Forcer l'utilisation de SSL sur le site maintenant?
Je commence à constater que la majorité des sites Web commencent à utiliser SSL comme pratique standard pour visualiser le site Web en toute sécurité, grâce aux révélations d'Edward Snowden sur la NSA surveillance en cours.
Devrions-nous en faire un standard Web obligeant tous les sites Web à utiliser SSL pour des raisons de sécurité, d’affichage, de paiement et partout?
Je possède un blog personnel simple, et certaines personnes disent que je dois l'utiliser parce que je fais part de mon opinion, de mes préoccupations et de mes idées concernant le sujet de la NSA, et disent qu'elles commencent à se sentir moins en sécurité sans HTTPS ...
Question interessante. Cependant, la réponse évidente serait que si je peux obtenir un site Web avec un navigateur, le NSA peut l'obtenir aussi. Je n'essaie pas d'être un smarty-pants sur ce sujet. SSL doit être utilisé pour la connexion au compte, les paiements, etc. En temps normal, cela n’est pas nécessaire.
Cela dit, je supporte plus SSL que ce que cette réponse implique. Si vous êtes un blogueur, je n'utiliserais pas SSL. Si vous dites des choses que vous souhaitez voir privées même dans certaines circonstances, vous ne devez pas les publier ou les mettre derrière un identifiant afin de mieux contrôler les personnes qui les voient.
Rappelez-vous que le Web est un véhicule de communication ouvert. Il est conçu et conçu pour cela. Les véhicules de communication privés ne sont pas très proches des personnes avec lesquelles ils se connectent, partagent des informations et déploient souvent de nombreux systèmes de sécurité pour assurer des communications sécurisées. Le Web est conçu pour se connecter facilement et anonymement à n’importe quel client et partager la totalité ou la quasi-totalité des informations dont il dispose. Oui, il existe des options pour sécuriser les communications Web jusqu'à un certain point, cependant, elles seront toujours limitées en raison de la nature de ce que c'est.
HTTPS peut réaliser trois choses:
- Authenticité . Assurez-vous que vous communiquez avec le propriétaire du domaine réel.
- Confidentialité . Assurez-vous que seul ce propriétaire de domaine et vous pouvez lire la communication.
- Intégrité . S'assurer que le contenu ne soit pas modifié par quelqu'un d'autre.
Tout le monde convient probablement que HTTPS devrait être obligatoire lors de la transmission de secrets (tels que mots de passe, données bancaires, etc.).
Mais il existe plusieurs autres cas où et pourquoi l'utilisation de HTTPS peut être bénéfique:
Les attaquants ne peuvent pas altérer le contenu demandé.
Lors de l'utilisation de HTTP, des oreilles indiscrètes peuvent manipuler le contenu que vos visiteurs voient sur votre site Web. Par exemple:
- Inclure les logiciels malveillants dans le logiciel que vous proposez en téléchargement.
- Censure une partie de votre contenu. Changer vos expressions d'opinion.
- Injecter des publicités.
- Remplacer les données de votre compte de dons par les leurs.
Bien sûr, cela s'applique également au contenu envoyé par vos utilisateurs, par exemple les modifications du wiki. Toutefois, si vos utilisateurs sont anonymes, l’attaquant peut quand même "simuler" être un utilisateur (à moins que l’attaquant ne soit un bot et qu’il existe une barrière CAPTCHA efficace).
Les attaquants ne peuvent pas lire le contenu demandé.
Lors de l'utilisation de HTTP, les oreilles indiscrètes peuvent savoir à quelles pages/quels contenus de votre hôte ont accès les visiteurs. Bien que le contenu lui-même puisse être public, le fait de savoir qu'il en consomme est problématique:
- Il ouvre un vecteur d’attaque pour ingénierie sociale .
- Cela porte atteinte à la vie privée.
- Cela peut mener à la surveillance et à la punition (jusqu’à l’emprisonnement, à la torture, à la mort).
