Wymuszać używanie SSL na stronie teraz?

22

Zaczynam widzieć, że większość stron internetowych zaczyna wykorzystywać SSL jako standardową praktykę bezpiecznego przeglądania strony dzięki objawieniom Edwarda Snowdena na temat inwigilacji NSA.

Czy powinniśmy uczynić to standardem internetowym, aby wszystkie witryny korzystały z protokołu SSL do bezpieczeństwa, przeglądania, płatności i wszędzie?

Mam prosty blog osobisty i ludzie mówią, że muszę z niego korzystać, ponieważ wyrażam swoje opinie, obawy i pomysły na temat NSA, a oni mówią, że zaczynają czuć się mniej bezpiecznie bez HTTPS ...

Aendrew
źródło
3
Zastanów się nad zaoferowaniem TLS tylko w celu zwiększenia ilości zaszyfrowanego ruchu w Internecie, co utrudni szkodliwym ludziom rozróżnianie ruchu konspiracyjnego i nudnego.
Max Ried

Odpowiedzi:

5

Interesujące pytanie. Jednak oczywistą odpowiedzią byłoby, jeśli mogę uzyskać stronę internetową z przeglądarką, to NSA też może ją zdobyć. Nie staram się być w tym sprytny. Do logowania się na konto, płatności itp. Należy używać protokołu SSL. Normalny tryb pracy nie jest konieczny.

Powiedziawszy to, popieram SSL bardziej niż sugeruje to odpowiedź. Jeśli jesteś blogerem, nie użyłbym SSL. Jeśli mówisz rzeczy, które chcesz prywatnie, nawet w pewnych okolicznościach, nie powinieneś ich publikować ani umieszczać za logowaniem, aby lepiej kontrolować, kto je widzi.

Pamiętaj, że sieć jest otwartym środkiem komunikacji. Jest zaprojektowany i ukierunkowany na to. Prywatne pojazdy komunikacyjne nie są rozwiązane z tym, z kim się łączą i dzielą się informacjami oraz często wdrażają liczne systemy bezpieczeństwa w celu zapewnienia bezpiecznej komunikacji. Sieć została zaprojektowana tak, aby łatwo i anonimowo łączyć się z dowolnym klientem i udostępniać wszystkie lub prawie wszystkie posiadane informacje. Tak, istnieją opcje zabezpieczenia komunikacji internetowej do pewnego stopnia, jednak zawsze będzie ona ograniczona ze względu na jej charakter.

closetnoc
źródło
Masz rację. Certyfikat SSL powstrzymuje ich przed szpiegowaniem i umieszczaniem ludzi na „liście” za to, że są gośćmi, ponieważ mówię prawdę i analizuję ich działania, i spycham ich do piekła i wracam po to ...
W porządku. Dam ci sekret. Jestem w połowie emerytem konsultantem dla głównych firm telekomunikacyjnych. Nie było zaszyfrowanego pakietu, którego nie moglibyśmy odszyfrować. Wymagało to specjalnego sprzętu, ale był to sprzęt łatwo dostępny. Nasi sniffery rzadko mieli problemy z szyfrowaniem, w tym komunikacją z podwójnym szyfrowaniem. Rzeczywiście, w dzisiejszych czasach może być trudniej. Ponadto jestem wcześniej Naval Intel z pracą DoD. Jestem pewien, że jeśli NSA chce przyjrzeć się twojej zaszyfrowanej komunikacji, może to zrobić. Teraz powiem wam, że ogólnie nie dbają o to, co mówicie, dopóki nie rozmawiacie z terrorystą.
closetnoc
Przyszło mi do głowy, że powinienem powiedzieć, że nie podoba mi się to, co robi NSA, ani nie uważam, że to słuszne. Nie jest. Chciałbym również podkreślić, że natężenie ruchu jest takie, że nie mogą oni patrzeć na wszystko ani próbować. Najpierw najprawdopodobniej dla nich najważniejsze są informacje w nagłówku pakietu, aby ustalić podejrzaną komunikację punkt-punkt przed zbadaniem dowolnego pakietu. Dlatego nikt, kto wejdzie na Twojego bloga, prawdopodobnie nie zostanie powąchany, chyba że jest to reinkarnacja Osamy, a może jego kuzyn. (humor)
closetnoc
W takim razie SLL jest zagrożony przez ciebie i każdego z twoimi umiejętnościami, dlatego właśnie to biorę ... Plus Objawienia Edwarda Snowdena i to, co zostało wydane, nie oznacza, że ​​nagrali wszystko o nas, kiedy mówi, że są? Czy odczytanie tych wycieków dla mnie o tym, co NSA zrobiła i robi, nie jest dokładne?
Przepraszamy za kilka ostatnich pytań. Po prostu wszystko, co się dzieje, nie ma sensu.
6

