Принудительно использовать SSL на сайте сейчас?

Я начинаю видеть, что большинство веб-сайтов начинают использовать SSL в качестве стандартной практики для безопасного просмотра веб-сайтов сейчас благодаря откровениям Эдварда Сноудена о проводимом надзоре за АНБ.

Должны ли мы сделать это веб-стандартом, чтобы все веб-сайты использовали SSL для обеспечения безопасности, просмотра, платежей и везде?

У меня есть простой личный блог, и у меня есть люди, которые говорят, что мне нужно его использовать, потому что я высказываю свое мнение, опасения и идеи относительно предмета АНБ, и они говорят, что начинают чувствовать себя менее защищенными без HTTPS ...

Интересный вопрос. Тем не менее, очевидным ответом будет то, что если я смогу получить веб-сайт с браузером, тогда АНБ сможет его получить. Я не пытаюсь быть умным в этом вопросе. Для входа в учетную запись, платежей и т. Д. Необходимо использовать SSL. В обычном режиме работы это необязательно.

Сказав это, я поддерживаю SSL больше, чем подразумевает этот ответ. Если вы блоггер, то я бы не стал использовать SSL. Если вы говорите что-то, что вам нужно, даже при определенных обстоятельствах, то вы не должны публиковать это или оставлять это за логином, чтобы лучше контролировать, кто его видит.

Помните, что Интернет - это средство коммуникации. Это дизайн и ориентированы на это. Частные средства связи не разборчивы с тем, к кому они подключаются и обмениваются информацией, и часто используют многочисленные схемы безопасности для обеспечения безопасной связи. Сеть предназначена для простого и анонимного подключения к любому клиенту и обмена всей или почти всей информацией, которой он располагает. Да, есть варианты для обеспечения безопасности веб-коммуникаций до определенной точки, однако она всегда будет ограничена из-за характера того, чем она является.

HTTPS может достичь трех вещей:

• Подлинность . Убедиться, что вы общаетесь с реальным владельцем домена.
• Конфиденциальность . Убедившись, что только этот владелец домена и вы можете прочитать сообщение.
• Целостность . Убедиться, что контент не будет изменен кем-то другим.

Вероятно, все согласны с тем, что HTTPS должен быть обязательным при передаче секретов (таких как пароли, банковские данные и т. Д.).

Но есть несколько других случаев, когда и почему использование HTTPS может быть полезным:

Злоумышленники не могут подделать запрошенный контент.

При использовании HTTP перехватчики могут манипулировать контентом, который посетители видят на вашем сайте. Например:

• Включение вредоносных программ в программное обеспечение, которое вы предлагаете для загрузки.
• Цензура некоторых ваших материалов. Изменение вашего выражения мнения.
• Инъекционная реклама.
• Замена данных вашей учетной записи пожертвования своими собственными.

Конечно, это также относится к контенту, отправляемому вашими пользователями, например, к изменениям в вики. Однако, если ваши пользователи являются анонимными, злоумышленник в любом случае может «имитировать» его как пользователя (если только злоумышленник не бот и не существует какой-либо эффективный барьер CAPTCHA).

Злоумышленники не могут прочитать запрошенный контент.

При использовании HTTP перехватчики могут знать, какие страницы / контент на вашем хосте посещают ваши посетители. Хотя сам контент может быть общедоступным, знание того, что конкретный человек потребляет его, проблематично:

• Это открывает вектор атаки для социальной инженерии .
• Это нарушает конфиденциальность.
• Это может привести к слежке и наказанию (вплоть до тюремного заключения, пыток, смерти).

Конечно, это также относится к контенту, отправляемому вашими пользователями, например, к почте через контактную форму.

Все это говорит о том, что простое предложение HTTPS в дополнение к HTTP защитит только тех пользователей, которые проверяют (или применяют локально, например, с помощью HSTS ), что они его используют. Злоумышленники могут заставить других посетителей использовать (уязвимый) вариант HTTP.

Поэтому, если вы пришли к выводу, что вы хотите предложить HTTPS, вы можете рассмотреть возможность его применения (перенаправление на стороне сервера с HTTP на HTTPS, отправка заголовка HSTS).

секретность

Поскольку ваш контент общедоступен, HTTPS, очевидно, не будет его скрывать, но он может обеспечить некоторые преимущества в зависимости от характера вашего сайта.

Конфиденциальность

Когда кто-то запрашивает страницу по HTTPS, запрос шифруется, поэтому, если кто-то наблюдает за вашими посетителями, они не будут знать, какие страницы они запрашивали. К сожалению, DNS (система для получения IP-адреса на основе доменного имени вашего сайта) не зашифрована, поэтому наблюдатель все еще может определить, кто посещает ваш сайт. Даже если это было зашифровано, в большинстве случаев вы все равно можете сказать, какой веб-сайт кто-то посещает, основываясь на IP-адресах, которые нельзя скрыть в текущем дизайне Интернета.

Википедия предлагает HTTPS, который может показаться бессмысленным, поскольку контент общедоступен, но, делая это, он защищает своих пользователей: если кто-то ищет «непатриотичные» вещи в Википедии (используя HTTPS), правительство не может сказать, какие страницы они читаете, только что они в википедии. Twitter - это еще один случай, когда само содержание является публичным, но люди не обязательно хотят, чтобы другие люди знали, что они над ним делают.

Безопасность пароля

Другая важная причина, по которой вы можете захотеть рассмотреть HTTPS, заключается в том, что у вас есть какие-либо страницы входа в систему или другие места, где вы принимаете личные данные от пользователей (включая вас). Если вы вообще не поддерживает HTTPS, пароли и другая информация будут отправлены «в открытом виде», и любой, кто сможет читать данные сети, сможет их увидеть (раньше это были страшные люди в той же сети Wi-Fi, что и вы; теперь это также включает различные правительственные учреждения, ищущие материал шантажа).

Если вы просто поддерживаете HTTPS на странице входа в систему, но не где-либо еще, умный злоумышленник перехватит каждую страницу, кроме страницы входа в систему, и изменит ссылку «Логин», чтобы не использовать HTTPS, а затем перехватит ваше общение (и если вы заставите эту страницу) для HTTPS, они могут просто перехватить трафик и предоставить поддельную версию, которая работает). Вы можете предотвратить это, всегда проверяя значок блокировки в строке URL-адреса перед входом в систему, но почти никто не помнит, чтобы делать это каждый раз.

Я в основном согласен с замечаниями Closetnoc, но есть еще один момент, который упускается из виду: пользователям Tor требуется версия SSL, чтобы не допустить прослушивания выходных узлов .

Если вы подозреваете, что кто-то из ваших читателей использует Tor, вы должны включить SSL на практике.

Кроме того, +1 к точке Макса Рейда: по крайней мере, вы помогаете нормализовать использование шифрования для некритического трафика, тем самым увеличивая усилия, которые необходимо приложить спецслужбам для идентификации желаемых пакетов.

На самом деле нет никаких причин, кроме стоимости самого SSL.

Для типичного развертывания веб-сервера SSL добавляет небольшие накладные расходы.

Говорят о стандарте http 2.0, чтобы сделать шифрование обязательным: http://beta.slashdot.org/story/194289