Принудительно использовать SSL на сайте сейчас?

22

Я начинаю видеть, что большинство веб-сайтов начинают использовать SSL в качестве стандартной практики для безопасного просмотра веб-сайтов сейчас благодаря откровениям Эдварда Сноудена о проводимом надзоре за АНБ.

Должны ли мы сделать это веб-стандартом, чтобы все веб-сайты использовали SSL для обеспечения безопасности, просмотра, платежей и везде?

У меня есть простой личный блог, и у меня есть люди, которые говорят, что мне нужно его использовать, потому что я высказываю свое мнение, опасения и идеи относительно предмета АНБ, и они говорят, что начинают чувствовать себя менее защищенными без HTTPS ...

aendrew
источник
3
Подумайте о том, чтобы предлагать TLS только для увеличения объема зашифрованного трафика в Интернете, чтобы злоумышленникам было труднее разделять заговор и скучный трафик.
Макс Райд

Ответы:

5

Интересный вопрос. Тем не менее, очевидным ответом будет то, что если я смогу получить веб-сайт с браузером, тогда АНБ сможет его получить. Я не пытаюсь быть умным в этом вопросе. Для входа в учетную запись, платежей и т. Д. Необходимо использовать SSL. В обычном режиме работы это необязательно.

Сказав это, я поддерживаю SSL больше, чем подразумевает этот ответ. Если вы блоггер, то я бы не стал использовать SSL. Если вы говорите что-то, что вам нужно, даже при определенных обстоятельствах, то вы не должны публиковать это или оставлять это за логином, чтобы лучше контролировать, кто его видит.

Помните, что Интернет - это средство коммуникации. Это дизайн и ориентированы на это. Частные средства связи не разборчивы с тем, к кому они подключаются и обмениваются информацией, и часто используют многочисленные схемы безопасности для обеспечения безопасной связи. Сеть предназначена для простого и анонимного подключения к любому клиенту и обмена всей или почти всей информацией, которой он располагает. Да, есть варианты для обеспечения безопасности веб-коммуникаций до определенной точки, однако она всегда будет ограничена из-за характера того, чем она является.

closetnoc
источник
У вас есть точка зрения. Сертификат SSL не позволяет им отслеживать и помещать людей в «список» за то, что они являются посетителями, потому что я говорю правду, анализирую их действия и избиваю их до ада и обратно за это ...
Хорошо. Я открою тебе секрет. Я полуотставной консультант по основным телекоммуникациям. Не было зашифрованного пакета, который мы не могли бы расшифровать. Это потребовало специального оборудования, но это было оборудование, которое легко получить. Наши снифферы редко сталкивались с проблемами шифрования, включая обмен данными с двойным шифрованием. По общему признанию это может быть труднее в эти дни. Кроме того, я до Военно-морской Intel с DoD работать. Я уверен, что если АНБ захочет просмотреть ваши зашифрованные сообщения, они могут. Теперь я скажу вам, что, как правило, они не заботятся о том, что вы говорите, если вы не разговариваете с террористом.
closetnoc
Мне пришло в голову, что я должен сказать, что мне не нравится то, что делает АНБ, и я не думаю, что это правильно. Нет. Я также хочу отметить, что нагрузка на трафик такова, что они не могут смотреть на все и не будут пытаться. Что, вероятно, наиболее важно для них в первую очередь, это информация заголовка пакета, чтобы установить подозрительную связь точка-точка перед проверкой любого пакета. Поэтому любой, кто посещает ваш блог, вряд ли будет подвергнут фальсификации, если только он не перевоплотится в Усаму или, возможно, не будет его кузен. (юмор)
closetnoc
Тогда SLL скомпрометирован вами и всеми вашими навыками, вот как я это воспринимаю ... Плюс Откровения Эдварда Сноудена и то, что было выпущено, не означает, что они записывают все о нас, когда говорится, что они есть? Или чтение этих утечек для себя из того, что АНБ сделало и делает, не является точным?
Извините за последние несколько вопросов. Просто много чего не имеет смысла во всем этом происходящем.
6

HTTPS может достичь трех вещей:

  • Подлинность . Убедиться, что вы общаетесь с реальным владельцем домена.
  • Конфиденциальность . Убедившись, что только этот владелец домена и вы можете прочитать сообщение.
  • Целостность . Убедиться, что контент не будет изменен кем-то другим.

Вероятно, все согласны с тем, что HTTPS должен быть обязательным при передаче секретов (таких как пароли, банковские данные и т. Д.).

Но есть несколько других случаев, когда и почему использование HTTPS может быть полезным:

Злоумышленники не могут подделать запрошенный контент.

При использовании HTTP перехватчики могут манипулировать контентом, который посетители видят на вашем сайте. Например:

  • Включение вредоносных программ в программное обеспечение, которое вы предлагаете для загрузки.
  • Цензура некоторых ваших материалов. Изменение вашего выражения мнения.
  • Инъекционная реклама.
  • Замена данных вашей учетной записи пожертвования своими собственными.

Конечно, это также относится к контенту, отправляемому вашими пользователями, например, к изменениям в вики. Однако, если ваши пользователи являются анонимными, злоумышленник в любом случае может «имитировать» его как пользователя (если только злоумышленник не бот и не существует какой-либо эффективный барьер CAPTCHA).

Злоумышленники не могут прочитать запрошенный контент.

При использовании HTTP перехватчики могут знать, какие страницы / контент на вашем хосте посещают ваши посетители. Хотя сам контент может быть общедоступным, знание того, что конкретный человек потребляет его, проблематично:

  • Это открывает вектор атаки для социальной инженерии .
  • Это нарушает конфиденциальность.
  • Это может привести к слежке и наказанию (вплоть до тюремного заключения, пыток, смерти).

Конечно, это также относится к контенту, отправляемому вашими пользователями, например, к почте через контактную форму.


Все это говорит о том, что простое предложение HTTPS в дополнение к HTTP защитит только тех пользователей, которые проверяют (или применяют локально, например, с помощью HSTS ), что они его используют. Злоумышленники могут заставить других посетителей использовать (уязвимый) вариант HTTP.

Поэтому, если вы пришли к выводу, что вы хотите предложить HTTPS, вы можете рассмотреть возможность его применения (перенаправление на стороне сервера с HTTP на HTTPS, отправка заголовка HSTS).

ОООНР
источник
1
Простого отказа от внедрения рекламы достаточно, чтобы я переключил свой информационный сайт на SSL.
Билл Рупперт
4

секретность

Поскольку ваш контент общедоступен, HTTPS, очевидно, не будет его скрывать, но он может обеспечить некоторые преимущества в зависимости от характера вашего сайта.

Конфиденциальность

Когда кто-то запрашивает страницу по HTTPS, запрос шифруется, поэтому, если кто-то наблюдает за вашими посетителями, они не будут знать, какие страницы они запрашивали. К сожалению, DNS (система для получения IP-адреса на основе доменного имени вашего сайта) не зашифрована, поэтому наблюдатель все еще может определить, кто посещает ваш сайт. Даже если это было зашифровано, в большинстве случаев вы все равно можете сказать, какой веб-сайт кто-то посещает, основываясь на IP-адресах, которые нельзя скрыть в текущем дизайне Интернета.

Википедия предлагает HTTPS, который может показаться бессмысленным, поскольку контент общедоступен, но, делая это, он защищает своих пользователей: если кто-то ищет «непатриотичные» вещи в Википедии (используя HTTPS), правительство не может сказать, какие страницы они читаете, только что они в википедии. Twitter - это еще один случай, когда само содержание является публичным, но люди не обязательно хотят, чтобы другие люди знали, что они над ним делают.

Безопасность пароля

Другая важная причина, по которой вы можете захотеть рассмотреть HTTPS, заключается в том, что у вас есть какие-либо страницы входа в систему или другие места, где вы принимаете личные данные от пользователей (включая вас). Если вы вообще не поддерживает HTTPS, пароли и другая информация будут отправлены «в открытом виде», и любой, кто сможет читать данные сети, сможет их увидеть (раньше это были страшные люди в той же сети Wi-Fi, что и вы; теперь это также включает различные правительственные учреждения, ищущие материал шантажа).

Если вы просто поддерживаете HTTPS на странице входа в систему, но не где-либо еще, умный злоумышленник перехватит каждую страницу, кроме страницы входа в систему, и изменит ссылку «Логин», чтобы не использовать HTTPS, а затем перехватит ваше общение (и если вы заставите эту страницу) для HTTPS, они могут просто перехватить трафик и предоставить поддельную версию, которая работает). Вы можете предотвратить это, всегда проверяя значок блокировки в строке URL-адреса перед входом в систему, но почти никто не помнит, чтобы делать это каждый раз.

Восстановить Монику
источник
3

Я в основном согласен с замечаниями Closetnoc, но есть еще один момент, который упускается из виду: пользователям Tor требуется версия SSL, чтобы не допустить прослушивания выходных узлов .

Если вы подозреваете, что кто-то из ваших читателей использует Tor, вы должны включить SSL на практике.

Кроме того, +1 к точке Макса Рейда: по крайней мере, вы помогаете нормализовать использование шифрования для некритического трафика, тем самым увеличивая усилия, которые необходимо приложить спецслужбам для идентификации желаемых пакетов.

aendrew
источник
Мне нравится идея усложнить жизнь АНБ. К сожалению, это может усложнить жизнь для всех вокруг. Больше циклов ЦП, большая передача данных, больше пакетов, более медленные скорости передачи и т. Д. Конечно, это всего лишь небольшая капля на сайт, но достаточно сайтов, и у вас может возникнуть реальная проблема, не говоря уже о том, что делает АНБ. Оставайтесь на линии. С приближением 2016 года АНБ будет дергать себя за хвост. Прямо сейчас это просто небольшой пожар под их $$.
closetnoc
4
@closetnoc TLS увеличивает размер передачи, что, например, на 1%? И любой полу-современный процессор может справиться со всеми криптовалютами, которые может придумать веб-браузер. В чем проблема?
Мэтт Нордхофф
Я согласен. Я назвал это крошечной капельницей. Возможно, это больше похоже на супер крошечную капельницу. Но я подозреваю, что достаточно супер крошечных капель действительно повлияет на жизнь в будущем. Подумайте о масштабах Интернета, и если бы все перешли на SSL, это бы быстро сложилось. Это может не снести сеть, но эффект будет ощущаться, я уверен.
closetnoc
1
@closetnoc 1% большой вещи - все еще 1%.
Мэтт Нордхофф
1
@closetnoc Все операторы имеют ограниченную емкость. Ни один здравомыслящий оператор не использует свои порты в пределах 99%. (Тем не менее, несколько сумасшедших делают, чтобы вымогать Netflix.) Если бы они это сделали, они бы облажались каждый раз, когда на YouTube появлялось новое музыкальное видео Джастина Бибера.
Мэтт Нордхофф
3

На самом деле нет никаких причин, кроме стоимости самого SSL.

Для типичного развертывания веб-сервера SSL добавляет небольшие накладные расходы.

Говорят о стандарте http 2.0, чтобы сделать шифрование обязательным: http://beta.slashdot.org/story/194289

Алекс КейСмит
источник