¿Forzar el uso de SSL en el sitio ahora?

22

Estoy empezando a ver que la mayoría de los sitios web comienzan a usar SSL como una práctica estándar para ver el sitio web de forma segura ahora gracias a las revelaciones de Edward Snowden sobre la vigilancia de la NSA que está sucediendo.

¿Deberíamos convertirlo en un estándar web para hacer que todos los sitios web utilicen SSL para seguridad, visualización, pagos y en todas partes?

Tengo un blog personal simple, y tengo gente que dice que necesito usarlo porque expreso mi opinión, inquietudes e ideas sobre el tema de la NSA, y dicen que están empezando a sentirse menos seguros sin HTTPS ...

aendrew
fuente
3
Considere ofrecer TLS solo para aumentar la cantidad de tráfico encriptado en la web, lo que dificulta que las personas malintencionadas separen el tráfico conspirador y aburrido.
Max Ried

Respuestas:

5

Interesante pregunta. Sin embargo, la respuesta obvia sería si puedo obtener un sitio web con un navegador, entonces la NSA también puede obtenerlo. No estoy tratando de ser un sabelotodo en esto. SSL debe usarse para iniciar sesión en la cuenta, pagos, etc. Como un curso normal de trabajo, no es necesario.

Dicho esto, apoyo SSL más de lo que implica esta respuesta. Si eres un blogger, entonces no usaría SSL. Si está diciendo cosas que quiere en privado, incluso bajo ciertas circunstancias, entonces no debe publicarlo o ponerlo detrás de un inicio de sesión para controlar mejor quién lo ve.

Recuerde que la web es un vehículo de comunicaciones abierto. Está diseñado y orientado hacia esto. Los vehículos de comunicaciones privadas no son promiscuos con quién se conecta y comparte información y, a menudo, implementa numerosos esquemas de seguridad para garantizar comunicaciones seguras. La web está diseñada para conectarse de forma fácil y anónima con cualquier cliente y compartir toda o casi toda la información que tiene. Sí, hay opciones para asegurar las comunicaciones web hasta cierto punto, sin embargo, siempre estará limitado debido a la naturaleza de lo que es.

closetnoc
fuente
Tienes un punto. El Certificado SSL les impide husmear y poner a las personas en una "lista" por ser visitantes porque estoy diciendo la verdad y analizando sus acciones y golpeándolas al infierno y devolviéndolas ...
Bueno. Te dejaré entrar en un secreto. Soy un consultor semi-retirado para las principales telecomunicaciones. No había paquete cifrado que no pudimos descifrar. Se requería equipo especial, pero era un equipo fácilmente obtenible. Nuestros rastreadores rara vez tenían problemas con el cifrado, incluidas las comunicaciones con doble cifrado. Puede ser más difícil en estos días, sin duda. Además, soy anterior Intel Naval con DoD trabajo. Estoy seguro de que si la NSA quiere ver sus comunicaciones encriptadas, pueden hacerlo. Ahora le diré que, en general, no les importa lo que está diciendo mientras no hable con un terrorista.
closetnoc
Se me ocurrió que debería decir que no me gusta lo que está haciendo la NSA ni creo que sea correcto. No lo es. También quiero señalar que la carga de tráfico es tal que no pueden mirar todo ni intentarlo. Lo que probablemente sea más importante para ellos primero es la información del encabezado del paquete para establecer comunicaciones sospechosas punto a punto antes de examinar cualquier paquete. Por lo tanto, cualquiera que vaya a tu blog probablemente no será olfateado a menos que sea Osama reencarnado o tal vez su primo. (humor)
closetnoc
Entonces SLL se ve comprometido por usted y cualquier persona con sus habilidades, así es como estoy tomando esto ... Además, las Revelaciones de Edward Snowden y lo que se lanzó no significa que graben todo sobre nosotros, cuando dice que sí. ¿O leer estas filtraciones por mí mismo de lo que la NSA ha hecho y está haciendo no es correcto?
Perdón por las últimas preguntas. Hay muchas cosas que no tienen sentido con todo lo que está sucediendo.
6

HTTPS puede lograr tres cosas:

  • Autenticidad . Asegurarse de que se está comunicando con el propietario del dominio real.
  • Confidencialidad . Asegurándose de que solo este propietario del dominio y usted puedan leer la comunicación.
  • Integridad . Asegurarse de que el contenido no sea modificado por otra persona.

Probablemente todos estén de acuerdo en que HTTPS debería ser obligatorio al transmitir secretos (como contraseñas, datos bancarios, etc.).

Pero hay varios otros casos donde y por qué el uso de HTTPS puede ser beneficioso:

Los atacantes no pueden alterar el contenido solicitado.

Al usar HTTP, los espías pueden manipular el contenido que sus visitantes ven en su sitio web. Por ejemplo:

  • Incluyendo malware en el software que ofrece para descargar.
  • Censurando parte de su contenido. Cambiando tus expresiones de opinión.
  • Inyección de anuncios.
  • Reemplazar los datos de su cuenta de donaciones con los suyos.

Por supuesto, esto también se aplica al contenido enviado por sus usuarios, por ejemplo, ediciones wiki. Sin embargo, si sus usuarios son anónimos, el atacante podría "simular" ser un usuario de todos modos (a menos que el atacante sea un bot y haya alguna barrera efectiva de CAPTCHA).

Los atacantes no pueden leer el contenido solicitado.

Al usar HTTP, los espías pueden saber a qué páginas / contenido en su host acceden sus visitantes. Aunque el contenido en sí mismo puede ser público, el conocimiento que una persona específica consume es problemático:

  • Abre un vector de ataque para la ingeniería social .
  • Infringe la privacidad.
  • Puede conducir a la vigilancia y el castigo (hasta el encarcelamiento, la tortura, la muerte).

