HTTP über Port 443 vs HTTPS über Port 80

Was ist der Unterschied zwischen

http://serverfault.com:443 und /server/:80

Welches ist theoretisch sicherer?

http und https beziehen sich auf das verwendete Protokoll.

http wird für unverschlüsselte Klartext-Kommunikation verwendet, was bedeutet, dass übertragene Daten von einem Menschen abgefangen und in Klartext gelesen werden können. Felder für Benutzername / Passwort können beispielsweise erfasst und gelesen werden.

https bezieht sich auf SSL / TLS-verschlüsselte Kommunikation. Es muss entschlüsselt werden, um gelesen zu werden. Normalerweise / idealerweise sind nur die Endpunkte in der Lage, die Daten zu verschlüsseln / entschlüsseln, obwohl dies eine Anweisung mit Vorbehalten ist ( siehe Bearbeitung unten ).

Daher kann https als sicherer als http angesehen werden.

: 80 und: 443 beziehen sich nur auf den verwendeten Server-Port (dh es ist "nur eine Nummer") und haben keinerlei Bedeutung für die Sicherheit.

Es gibt jedoch eine strenge Konvention, http über Port 80 und https über Port 443 zu senden, was die Kombinationen in dieser Frage mehr als unorthodox macht. Sie sind jedoch technisch einwandfrei verwendbar, sofern die Endpunkte übereinstimmen und keine zwischengeschalteten Filterobjekte vorhanden sind.

Zur Beantwortung: http://example.com:443 ist weniger sicher als https://example.com:80, und der Unterschied ist praktisch (obwohl er auf verschiedene Arten ausgeglichen werden kann) und nicht nur theoretisch.

Sie können die Gültigkeit dieser Anweisungen auf einfache Weise mit einem Webserver und einem Client testen, indem Sie den Serverport und den Verschlüsselungsstatus ändern und dabei jede Sitzung mit einem Protokolldecoder wie Wireshark erfassen und vergleichen.

[ BEARBEITEN - Vorbehalte bezüglich der Sicherheit des Client / Server-Pfades ]

Was im Wesentlichen einem https-Man-in-the-Middle-Angriff gleichkommt, kann zum Zwecke des Abhörens oder Identitätswechsels ausgeführt werden. Es kann als ein Akt der Böswilligkeit, des Wohlwollens oder, wie sich herausstellt, sogar aufgrund von Unwissenheit geschehen, abhängig von den Umständen.

Der Angriff kann entweder durch Ausnutzen einer Protokollschwäche wie des Heartbleed- Fehlers oder der Poodle-Sicherheitsanfälligkeit oder durch Instantiieren eines https-Proxys zwischen dem Client und dem Server im Netzwerkpfad oder direkt auf dem Client erfolgen .

Böswilliger Gebrauch braucht nicht viel Erklärung, denke ich. Eine wohlwollende Nutzung wäre beispielsweise eine Organisation, die eingehende https-Verbindungen zum Zwecke der Protokollierung / IDs oder ausgehende https-Verbindungen zum Filtern von zulässigen / abgelehnten Anwendungen als Proxy verwendet . Ein Beispiel für eine ignorante Verwendung wäre das oben verlinkte Lenovo Superfish-Beispiel oder die aktuelle Dell-Variante desselben Ausrutschers.

BEARBEITEN 2

Hast du jemals bemerkt, wie die Welt die Überraschungen hält? Ein Skandal brach gerade in Schweden aus, als drei Gesundheitsorganisationen der Bezirksregierung dieselbe Lieferkette für die Registrierung von Gesundheitsereignissen über Telefonanrufe von Patienten verwendeten.

Die Frage wird sozusagen im großen Stil beantwortet. Wenn es nur ein Scherz und kein tatsächliches Ereignis wäre ...

Ich werde einfach zwei Schnipsel einfügen, die aus dem Nachrichtentext in Computer Sweden übersetzt wurden :

„Computer Sweden kann heute eine der größten Katastrophen aufdecken, die es je in Bezug auf die Sicherheit von Patienten im Gesundheitswesen und die persönliche Integrität gegeben hat. Auf einem offenen Webserver ohne Kennwortschutz oder andere Sicherheitsmaßnahmen haben wir über die medizinische Beratungsnummer 1177 2,7 Millionen Anrufe von Patienten an das Gesundheitswesen registriert. Die Anrufe gehen auf das Jahr 2013 zurück und enthalten 170.000 Stunden sensibler Sprache Dateien aufrufen, die jeder herunterladen und anhören kann.

[...]

Die Anrufe wurden auf dem Voice Integrated Nordics-Speicherserver unter der IP-Adresse http://188.92.248.19:443/medicall/ gespeichert . TCP-Port 443 zeigt an, dass der Datenverkehr über https übertragen wurde, die Sitzung jedoch nicht verschlüsselt ist.

Ich kann mich nicht entscheiden, ob dies ein weiteres Beispiel für Ignoranz ist oder ob wir eine völlig neue Kategorie sehen. Bitte um Rat.