SSL jetzt vor Ort erzwingen?

22

Dank der Enthüllungen von Edward Snowden über die gerade stattfindende Überwachung durch die NSA sehe ich eine Mehrheit von Websites, die SSL als Standardmethode für das sichere Anzeigen der Website verwenden.

Sollten wir es zu einem Webstandard machen, dass alle Websites SSL für Sicherheit, Anzeige, Zahlungen und überall verwenden?

Ich besitze ein einfaches persönliches Blog, und ich habe Leute, die sagen, dass ich es verwenden muss, weil ich meine Meinung, Bedenken und Ideen zum Thema der NSA zum Ausdruck bringe und sie sagen, dass sie sich ohne HTTPS allmählich weniger sicher fühlen ...

Aendrew
quelle
3
Erwägen Sie, TLS nur zur Erhöhung des verschlüsselten Datenverkehrs im Web anzubieten, um es böswilligen Personen zu erschweren, verschwörerischen und langweiligen Datenverkehr auseinander zu halten.
Max Ried

Antworten:

5

Interessante Frage. Die offensichtliche Antwort wäre jedoch, wenn ich eine Website mit einem Browser bekommen kann, dann kann es auch die NSA bekommen. Ich versuche nicht, ein Smarty-Pant zu sein. SSL sollte für Kontoanmeldungen, Zahlungen usw. verwendet werden. Normalerweise ist dies nicht erforderlich.

Allerdings unterstütze ich SSL mehr als diese Antwort impliziert. Wenn Sie ein Blogger sind, würde ich kein SSL verwenden. Wenn Sie Dinge sagen, die Sie auch unter bestimmten Umständen als privat betrachten möchten, sollten Sie sie nicht posten oder hinter ein Login stellen, um besser kontrollieren zu können, wer sie sieht.

Denken Sie daran, dass das Web ein offenes Kommunikationsmittel ist. Es ist Design und darauf ausgerichtet. Private Kommunikationsmittel sind nicht mit der Person bekannt, mit der sie eine Verbindung herstellen und Informationen austauschen, und setzen häufig zahlreiche Sicherheitsschemata ein, um eine sichere Kommunikation zu gewährleisten. Das Web ist so konzipiert, dass es sich einfach und anonym mit jedem Kunden verbindet und alle oder fast alle Informationen, die es enthält, weitergibt. Ja, es gibt Optionen, um die Webkommunikation auf einen bestimmten Punkt abzusichern. Sie ist jedoch aufgrund ihrer Beschaffenheit immer begrenzt.

closetnoc
quelle
Sie haben einen Punkt. Das SSL-Zertifikat hindert sie daran, Leute zu beschnüffeln und auf eine "Liste" zu setzen, um Besucher zu sein, weil ich die Wahrheit sage und ihre Handlungen analysiere und sie in die Hölle und zurück
Okay. Ich werde dich in ein Geheimnis einweihen. Ich bin ein Berater im Ruhestand für die großen Telekommunikationsunternehmen. Es gab kein verschlüsseltes Paket, das wir nicht entschlüsseln konnten. Es erforderte eine spezielle Ausrüstung, die jedoch leicht zu beschaffen war. Unsere Sniffer hatten selten Probleme mit der Verschlüsselung, einschließlich der doppelt verschlüsselten Kommunikation. Heutzutage mag es allerdings schwieriger sein. Ebenso bin ich vor Naval Intel mit DoD beschäftigt. Ich bin mir sicher, dass die NSA Ihre verschlüsselten Mitteilungen einsehen kann. Jetzt werde ich Ihnen sagen, dass es ihnen im Allgemeinen egal ist, was Sie sagen, solange Sie nicht mit einem Terroristen sprechen.
Closetnoc
Mir ist der Gedanke gekommen, dass ich sagen sollte, dass mir das, was die NSA tut, nicht gefällt und dass ich es für richtig halte. Es ist nicht. Ich möchte auch darauf hinweisen, dass die Verkehrslast so hoch ist, dass sie nicht alles anschauen können und es auch nicht versuchen würden. Was für sie wahrscheinlich am wichtigsten ist, sind zuerst die Paket-Header-Informationen, um verdächtige Punkt-zu-Punkt-Kommunikationen herzustellen, bevor ein Paket untersucht wird. Daher wird jeder, der auf Ihr Blog geht, wahrscheinlich nicht beschnüffelt, es sei denn, Osama ist wiedergeboren oder vielleicht sein Cousin. (Humor)
closetnoc
Dann wird SLL von Ihnen und jedem mit Ihren Fähigkeiten kompromittiert, so nehme ich das ... Plus die Enthüllungen von Edward Snowden und was veröffentlicht wurde, bedeutet nicht, dass sie alles über uns aufzeichnen, wenn es heißt, dass sie es sind? Oder diese Lecks für mich zu lesen, was die NSA getan hat und tut, ist nicht korrekt?
Entschuldigung für die letzten Fragen. Es gibt nur eine Menge, die bei all dem, was passiert, keinen Sinn ergibt.
6