HTTPS może osiągnąć trzy rzeczy:

  • Autentyczność . Upewnij się, że komunikujesz się z prawdziwym właścicielem domeny.
  • Poufność . Upewnij się, że tylko ten właściciel domeny i Ty możesz przeczytać komunikat.
  • Uczciwość . Upewnij się, że treść nie zostanie zmodyfikowana przez kogoś innego.

Prawdopodobnie wszyscy zgadzają się, że HTTPS powinien być obowiązkowy przy przesyłaniu tajemnic (takich jak hasła, dane bankowe itp.).

Istnieje jednak kilka innych przypadków, w których i dlaczego użycie HTTPS może być korzystne:

Atakujący nie mogą manipulować przy żądanej treści.

Podczas korzystania z protokołu HTTP osoby podsłuchujące mogą manipulować treściami, które użytkownicy widzą w Twojej witrynie. Na przykład:

  • Dołączanie złośliwego oprogramowania do oprogramowania, które oferujesz do pobrania.
  • Cenzurowanie niektórych treści. Zmieniam sposób wyrażania opinii.
  • Wstrzykiwanie reklam.
  • Zamiana danych konta darowizn na własne.

Oczywiście dotyczy to również treści wysyłanych przez użytkowników, na przykład edycji wiki. Jeśli jednak użytkownicy są anonimowi, osoba atakująca może „symulować” bycie użytkownikiem (chyba że osoba atakująca jest botem i istnieje skuteczna bariera CAPTCHA).

Atakujący nie mogą odczytać żądanej treści.

Podczas korzystania z protokołu HTTP podsłuchujący mogą wiedzieć, do których stron / treści w hoście mają dostęp odwiedzający. Chociaż sama treść może być publiczna, wiedza, którą zużywa konkretna osoba, jest problematyczna:

  • Otwiera wektor ataku dla inżynierii społecznej .
  • Narusza to prywatność.
  • Może to prowadzić do inwigilacji i karania (aż do uwięzienia, tortur, śmierci).

Oczywiście dotyczy to również treści wysyłanych przez użytkowników, na przykład wiadomości e-mail za pośrednictwem formularza kontaktowego.


To powiedziawszy, zwykłe oferowanie HTTPS oprócz HTTP chroniłoby tylko użytkowników, którzy sprawdzają (lub lokalnie egzekwują, np. Za pomocą HSTS ), że go używają. Atakujący mogą zmusić wszystkich innych użytkowników do korzystania z (wrażliwego) wariantu HTTP.

Więc jeśli dojdziesz do wniosku, że chcesz zaoferować HTTPS, możesz rozważyć jego wymuszenie (przekierowanie po stronie serwera z HTTP na HTTPS, wyślij nagłówek HSTS).

unor
źródło
1
Wystarczy, że uniknę zastrzyku reklam, aby zmienić moją stronę z informacjami na SSL.
Bill Ruppert
4

Tajność

Ponieważ Twoje treści są publiczne, HTTPS oczywiście ich nie ukryje, ale może przynieść pewne korzyści w zależności od charakteru Twojej witryny.

Prywatność

Gdy ktoś prosi o stronę przez HTTPS, żądanie jest szyfrowane, więc jeśli ktoś ogląda twoich gości, nie będzie wiedział, o które strony prosił. Niestety DNS (system uzyskiwania adresu IP na podstawie nazwy domeny Twojej witryny) nie jest szyfrowany, więc obserwator nadal może zidentyfikować, kto odwiedza Twoją witrynę. Nawet jeśli zostało to zaszyfrowane, w większości przypadków nadal można stwierdzić, którą stronę odwiedza ktoś na podstawie adresów IP, czego nie można ukryć w obecnym projekcie Internetu.

Wikipedia oferuje HTTPS, co może wydawać się bezcelowe, ponieważ treść jest publiczna, ale robiąc to chronią swoich użytkowników: jeśli ktoś szuka „niepatriotycznych” rzeczy na Wikipedii (używając HTTPS), ich rząd nie może powiedzieć, które strony czytam, tylko że są na Wikipedii. Twitter to kolejny przypadek, gdy sama treść jest publiczna, ale ludzie niekoniecznie chcą, aby inni wiedzieli, co na nich robią.