Por supuesto, esto también se aplica al contenido enviado por sus usuarios, por ejemplo, correos electrónicos a través de un formulario de contacto.


Dicho todo esto, simplemente ofrecer HTTPS además de HTTP solo protegería a los usuarios que verifican (o hacen cumplir localmente, por ejemplo, con HSTS ) que lo están utilizando. Los atacantes podrían obligar a todos los demás visitantes a usar la variante HTTP (vulnerable).

Por lo tanto, si llega a la conclusión de que desea ofrecer HTTPS, es posible que desee considerar su aplicación (redirección del lado del servidor de HTTP a HTTPS, envíe el encabezado HSTS).

unor
fuente
1
Simplemente evitar la inyección de anuncios es suficiente para hacerme cambiar mi sitio de información a SSL.
Bill Ruppert
4

Secreto

Dado que su contenido es público, HTTPS obviamente no lo ocultará, pero puede proporcionar algunos beneficios dependiendo de la naturaleza de su sitio.

Intimidad

Cuando alguien solicita una página a través de HTTPS, la solicitud se cifra, por lo que si alguien está mirando a sus visitantes, no sabrá qué páginas solicitó. Desafortunadamente, el DNS (el sistema para obtener una dirección IP basada en el nombre de dominio de su sitio web) no está encriptado, por lo que un observador aún podría identificar quién visita su sitio web. Incluso si eso estuviera encriptado, en la mayoría de los casos aún podría saber qué sitio web visita alguien en función de las direcciones IP, que no se pueden ocultar en el diseño actual de Internet.

Wikipedia ofrece HTTPS, lo que podría parecer inútil porque el contenido es público, pero al hacerlo protegen a sus usuarios: si alguien está buscando cosas "antipatrióticas" en Wikipedia (usando HTTPS), su gobierno no puede determinar qué páginas estás leyendo, solo que están en Wikipedia. Twitter es otro caso, el contenido en sí es público, pero las personas no necesariamente quieren que otras personas sepan lo que están haciendo en él.

Seguridad de contraseña

La otra razón principal por la que es posible que desee considerar HTTPS es si tiene páginas de inicio de sesión u otros lugares donde acepta datos privados de los usuarios (incluido usted mismo). Si no es compatible con HTTPS, las contraseñas y otra información se enviarán "en claro", y cualquiera que pueda leer los datos de la red puede verlos (el caso aterrador solía ser otras personas en la misma red wifi que usted; ahora también incluye varias agencias gubernamentales que buscan material de chantaje).

Si solo admite HTTPS en la página de inicio de sesión, pero no en ningún otro lugar, un atacante inteligente interceptará cada página, excepto la página de inicio de sesión, y cambiará el enlace "Iniciar sesión" para no usar HTTPS, luego intercepte su comunicación (y si fuerza esa página a HTTPS, solo pueden interceptar el tráfico y proporcionar una versión falsa que sí funciona). Puede evitar esto siempre buscando un icono de candado en su barra de URL antes de iniciar sesión, pero casi nadie recuerda hacerlo siempre.

Reinstalar a Mónica
fuente
3

Estoy muy de acuerdo con los puntos de Closetnoc, pero hay otro punto que se ha pasado por alto: los usuarios de Tor necesitan una versión SSL para evitar que los nodos de salida escuchen a escondidas .

Si sospecha que alguno de sus lectores usa Tor, debe tener SSL habilitado como práctica.

Además, +1 en el punto de Max Reid: al menos, usted ayuda a normalizar el uso del cifrado para el tráfico no crítico, lo que aumenta el esfuerzo que las agencias de inteligencia deben ejercer para identificar los paquetes deseables.

aendrew
fuente
Me gusta la idea de hacer la vida de la NSA más difícil. Desafortunadamente, puede hacer la vida más difícil para todos. Más ciclos de CPU, transferencias de datos más grandes, más paquetes, velocidades de transferencia más lentas, etc. Por supuesto, esto es solo un pequeño goteo por sitio, pero suficientes sitios y es posible que tenga un problema real y mucho menos lo que está haciendo la NSA. Espere. La NSA tendrá un nudo en la cola tan pronto como se acerque el 2016. En este momento es solo un pequeño incendio debajo de su $$.
closetnoc
44
@closetnoc TLS aumenta el tamaño de transferencia, ¿qué, como, 1%? Y cualquier CPU semi-moderna puede manejar todas las criptomonedas que un navegador web puede pensar en arrojarle. ¿Cuál es el problema?
Matt Nordhoff
Estoy de acuerdo. Lo llamé un pequeño goteo. Quizás es más como un goteo súper pequeño. Pero sospecho que suficientes gotas super pequeñas realmente afectarán la vida en el futuro. Piense en el alcance de la web y si todos migraran a SSL, eso se acumularía bastante rápido. Puede que no derribe la red, pero el efecto se sentiría, estoy seguro.
closetnoc
1
@closetnoc 1% de una gran cosa sigue siendo 1%.
Matt Nordhoff
1
@closetnoc Todas las empresas de telecomunicaciones tienen capacidad limitada. Ninguna empresa de telecomunicaciones cuerda maneja sus puertos en cualquier lugar cercano al 99%. (Sin embargo, varios locos lo hacen para extorsionar a Netflix). Si lo hicieran, se perderían cada vez que apareciera un nuevo video musical de Justin Bieber en YouTube.
Matt Nordhoff
3

Realmente no hay una razón para no hacerlo, aparte del costo del SSL en sí.

Para una implementación típica de servidor web, SSL agrega poca sobrecarga.

Hay conversaciones para que el estándar http 2.0 haga obligatorio el cifrado: http://beta.slashdot.org/story/194289

Alex KeySmith
fuente