HTTPS kann drei Dinge erreichen:

  • Authentizität . Stellen Sie sicher, dass Sie mit dem tatsächlichen Domaininhaber kommunizieren.
  • Vertraulichkeit . Stellen Sie sicher, dass nur dieser Domaininhaber und Sie die Kommunikation lesen können.
  • Integrität . Stellen Sie sicher, dass der Inhalt nicht von einer anderen Person geändert wird.

Wahrscheinlich sind sich alle einig, dass HTTPS bei der Übermittlung von Geheimnissen (wie Passwörtern, Bankdaten usw.) obligatorisch sein sollte.

Es gibt jedoch mehrere andere Fälle, in denen und warum die Verwendung von HTTPS von Vorteil sein kann:

Angreifer können den angeforderten Inhalt nicht manipulieren.

Bei der Verwendung von HTTP können Abhörer den Inhalt manipulieren, den Ihre Besucher auf Ihrer Website sehen. Beispielsweise:

  • Einbinden von Malware in die Software, die Sie zum Download anbieten.
  • Einige Ihrer Inhalte zensieren. Ändern Sie Ihre Meinungsäußerungen.
  • Injizieren von Werbung.
  • Ersetzen Sie die Daten Ihres Spendenkontos durch ihre eigenen.

Dies gilt natürlich auch für Inhalte, die von Ihren Benutzern gesendet werden, z. B. Wiki-Änderungen. Wenn Ihre Benutzer jedoch anonym sind, kann der Angreifer das ohnehin "simulieren" (es sei denn, der Angreifer ist ein Bot und es gibt eine effektive CAPTCHA-Barriere).

Angreifer können den angeforderten Inhalt nicht lesen.

Bei Verwendung von HTTP können Abhörer feststellen, auf welche Seiten / Inhalte auf Ihrem Host Ihre Besucher zugreifen. Obwohl der Inhalt selbst öffentlich sein mag, ist das Wissen, dass eine bestimmte Person ihn konsumiert, problematisch:

  • Es öffnet einen Angriffsvektor für Social Engineering .
  • Es verletzt die Privatsphäre.
  • Dies kann zu Überwachung und Bestrafung führen (bis hin zu Inhaftierung, Folter, Tod).

Dies gilt natürlich auch für Inhalte, die von Ihren Nutzern versendet werden, beispielsweise E-Mails über ein Kontaktformular.


Alles in allem würde das einfache Anbieten von HTTPS zusätzlich zu HTTP nur Benutzer schützen, die überprüfen (oder lokal erzwingen, z. B. mit HSTS ), dass sie es verwenden. Angreifer könnten alle anderen Besucher dazu zwingen, die (anfällige) HTTP-Variante zu verwenden.

Wenn Sie also zu dem Schluss kommen, dass Sie HTTPS anbieten möchten, sollten Sie überlegen , es durchzusetzen (serverseitige Umleitung von HTTP zu HTTPS, HSTS-Header senden).

unor
quelle
1
Es reicht aus, nur die Einblendung von Werbung zu vermeiden, um meine Infoseite auf SSL umzustellen.
Bill Ruppert
4

Geheimhaltung

Da Ihr Inhalt öffentlich ist, wird er von HTTPS offensichtlich nicht ausgeblendet, kann jedoch abhängig von der Art Ihrer Website einige Vorteile bieten.

Privatsphäre

Wenn jemand eine Seite über HTTPS anfordert, wird die Anforderung verschlüsselt. Wenn also jemand Ihre Besucher beobachtet, weiß er nicht, welche Seiten er angefordert hat. Leider ist DNS (das System zum Abrufen einer IP-Adresse basierend auf dem Domain-Namen Ihrer Website) nicht verschlüsselt, sodass ein Beobachter immer noch identifizieren kann, wer Ihre Website besucht. Selbst wenn dies verschlüsselt wäre, könnten Sie in den meisten Fällen anhand von IP-Adressen feststellen, welche Website gerade besucht wird, was im aktuellen Design des Internets nicht verborgen bleiben kann.

Wikipedia bietet HTTPS an, was Sie vielleicht als sinnlos erachten, weil der Inhalt öffentlich ist. Auf diese Weise schützen sie jedoch ihre Benutzer: Wenn jemand in Wikipedia nach "unpatriotischen" Dingen sucht (mit HTTPS), kann die Regierung nicht sagen, welche Seiten sie haben lese gerade, dass sie auf Wikipedia sind. Twitter ist ein weiterer Fall, bei dem der Inhalt selbst öffentlich ist, aber die Leute wollen nicht, dass andere wissen, was sie darauf tun.