Bien entendu, cela s’applique également au contenu envoyé par vos utilisateurs, par exemple les mails via un formulaire de contact.
Cela dit, proposer simplement HTTPS en plus de HTTP ne protégerait que les utilisateurs qui vérifient (ou appliquent localement, par exemple avec HSTS ) qu'ils sont En l'utilisant. Les attaquants pourraient obliger tous les autres visiteurs à utiliser la variante HTTP (vulnérable).
Donc, si vous arrivez à la conclusion que vous voulez offrir HTTPS, vous voudrez peut-être envisager de le forcer (redirection côté serveur de HTTP à HTTPS, envoi de l'en-tête HSTS).
Secret
Étant donné que votre contenu est public, HTTPS ne le cachera évidemment pas, mais il pourrait offrir certains avantages en fonction de la nature de votre site.
Intimité
Lorsque quelqu'un demande une page via HTTPS, la demande est cryptée. Par conséquent, si quelqu'un surveille vos visiteurs, ils ne sauront pas quelles pages ils ont demandées. Malheureusement, le DNS (système permettant d'obtenir une adresse IP basée sur le nom de domaine de votre site Web) n'est pas crypté. Par conséquent, un observateur peut toujours identifier les personnes qui visitent votre site Web. Même si cela était crypté, dans la plupart des cas, vous pouviez toujours déterminer le site Web visité par quelqu'un, en fonction des adresses IP, qui ne peuvent pas être cachées dans la conception actuelle d'Internet.
Wikipedia propose HTTPS, ce qui peut sembler inutile, car son contenu est public, mais il protège ainsi ses utilisateurs: si quelqu'un cherche des informations "non patriotiques" sur Wikipedia (en utilisant HTTPS), son gouvernement ne peut pas dire 'lis, juste qu'ils sont sur Wikipedia. Twitter est un autre cas où le contenu lui-même est public, mais les gens ne veulent pas nécessairement que les autres sachent ce qu'ils font avec.
Sécurité du mot de passe
L'autre raison majeure pour laquelle vous pouvez envisager HTTPS est si vous avez des pages de connexion ou d'autres endroits où vous acceptez les données privées des utilisateurs (y compris vous-même). Si vous ne supportez pas du tout le protocole HTTPS, les mots de passe et autres informations seront envoyés "en clair", et toute personne pouvant lire les données du réseau peut les voir (le cas effrayant était celui d'autres personnes sur le même réseau wifi que vous; maintenant, il comprend également diverses agences gouvernementales à la recherche de matériel de chantage).
Si vous ne supportez que HTTPS sur la page de connexion, mais pas ailleurs, un attaquant intelligent interceptera toutes les pages sauf la page de connexion et modifiera le lien "Connexion" pour ne pas utiliser HTTPS, puis interceptera votre communication (et si vous forcez cette page) HTTPS, ils peuvent simplement intercepter le trafic et en fournir une version factice qui fonctionne). Vous pouvez éviter cela en recherchant toujours une icône de verrou dans votre barre d'URL avant de vous connecter, mais presque personne ne se rappelle l'avoir fait à chaque fois.
Je suis largement d'accord avec les points de Closetnoc, mais il y a un autre point qui a été négligé: les utilisateurs de Tor ont besoin d'une version SSL pour empêcher les noeuds de sortie d'écouter indûment .
Si vous pensez que l'un de vos lecteurs utilise Tor, vous devriez activer SSL de manière pratique.
En outre, +1 sur le point de Max Reid: vous aidez au moins à normaliser l'utilisation du chiffrement pour le trafic non critique, augmentant ainsi l'effort que les agences de renseignement doivent déployer pour identifier les paquets souhaitables.
Il n'y a pas vraiment de raison de ne pas le faire, mis à part le coût du protocole SSL lui-même.
Pour un type de déploiement de serveur Web, SSL ajoute peu de temps système.
Il existe des discussions sur le standard http 2.0 pour rendre le cryptage obligatoire: http://beta.slashdot.org/story/194289