Utiliser ou ne pas utiliser SSL? Pourquoi utiliser SSL toujours?
L'argument en faveur de l'utilisation de SSL est d'empêcher qu'un utilisateur mal intentionné d'espionner votre trafic soit en mesure de le lire. Ainsi, bien que l'utilisation de SSL sur un réseau sans fil (non WPA2) non sécurisé (autre que WPA2) puisse être logique, je ne parviens pas à me rendre compte de votre numéro de carte de crédit, mais il est difficile de voir que c'est une nécessité dans les cas les plus courants.
Pourquoi même s'embêter avec SSL? (lorsque votre client ne sera pas sur un réseau sans fil non sécurisé)
La seule façon pour quelqu'un de surveiller vos connexions HTTP particulières et les données qui s'y trouvent est de savoir s'ils ont un accès administrateur à votre routeur (et uniquement s'il existe un moyen de surveiller/copier le trafic), d'installer un outil sur votre ordinateur (un enregistreur de clé bien sûr). de toute façon passe par SSL) ou ils vous surveillent chez le FAI (pour lequel un mandat est requis dans la plupart des juridictions).
Mise à jour Avertissement Certaines juridictions ne sont pas aussi libres qu'on le pense, notamment le 1er et le 2ème monde, par exemple. au Royaume-Uni, le gouvernement n'aura bientôt plus besoin d'un mandat: http://en.wikipedia.org/wiki/Communications_Data_Bill_2008 , ce qui impliquera probablement la capacité de lire des sites Web tels qu'ils étaient auparavant (c'est-à-dire déchiffrer SSL) et aux États-Unis "Patriot Act" http://en.wikipedia.org/wiki/US_Patriot_Act#Title_II:_Surveillance_procedures
En outre:
- L'acceptation de connexions SSL côté serveur ajoute une charge importante, car l'établissement d'une connexion nécessite beaucoup de processeur (pendant la génération des clés secrètes).
- Les certificats SSL de confiance publique doivent être achetés périodiquement à une tierce partie
UPDATE: J'utilise actuellement le protocole SSL, même si j'ai trouvé utile de poser la question de toute façon. Certes, je pense qu'il est temps que SSL ne soit pas nécessaire. Peut-être que cela pourrait être transformé en un wiki communautaire des avantages et des inconvénients de SSL? Si c'est le cas, comment?
Il semble y avoir un mythe courant dans les réponses ci-dessous: "quiconque entre vous et le serveur peut vous espionner" ...
- Ce n’est pas possible sur Internet car les routeurs TCP de bas niveau ne transmettent que les paquets où ils doivent aller et même dans la même session peuvent être routés par des routes différentes, et personne ne peut les regarder, sauf dans des cas extrêmes. cas - techniquement ou légalement .
- Quant à quelqu'un du FAI qui examine votre trafic, je me demande pourquoi il vous avertirait et examinerait les "données si importantes" qui les ennuient sans doute, ceci est également illégal sans mandat.
- Sur votre réseau local (sauf sans fil), à moins que vous n'utilisiez un concentrateur de dinosaure qui diffuse chaque paquet, il est impossible d'écouter le trafic de quelqu'un d'autre - cela n'est pas possible car le matériel ne vous envoie tout simplement pas les paquets, même si vous avez votre carte réseau en mode promiscuous et utilisez un outil de détection tel que Snort ou Wireshark.
L’empoisonnement ARP passif est un moyen d’écouter, mais doit être effectué en interne et doit être détecté dès que les conflits de noms commencent à se produire et la passerelle par défaut est souvent statique, ce qui est extrêmement difficile car elle est activée avant vous. .
SSL devrait être utilisé partout où vous communiquez des informations qui ne devraient pas être publiques. Il est très dangereux de croire que personne n’écoute le trafic entre votre ordinateur et le serveur distant.
Tout ce que quelqu'un doit faire pour surveiller le trafic est d'être sur votre réseau - ils n'ont pas besoin d'un accès administrateur à votre routeur. Sans utiliser SSL pour les communications sensibles, un seul ordinateur infecté par un virus sur un ordinateur de vos collègues suffit à voler votre identité.
Le fournisseur de services Internet a également accès à tout le trafic réseau. À quel point faites-vous confiance à ses techniciens?
Cher utilisateur,
Nous avons décidé contre chiffrer notre trafic Internet parce que nous ne pensons tout simplement pas que c'est important. Nous avons décidé que c'était vraiment trop difficile à surveiller internet le trafic, donc si quelqu'un est vraiment prêt à aller à cet effort, bien ils méritent toutes les données qu'ils peuvent obtenir leurs mains sur. Si vous utilisez un vieux style de routeur, ont corrompu IT personnel et/ou collègues, ou quelqu'un Tout simplement ne vous aime pas et décide de voler vos données, nous acceptons non responsabilité.
Nous vous déconseillons de parler de notre décision à qui que ce soit, car cela attirerait notre attention sur notre trafic IP.
Meilleures salutations,
Assez bonne programmation
Avertissement: Si vous êtes un pirate informatique et que vous tombez sur ce message tout en surveillant le trafic IP, nous vous signalons poliment que ce que vous faites est illégal et vous demandons de prétendre que vous ne l'avez jamais vu.
Le problème est que l’utilisation, par exemple, de WPA2 ne sécurise que la connexion entre votre ordinateur et le routeur. Il existe une grande partie du réseau non sécurisé entre le routeur et la destination - c'est la conception d'Internet. Vous ne savez pas qui est le long du chemin et il pourrait y avoir un certain nombre d'auditeurs mal intentionnés (ou simplement curieux). Ils ne sont peut-être même pas dans votre pays, il est donc impossible d'empêcher l'écoute clandestine.
SSL vous donne un tunnel crypté jusqu’à l’autre bout.
Si vous parlez d'un réseau local de petite entreprise où aucun trafic ne quitte le réseau interne, alors ne vous embêtez pas avec SSL si vous ne le souhaitez pas. Mais si quelque chose de sensible passe par Internet, vous voulez vraiment utiliser SSL pour empêcher quiconque de le voir. Tout dépend de l'importance de l'information.
Il convient de noter que de nombreux sites Web utilisent des cookies pour mémoriser les informations de connexion. Si ces cookies passent en clair sur Internet, il est assez facile de détourner la session - pensez à FireSheep. Ainsi, vous devez faire très attention à ce que vous considérez comme des informations "sensibles". Étant donné que de nombreuses applications d'entreprise se déplacent vers des serveurs distants (je pense que les plus jeunes l'appellent "le cloud"), il ne s'agit pas d'un problème mineur.
Pour résumer, utilisez SSL si vous ne voulez pas que quiconque voit quelque chose traverser un réseau qui n'est pas entièrement sous votre contrôle.
SSL fournit une authentification et un cryptage.
Il est un peu difficile de créer une connexion non cryptée, mais pas si difficile sur le réseau sans fil non crypté que vous avez donné à titre d'exemple. Tout réseau qui vous permet de frauder ARP (beaucoup de réseaux câblés commutés) vous permet également de MITM. Mais vous oubliez chaque routeur en cours de route. Vous rappelez-vous quelques mois en arrière lorsqu'un routeur mal configuré (en Chine) routait en Chine une partie importante, bien que relativement faible, du trafic Internet? Ils auraient pu voir votre texte en clair. Il en va de même pour d’autres clients sur un réseau câblé, etc.
Mais SSL fournit également une authentification. Si j'obtiens la clé privée d'un certificat SSL valide de votre part, je suis absolument confiant que vous êtes bien ce que vous dites, à plus forte raison s'il s'agit d'une autorité de certification compétente.
Mais le problème le plus important est que vous ne semblez pas comprendre le protocole SSL. Je vous déconseille donc de prendre une décision vous-même, du moins jusqu'à ce que vous lisiez davantage. SSL ne pas vous oblige à générer une nouvelle clé à chaque demande. En fait, cela ne fonctionnerait pas s'il le faisait. En outre, tout ordinateur raisonnablement récent peut traiter simultanément des milliers de demandes SSL: les algorithmes sont très rapides. De plus, vous pouvez utiliser des accélérateurs de chiffrement qui déchargent le travail sur un matériel dédié.
Si vous pensez que peut-être devez utiliser SSL pour sécuriser certaines données, et souvent si vous ne le faites pas, il n'y a presque aucune raison de l'éviter. Oui, certaines dépenses sont en cause, mais toute donnée importante vaut 300 $/an.
EDIT Je lis votre commentaire - ceci est une application client? La solution dans votre cas consiste probablement à utiliser des clés auto-signées, et vous pouvez distribuer la clé publique avec l'application. Cela vous permet de chiffrer et de vérifier que vous parlez à qui vous devriez être.
Je ne pense pas que chaque site Web ait besoin de SSL, si vous l'utilisez ensuite, mais il existe des cas où vous souhaitez pouvoir authentifier l'utilisateur sans avoir à utiliser SSL.
J'ai créé (javascript-> Perl) une authentification par hachage aléatoire à usage unique dans ce seul but.
La compréhension générale a peut-être évolué au cours des huit dernières années. Ce site fournit une bonne réponse:
https://doesmysiteneedhttps.com/
Même en l'absence de données «sensibles» transférées, SSL empêche l'injection de contenu de page.