Passwort-Sicherheit

Der andere Hauptgrund, warum Sie HTTPS in Betracht ziehen könnten, ist, wenn Sie Anmeldeseiten oder andere Orte haben, an denen Sie private Daten von Benutzern (einschließlich Ihrer selbst) akzeptieren. Wenn Sie HTTPS überhaupt nicht unterstützen, werden Kennwörter und andere Informationen "unverschlüsselt" gesendet, und jeder, der Netzwerkdaten lesen kann, kann sie sehen (der beängstigende Fall waren früher andere Personen im selben WLAN-Netzwerk wie Sie; jetzt auch verschiedene Regierungsbehörden, die nach Erpressungsmaterial suchen).

Wenn Sie nur HTTPS auf der Anmeldeseite unterstützen, aber sonst nirgendwo, wird ein cleverer Angreifer jede Seite außer der Anmeldeseite abfangen und den Link "Anmelden" so ändern, dass HTTPS nicht verwendet wird, dann fangen Sie Ihre Kommunikation ab (und wenn Sie diese Seite erzwingen) für HTTPS können sie einfach den Datenverkehr abfangen und eine gefälschte Version davon bereitstellen, die funktioniert. Sie können dies verhindern, indem Sie immer nach einem Schlosssymbol in Ihrer URL-Leiste suchen, bevor Sie sich anmelden, aber fast niemand merkt sich das jedes Mal.

Setzen Sie Monica wieder ein
quelle
3

Ich stimme den Punkten von Closetnoc weitgehend zu, aber ein weiterer Punkt wurde übersehen: Tor-Benutzer benötigen eine SSL-Version, um das Abhören von Exit-Knoten zu verhindern .

Wenn Sie den Verdacht haben, dass einer Ihrer Leser Tor verwendet, sollten Sie aus praktischen Gründen SSL aktivieren.

Außerdem +1 in Bezug auf Max Reids Punkt: Zumindest tragen Sie dazu bei, die Verwendung der Verschlüsselung für unkritischen Datenverkehr zu normalisieren, und erhöhen so den Aufwand, den Nachrichtendienste zur Identifizierung gewünschter Pakete leisten müssen.

Aendrew
quelle
Ich mag die Idee, der NSA das Leben zu erschweren. Leider kann es das Leben für Allrounder erschweren. Mehr CPU-Zyklen, größere Datenübertragungen, mehr Pakete, langsamere Übertragungsraten usw. Natürlich ist dies nur ein winziger Tropfen pro Standort, aber es gibt genug Standorte, und Sie haben möglicherweise ein echtes Problem, geschweige denn, was der NSA tut. Warten Sie mal. Die NSA wird einen Knoten in den Schwanz bekommen, sobald sich das Jahr 2016 nähert. Im Moment ist es nur ein kleines Feuer unter ihrem Dollar.
Closetnoc
4
@closetnoc TLS erhöht die Übertragungsgröße, wie 1%? Und jede semimoderne CPU kann mit allen Kryptografien umgehen, die ein Webbrowser für nötig hält. Was ist das Problem?
Matt Nordhoff
Genau. Ich nannte es einen winzigen Tropfen. Vielleicht ist es eher ein winziger Tropfen. Aber ich vermute, dass genug winzige Tropfen das Leben auf der ganzen Linie beeinflussen werden. Denken Sie über den Umfang des Webs nach, und wenn jeder auf SSL migriert wäre, würde sich das schnell summieren. Es mag das Netz nicht kaputt machen, aber ich bin mir sicher, dass der Effekt spürbar ist.
Closetnoc
1
@closetnoc 1% einer großen Sache ist immer noch 1%.
Matt Nordhoff
1
@closetnoc Alle Telcos haben eine begrenzte Kapazität. Keine vernünftige Telekommunikation betreibt ihre Häfen zu annähernd 99%. (Einige Wahnsinnige erpressen jedoch Netflix.) Wenn sie das taten, wurden sie jedes Mal verarscht, wenn ein neues Justin Bieber-Musikvideo auf YouTube auftauchte.
Matt Nordhoff
3

Es gibt keinen Grund, dies nicht zu tun, außer den Kosten für SSL.

Bei einer typischen Webserver-Bereitstellung verursacht SSL nur einen geringen Overhead.

Es gibt Gespräche für den http 2.0-Standard, um die Verschlüsselung verbindlich zu machen: http://beta.slashdot.org/story/194289

Alex KeySmith
quelle