Forcer l'utilisation de SSL sur le site maintenant?

Je commence à voir une majorité de sites Web commencer à utiliser SSL comme pratique standard pour visualiser le site Web en toute sécurité maintenant grâce aux révélations d'Edward Snowden sur la surveillance de la NSA qui se produit.

Devrions-nous en faire une norme Web pour que tous les sites Web utilisent SSL pour la sécurité, la visualisation, les paiements et partout?

Je possède un blog personnel simple, et j'ai des gens qui disent que je dois l'utiliser parce que j'exprime mon opinion, mes préoccupations et mes idées concernant le sujet de la NSA, et ils disent qu'ils commencent à se sentir moins en sécurité sans HTTPS ...

Question interessante. Cependant, la réponse évidente serait que si je peux obtenir un site Web avec un navigateur, la NSA peut également l'obtenir. Je n'essaie pas d'être un smarty-pants à ce sujet. SSL doit être utilisé pour la connexion au compte, les paiements, etc. En règle générale, il n'est pas nécessaire.

Cela dit, je supporte SSL plus que cette réponse ne l'implique. Si vous êtes un blogueur, je n'utiliserais pas SSL. Si vous dites des choses que vous voulez privées même dans certaines circonstances, vous ne devez pas les publier ou les mettre derrière une connexion pour mieux contrôler qui les voit.

N'oubliez pas que le Web est un véhicule de communication ouvert. Il est conçu et orienté dans ce sens. Les véhicules de communication privés ne sont pas proches de ceux avec lesquels ils se connectent et partagent des informations et déploie souvent de nombreux systèmes de sécurité pour garantir la sécurité des communications. Le Web est conçu pour se connecter facilement et anonymement à n'importe quel client et partager toutes ou presque toutes les informations dont il dispose. Oui, il existe des options pour sécuriser les communications Web jusqu'à un certain point, cependant, elles seront toujours limitées en raison de la nature de ce qu'elles sont.

HTTPS peut réaliser trois choses:

• Authenticité . Assurez-vous que vous communiquez avec le véritable propriétaire du domaine.
• Confidentialité . Assurez-vous que seul ce propriétaire de domaine et vous pouvez lire la communication.
• L'intégrité . S'assurer que le contenu n'est pas modifié par quelqu'un d'autre.

Tout le monde convient probablement que le HTTPS devrait être obligatoire lors de la transmission de secrets (comme les mots de passe, les données bancaires, etc.).

Mais il existe plusieurs autres cas où et pourquoi l'utilisation de HTTPS peut être bénéfique:

Les attaquants ne peuvent pas altérer le contenu demandé.

Lors de l'utilisation de HTTP, les écoutes peuvent manipuler le contenu que vos visiteurs voient sur votre site Web. Par exemple:

• Inclusion de logiciels malveillants dans le logiciel que vous proposez de télécharger.
• Censurer une partie de votre contenu. Changer vos expressions d'opinion.
• Injection de publicités.
• Remplacer les données de votre compte de dons par les leurs.

Bien sûr, cela s'applique également au contenu envoyé par vos utilisateurs, par exemple les modifications du wiki. Cependant, si vos utilisateurs sont anonymes, l'attaquant pourrait "simuler" être un utilisateur de toute façon (sauf si l'attaquant est un bot et qu'il existe une barrière CAPTCHA efficace).

Les attaquants ne peuvent pas lire le contenu demandé.

Lors de l'utilisation de HTTP, les écoutes peuvent savoir à quelles pages / contenu de votre hôte vos visiteurs accèdent. Bien que le contenu lui-même puisse être public, la connaissance qu'une personne spécifique le consomme est problématique:

• Il ouvre un vecteur d'attaque pour l'ingénierie sociale .
• Cela porte atteinte à la vie privée.
• Elle peut conduire à une surveillance et à des sanctions (jusqu'à l'emprisonnement, la torture, la mort).

Bien sûr, cela s'applique également au contenu envoyé par vos utilisateurs, par exemple les e-mails via un formulaire de contact.

Cela dit, le simple fait d'offrir HTTPS en plus de HTTP ne protégerait que les utilisateurs qui vérifient (ou appliquent localement, par exemple avec HSTS ) qu'ils l'utilisent. Les attaquants pourraient forcer tous les autres visiteurs à utiliser la variante HTTP (vulnérable).

Donc, si vous arrivez à la conclusion que vous souhaitez proposer HTTPS, vous pouvez envisager de l' appliquer (redirection côté serveur de HTTP vers HTTPS, envoyer l'en-tête HSTS).

Secret

Étant donné que votre contenu est public, HTTPS ne le masquera évidemment pas, mais il pourrait offrir certains avantages en fonction de la nature de votre site.

Intimité

Lorsque quelqu'un demande une page via HTTPS, la demande est cryptée, donc si quelqu'un regarde vos visiteurs, il ne saura pas quelles pages il a demandées. Malheureusement, le DNS (le système pour obtenir une adresse IP basée sur le nom de domaine de votre site Web) n'est pas crypté, donc un observateur pourrait toujours identifier qui visite votre site Web. Même si cela a été crypté, dans la plupart des cas, vous pouvez toujours dire quel site Web quelqu'un visite en fonction des adresses IP, qui ne peuvent pas être cachées dans la conception actuelle d'Internet.

Wikipédia propose HTTPS, que vous pourriez penser inutile parce que le contenu est public, mais en faisant cela, ils protègent leurs utilisateurs: si quelqu'un recherche des choses "non patriotiques" sur Wikipédia (en utilisant HTTPS), son gouvernement ne peut pas dire quelles pages il lis, juste qu'ils sont sur Wikipedia. