Czy są jakieś wady „elastycznego SSL” Cloudflare?

Cloudflare umożliwia obsługę witryny za pośrednictwem protokołu SSL bez konieczności kupowania i instalowania certyfikatu bezpieczeństwa, produktu nazywanego „elastycznym SSL” . (Działają jako proxy i obsługują twoją witrynę za pośrednictwem protokołu SSL z ich serwerów, podczas gdy połączenie z twojego serwera do ich pozostaje niezaszyfrowane).

Obecnie oferują elastyczne SSL za darmo .

Po ogłoszeniu przez Google, że HTTPS jest teraz sygnałem rankingowym , rozważam zmianę kilku witryn na Cloudflare, zakup konta Pro i włączenie opcji „Elastycznego SSL”, ponieważ wydaje się to najłatwiejszym sposobem obsługi kilku witryn przez HTTPS bez konieczność zakupu wielu certyfikatów i zarządzania nimi.

Czy istnieje jakakolwiek wada elastycznego SSL Cloudflare?

Nie mam nic przeciwko używaniu Cloudflare jako proxy - bardziej interesują mnie dwa czynniki:

1. Doświadczenie dla użytkowników końcowych. (np. czy odwiedzający zobaczą ostrzeżenia bezpieczeństwa?)
2. Poziom oferowanego bezpieczeństwa. (Wystarczy na prosty blog, ale nie na sklep internetowy, ponieważ przesyłałyby dane karty kredytowej ze swojego serwera do twojego niezaszyfrowanego?)

Elastyczne SSL NIE jest w pełni bezpieczne

Elastyczne SSL CloudFlare zapewnia szyfrowanie od użytkownika na serwerach CloudFlare, ale nie od ich serwerów do serwera strony internetowej. Pozwala to uniknąć kłopotów z instalowaniem (i odnawianiem) certyfikatu na serwerze WWW, ale oznacza, że ​​ruch jest wysyłany zwykłym tekstem w drugiej połowie podróży.

Korzyści z tej konfiguracji to:

• Łatwo zacząć, nie trzeba instalować certyfikatów na serwerze sieciowym i radzić sobie z okresowymi przedłużeniami
• Zapewnia ochronę przed podsłuchiwaniem niepewnych połączeń WiFi (kawiarni internetowych) i innych w sieci lokalnej lub na poziomie ISP.
• Użytkownicy zobaczą zieloną kłódkę w przeglądarce i nie powinni otrzymywać żadnych ostrzeżeń bezpieczeństwa

Problemami nieodłącznymi są:

• Ruch z CloudFlare na Twój serwer nie jest szyfrowany, co oznacza, że ​​hurtowi dostawcy usług internetowych, dostawcy łączy i NSA mogą nadal czytać wszystkie żądania w postaci zwykłego tekstu
• Ruch jest przedmiotem ataków typu man-in-the-middle (MITM), w których inny serwer może podszyć się pod Twój serwer i odbierać jego ruch (chociaż ten problem dotyczy również ustawienia „Pełny” SSL, będziesz potrzebować trybu „ścisły”, aby uniknąć to).
• Ze względu na powyższe zapewnia wprowadzające w błąd i fałszywe poczucie bezpieczeństwa osobom odwiedzającym witrynę (ale to nie jest odpowiednie dla tego miejsca)

Porównanie ustawień SSL

Brak szyfrowania ruchu między serwerem proxy a serwerem zaplecza jest powszechny, gdy ruch jest wysyłany przez prywatną, zabezpieczoną sieć. Ale w tym przypadku kierujesz ruchem przez publiczny internet.

CloudFlare zaleca także zainstalowanie certyfikatu na serwerze sieciowym w celu zapewnienia prawdziwego szyfrowania typu end-to-end, a nawet zapewnienie do tego bezpłatnych certyfikatów za pośrednictwem pulpitu nawigacyjnego (jeśli nie chcesz instalować certyfikatu z podpisem własnym). Z dyskusji na blogu CloudFlare :

W rzeczywistości zapewnimy bezpłatny certyfikat przypięty do domeny, który możesz zainstalować na swoim serwerze w celu kompleksowego szyfrowania.

Bez względu na to, czy używany jest „pełny”, czy „elastyczny” protokół SSL, użytkownicy nie powinni widzieć wyskakujących okienek ani innych ostrzeżeń.

Ten link wyjaśnia, jakie są opcje CloudFlare SSL .

Elastyczny SSL, przynajmniej w tej chwili, nie szyfruje w pełni twojego serwera. Problem omawiany na blogu przez Matthew („W rzeczywistości zapewnimy bezpłatny certyfikat przypięty do domeny, który można zainstalować na serwerze w celu kompleksowego szyfrowania .... za darmo”) nie jest jeszcze dostępne.

Z pewnością zaktualizujemy zawartość, aby odzwierciedlić wszelkie zmiany, gdy wprowadzimy bezpłatną opcję SSL.

Jest jedna duża wada SEO. Google powiedział , że faworyzuje strony SSL, ale certyfikat powinien mieć 2048 bitów „Elastyczny SSL” CloudFlare nie jest 2048 bitów.