Hasło bezpieczeństwa

Innym ważnym powodem, dla którego warto rozważyć HTTPS, jest posiadanie jakichkolwiek stron logowania lub innych miejsc, w których akceptujesz prywatne dane od użytkowników (w tym od ciebie). Jeśli w ogóle nie obsługujesz HTTPS, hasła i inne informacje będą wysyłane „w sposób wyraźny”, a każdy, kto może odczytać dane sieciowe, może je zobaczyć (strasznym przypadkiem były inne osoby w tej samej sieci Wi-Fi jak ty; teraz obejmuje także różne agencje rządowe poszukujące materiałów szantażujących).

Jeśli popierasz tylko HTTPS na stronie logowania, ale nigdzie indziej, sprytny atakujący przechwyci każdą stronę oprócz strony logowania i zmieni link „Zaloguj się”, aby nie używać HTTPS, a następnie przejmie komunikację (i wymusi tę stronę) do HTTPS, mogą po prostu przechwycić ruch i zapewnić fałszywą wersję, która działa). Można temu zapobiec, zawsze sprawdzając ikonę kłódki na pasku adresu URL przed zalogowaniem, ale prawie nikt nie pamięta, aby to robić za każdym razem.

Przywróć Monikę
źródło
3

W dużej mierze zgadzam się z punktami Closetnoc, ale jest jeszcze jeden punkt, który został przeoczony: użytkownicy Tora potrzebują wersji SSL, aby zapobiec podsłuchiwaniu węzłów wyjściowych .

Jeśli podejrzewasz, że któryś z twoich czytelników używa Tora, powinieneś mieć włączony protokół SSL.

Również +1 za punkt Maxa Reida: przynajmniej pomagasz znormalizować użycie szyfrowania dla ruchu niekrytycznego, zwiększając w ten sposób wysiłek agencji wywiadu, aby zidentyfikować pożądane pakiety.

Aendrew
źródło
Podoba mi się pomysł, aby utrudnić życie NSA. Niestety może to utrudnić życie we wszystkich kierunkach. Więcej cykli procesora, większe transfery danych, więcej pakietów, wolniejsze prędkości transferu itp. Oczywiście jest to tylko niewielki wyciek na stronę, ale wystarczająca liczba stron i możesz mieć prawdziwy problem, nie mówiąc już o tym, co robi NSA. Czekaj. NSA będzie miał węzeł szarpnięty w ogon, jak tylko zbliża się rok 2016. W tej chwili jest to tylko mały ogień pod ich $$.
closetnoc
4
@closetnoc TLS zwiększa rozmiar transferu, co o 1%? I każdy pół-nowoczesny procesor może obsłużyć wszystkie krypto, które przeglądarka internetowa może w to rzucić. Jaki jest problem?
Matt Nordhoff
Zgadzam się. Nazwałem to małym kroplówką. Być może bardziej przypomina to bardzo małą kroplówkę. Podejrzewam jednak, że wystarczająca ilość bardzo małych kropelek naprawdę wpłynie na życie na całej linii. Pomyśl o zasięgu sieci, a gdyby wszyscy przeprowadzili migrację do SSL, byłoby to dość szybko. Może nie zdejmie sieci, ale jestem pewien, że efekt byłby odczuwalny.
closetnoc
1
@closetnoc 1% dużej rzeczy to nadal 1%.
Matt Nordhoff
1
@closetnoc Wszystkie telefony mają ograniczoną pojemność. Żaden rozsądny telco nie obsługuje swoich portów w prawie 99%. (Jednak kilku szalonych robi to, żeby wyłudzić Netflix.) Gdyby tak zrobili, byliby wkręcani za każdym razem, gdy na YouTube pojawiał się nowy teledysk Justina Biebera.
Matt Nordhoff
3

Naprawdę nie ma innego powodu, niż koszt samego SSL.

W przypadku typowego wdrożenia serwera WWW protokół SSL nie wymaga dużego obciążenia.

Trwają rozmowy na temat standardu HTTP 2.0, aby wprowadzić szyfrowanie jako obowiązkowe: http://beta.slashdot.org/story/194289

Alex KeySmith
źródło