Forcer l'utilisation de SSL sur le site maintenant?


22

Je commence à voir une majorité de sites Web commencer à utiliser SSL comme pratique standard pour visualiser le site Web en toute sécurité maintenant grâce aux révélations d'Edward Snowden sur la surveillance de la NSA qui se produit.

Devrions-nous en faire une norme Web pour que tous les sites Web utilisent SSL pour la sécurité, la visualisation, les paiements et partout?

Je possède un blog personnel simple, et j'ai des gens qui disent que je dois l'utiliser parce que j'exprime mon opinion, mes préoccupations et mes idées concernant le sujet de la NSA, et ils disent qu'ils commencent à se sentir moins en sécurité sans HTTPS ...


3
Envisagez d'offrir TLS uniquement pour augmenter la quantité de trafic crypté sur le Web, ce qui rend plus difficile pour les personnes malveillantes de distinguer le trafic complice et ennuyeux.
Max Ried

Réponses:


5

Question interessante. Cependant, la réponse évidente serait que si je peux obtenir un site Web avec un navigateur, la NSA peut également l'obtenir. Je n'essaie pas d'être un smarty-pants à ce sujet. SSL doit être utilisé pour la connexion au compte, les paiements, etc. En règle générale, il n'est pas nécessaire.

Cela dit, je supporte SSL plus que cette réponse ne l'implique. Si vous êtes un blogueur, je n'utiliserais pas SSL. Si vous dites des choses que vous voulez privées même dans certaines circonstances, vous ne devez pas les publier ou les mettre derrière une connexion pour mieux contrôler qui les voit.

N'oubliez pas que le Web est un véhicule de communication ouvert. Il est conçu et orienté dans ce sens. Les véhicules de communication privés ne sont pas proches de ceux avec lesquels ils se connectent et partagent des informations et déploie souvent de nombreux systèmes de sécurité pour garantir la sécurité des communications. Le Web est conçu pour se connecter facilement et anonymement à n'importe quel client et partager toutes ou presque toutes les informations dont il dispose. Oui, il existe des options pour sécuriser les communications Web jusqu'à un certain point, cependant, elles seront toujours limitées en raison de la nature de ce qu'elles sont.


Vous avez raison. Le certificat SSL les empêche d'espionner et de mettre les gens sur une "liste" pour être un visiteur parce que je dis la vérité et que j'analyse leurs actions et que je les

D'accord. Je vais vous révéler un secret. Je suis consultant semi-retraité pour les grands télécoms. Il n'y avait aucun paquet chiffré que nous ne pouvions pas déchiffrer. Il fallait un équipement spécial, mais c'était un équipement facile à obtenir. Nos renifleurs ont rarement eu des problèmes de cryptage, y compris les communications à double cryptage. Certes, cela peut être plus difficile de nos jours. De plus, je suis un ancien Naval Intel avec un travail DoD. Je suis sûr que si la NSA veut examiner vos communications cryptées, elle le peut. Maintenant, je vais vous dire qu'en général, ils ne se soucient pas de ce que vous dites tant que vous ne parlez pas à un terroriste.
closetnoc

Il m'est venu à l'esprit que je devrais dire que je n'aime pas ce que fait la NSA ni que je pense que c'est juste. Ce n'est pas. Je tiens également à souligner que la charge de trafic est telle qu'ils ne peuvent pas tout regarder ni essayer. Ce qui est probablement le plus important pour eux en premier, ce sont les informations d'en-tête de paquet pour établir des communications point à point suspectes avant d'examiner un paquet. Par conséquent, quiconque va sur votre blog ne sera probablement pas reniflé, sauf s'il s'agit d'Oussama réincarné ou peut-être de son cousin. (humour)
closetnoc

Alors SLL est compromis par vous et par n'importe qui avec vos compétences, c'est comme ça que je prends ça ... De plus, les Révélations d'Edward Snowden et ce qui est sorti ne signifient pas qu'ils enregistrent tout sur nous, quand cela dit qu'ils le sont? Ou lire moi-même ces fuites de ce que la NSA a fait et fait n'est pas exact?

