twojej witrynie. Na przykład:

• Dołączanie złośliwego oprogramowania do oprogramowania, które oferujesz do pobrania.
• Cenzurowanie niektórych treści. Zmieniam sposób wyrażania opinii.
• Wstrzykiwanie reklam.
• Zamiana danych konta darowizn na własne.

Oczywiście dotyczy to również treści wysyłanych przez użytkowników, na przykład edycji wiki. Jeśli jednak użytkownicy są anonimowi, osoba atakująca może „symulować” bycie użytkownikiem (chyba że osoba atakująca jest botem i istnieje skuteczna bariera CAPTCHA).

Atakujący nie mogą odczytać żądanej treści.

Podczas korzystania z protokołu HTTP podsłuchujący mogą wiedzieć, do których stron / treści w hoście mają dostęp odwiedzający. Chociaż sama treść może być publiczna, wiedza, którą zużywa konkretna osoba, jest problematyczna:

• Otwiera wektor ataku dla inżynierii społecznej .
• Narusza to prywatność.
• Może to prowadzić do inwigilacji i karania (aż do uwięzienia, tortur, śmierci).

Oczywiście dotyczy to również treści wysyłanych przez użytkowników, na przykład wiadomości e-mail za pośrednictwem formularza kontaktowego.

To powiedziawszy, zwykłe oferowanie HTTPS oprócz HTTP chroniłoby tylko użytkowników, którzy sprawdzają (lub lokalnie egzekwują, np. Za pomocą HSTS ), że go używają. Atakujący mogą zmusić wszystkich innych użytkowników do korzystania z (wrażliwego) wariantu HTTP.

Więc jeśli dojdziesz do wniosku, że chcesz zaoferować HTTPS, możesz rozważyć jego wymuszenie (przekierowanie po stronie serwera z HTTP na HTTPS, wyślij nagłówek HSTS).

Tajność

Ponieważ Twoje treści są publiczne, HTTPS oczywiście ich nie ukryje, ale może przynieść pewne korzyści w zależności od charakteru Twojej witryny.

Prywatność

Gdy ktoś prosi o stronę przez HTTPS, żądanie jest szyfrowane, więc jeśli ktoś ogląda twoich gości, nie będzie wiedział, o które strony prosił. Niestety DNS (system uzyskiwania adresu IP na podstawie nazwy domeny Twojej witryny) nie jest szyfrowany, więc obserwator nadal może zidentyfikować, kto odwiedza Twoją witrynę. Nawet jeśli zostało to zaszyfrowane, w większości przypadków nadal można stwierdzić, którą stronę odwiedza ktoś na podstawie adresów IP, czego nie można ukryć w obecnym projekcie Internetu.

Wikipedia oferuje HTTPS, co może wydawać się bezcelowe, ponieważ treść jest publiczna, ale robiąc to chronią swoich użytkowników: jeśli ktoś szuka „niepatriotycznych” rzeczy na Wikipedii (używając HTTPS), ich rząd nie może powiedzieć, które strony czytam, tylko że są na Wikipedii. Twitter to kolejny przypadek, gdy sama treść jest publiczna, ale ludzie niekoniecznie chcą, aby inni wiedzieli, co na nich robią.

Hasło bezpieczeństwa

Innym ważnym powodem, dla którego warto rozważyć HTTPS, jest posiadanie jakichkolwiek stron logowania lub innych miejsc, w których akceptujesz prywatne dane od użytkowników (w tym od ciebie). Jeśli w ogóle nie obsługujesz HTTPS, hasła i inne informacje będą wysyłane „w sposób wyraźny”, a każdy, kto może odczytać dane sieciowe, może je zobaczyć (strasznym przypadkiem były inne osoby w tej samej sieci Wi-Fi jak ty; teraz obejmuje także różne agencje rządowe poszukujące materiałów szantażujących).

Jeśli popierasz tylko HTTPS na stronie logowania, ale nigdzie indziej, sprytny atakujący przechwyci każdą stronę oprócz strony logowania i zmieni link „Zaloguj się”, aby nie używać HTTPS, a następnie przejmie komunikację (i wymusi tę stronę) do HTTPS, mogą po prostu przechwycić ruch i zapewnić fałszywą wersję, która działa). Można temu zapobiec, zawsze sprawdzając ikonę kłódki na pasku adresu URL przed zalogowaniem, ale prawie nikt nie pamięta, aby to robić za każdym razem.

W dużej mierze zgadzam się z punktami Closetnoc, ale jest jeszcze jeden punkt, który został przeoczony: użytkownicy Tora potrzebują wersji SSL, aby zapobiec podsłuchiwaniu węzłów wyjściowych .

Jeśli podejrzewasz, że któryś z twoich czytelników używa Tora, powinieneś mieć włączony protokół SSL.

Również +1 za punkt Maxa Reida: przynajmniej pomagasz znormalizować użycie szyfrowania dla ruchu niekrytycznego, zwiększając w ten sposób wysiłek agencji wywiadu, aby zidentyfikować pożądane pakiety.

Naprawdę nie ma innego powodu, niż koszt samego SSL.

W przypadku typowego wdrożenia serwera WWW protokół SSL nie wymaga dużego obciążenia.

Trwają rozmowy na temat standardu HTTP 2.0, aby wprowadzić szyfrowanie jako obowiązkowe: http://beta.slashdot.org/story/194289