Désolé pour les dernières questions. Il y a beaucoup de choses qui n'ont pas de sens avec tout ce qui se passe.

6

HTTPS peut réaliser trois choses:

  • Authenticité . Assurez-vous que vous communiquez avec le véritable propriétaire du domaine.
  • Confidentialité . Assurez-vous que seul ce propriétaire de domaine et vous pouvez lire la communication.
  • L'intégrité . S'assurer que le contenu n'est pas modifié par quelqu'un d'autre.

Tout le monde convient probablement que le HTTPS devrait être obligatoire lors de la transmission de secrets (comme les mots de passe, les données bancaires, etc.).

Mais il existe plusieurs autres cas où et pourquoi l'utilisation de HTTPS peut être bénéfique:

Les attaquants ne peuvent pas altérer le contenu demandé.

Lors de l'utilisation de HTTP, les écoutes peuvent manipuler le contenu que vos visiteurs voient sur votre site Web. Par exemple:

  • Inclusion de logiciels malveillants dans le logiciel que vous proposez de télécharger.
  • Censurer une partie de votre contenu. Changer vos expressions d'opinion.
  • Injection de publicités.
  • Remplacer les données de votre compte de dons par les leurs.

Bien sûr, cela s'applique également au contenu envoyé par vos utilisateurs, par exemple les modifications du wiki. Cependant, si vos utilisateurs sont anonymes, l'attaquant pourrait "simuler" être un utilisateur de toute façon (sauf si l'attaquant est un bot et qu'il existe une barrière CAPTCHA efficace).

Les attaquants ne peuvent pas lire le contenu demandé.

Lors de l'utilisation de HTTP, les écoutes peuvent savoir à quelles pages / contenu de votre hôte vos visiteurs accèdent. Bien que le contenu lui-même puisse être public, la connaissance qu'une personne spécifique le consomme est problématique:

  • Il ouvre un vecteur d'attaque pour l'ingénierie sociale .
  • Cela porte atteinte à la vie privée.
  • Elle peut conduire à une surveillance et à des sanctions (jusqu'à l'emprisonnement, la torture, la mort).

Bien sûr, cela s'applique également au contenu envoyé par vos utilisateurs, par exemple les e-mails via un formulaire de contact.


Cela dit, le simple fait d'offrir HTTPS en plus de HTTP ne protégerait que les utilisateurs qui vérifient (ou appliquent localement, par exemple avec HSTS ) qu'ils l'utilisent. Les attaquants pourraient forcer tous les autres visiteurs à utiliser la variante HTTP (vulnérable).

Donc, si vous arrivez à la conclusion que vous souhaitez proposer HTTPS, vous pouvez envisager de l' appliquer (redirection côté serveur de HTTP vers HTTPS, envoyer l'en-tête HSTS).


1
Le simple fait d'éviter l'injection de publicités est suffisant pour me faire basculer mon site d'informations en SSL.
Bill Ruppert

4

Secret

Étant donné que votre contenu est public, HTTPS ne le masquera évidemment pas, mais il pourrait offrir certains avantages en fonction de la nature de votre site.

Intimité

Lorsque quelqu'un demande une page via HTTPS, la demande est cryptée, donc si quelqu'un regarde vos visiteurs, il ne saura pas quelles pages il a demandées. Malheureusement, le DNS (le système pour obtenir une adresse IP basée sur le nom de domaine de votre site Web) n'est pas crypté, donc un observateur pourrait toujours identifier qui visite votre site Web. Même si cela a été crypté, dans la plupart des cas, vous pouvez toujours dire quel site Web quelqu'un visite en fonction des adresses IP, qui ne peuvent pas être cachées dans la conception actuelle d'Internet.

Wikipédia propose HTTPS, que vous pourriez penser inutile parce que le contenu est public, mais en faisant cela, ils protègent leurs utilisateurs: si quelqu'un recherche des choses "non patriotiques" sur Wikipédia (en utilisant HTTPS), son gouvernement ne peut pas dire quelles pages il lis, juste qu'ils sont sur Wikipedia. Twitter est un autre cas où le contenu lui-même est public, mais les gens ne veulent pas nécessairement que les autres sachent ce qu'ils y font.

Sécurité par mot de passe

L'autre raison principale que vous voudrez peut-être considérer HTTPS est si vous avez des pages de connexion ou d'autres endroits où vous acceptez les données privées des utilisateurs (y compris vous-même). Si vous ne supportez pas du tout HTTPS, les mots de passe et autres informations seront envoyés "en clair", et toute personne qui peut lire les données réseau peut les voir (le cas effrayant était autrefois des personnes sur le même réseau wifi que vous; maintenant, il comprend également divers organismes gouvernementaux à la recherche de matériel de chantage).

Si vous ne supportez que HTTPS sur la page de connexion, mais pas ailleurs, un attaquant intelligent interceptera toutes les pages sauf la page de connexion, et changera le lien "Connexion" pour ne pas utiliser HTTPS, puis interceptera votre communication (et si vous forcez cette page à HTTPS, ils peuvent simplement intercepter le trafic et en fournir une fausse version qui fonctionne). Vous pouvez éviter cela en vérifiant toujours une icône de verrouillage dans votre barre d'URL avant de vous connecter, mais presque personne ne se souvient de le faire à chaque fois.


3

Je suis largement d'accord avec les points de Closetnoc, mais il y a un autre point qui a été ignoré: les utilisateurs de Tor ont besoin d'une version SSL pour empêcher les nœuds de sortie d'écouter .

Si vous pensez que l'un de vos lecteurs utilise Tor, vous devriez avoir SSL activé par pratique.

En outre, +1 sur le point de Max Reid: à tout le moins, vous aidez à normaliser l'utilisation du chiffrement pour le trafic non critique, augmentant ainsi l'effort que les agences de renseignement doivent exercer afin d'identifier les paquets souhaitables.


J'aime l'idée de rendre la vie de la NSA plus difficile. Malheureusement, cela peut rendre la vie plus difficile pour tous. Plus de cycles CPU, des transferts de données plus importants, plus de paquets, des taux de transfert plus lents, etc. Bien sûr, ce n'est qu'une infime goutte par site, mais suffisamment de sites et vous risquez d'avoir un vrai problème et encore moins ce que fait la NSA. Attendez. La NSA aura un nœud dans sa queue dès que 2016 approchera. En ce moment, ce n'est qu'un petit feu sous leur a $$.
closetnoc

4
@closetnoc TLS augmente la taille du transfert, qu'est-ce que, comme, 1%? Et tout processeur semi-moderne peut gérer toute la crypto qu'un navigateur Web peut penser à lui lancer. Quel est le problème?
Matt Nordhoff

Je suis d'accord. Je l'ai appelé un petit goutte à goutte. C'est peut-être plus comme une goutte minuscule super. Mais je soupçonne que suffisamment de gouttes super minuscules affecteront vraiment la vie sur toute la ligne. Pensez à l'étendue du Web et si tout le monde migrait vers SSL, cela s'accumulerait un peu rapidement. Cela ne réduira peut-être pas le filet, mais l'effet serait ressenti, j'en suis sûr.
closetnoc

1
@closetnoc 1% d'une grande chose est toujours 1%.
Matt Nordhoff

1
@closetnoc Tous les opérateurs de télécommunications ont une capacité limitée. Aucun telco sain n'exécute leurs ports à près de 99%. (Plusieurs fous font pour extorquer Netflix, cependant.) S'ils le faisaient, ils seraient foutus chaque fois qu'un nouveau clip de Justin Bieber sortait sur YouTube.
Matt Nordhoff

3

Il n'y a pas vraiment de raison de ne pas le faire, à part le coût du SSL lui-même.

Pour un déploiement de serveur Web typique , SSL ajoute peu de frais généraux.

Il y a des discussions pour la norme http 2.0 pour rendre le cryptage obligatoire: http://beta.slashdot.org/story/194289

En utilisant notre site, vous reconnaissez avoir lu et compris notre politique liée aux cookies et notre politique de confidentialité.
Licensed under cc by-sa 3.0 with attribution required.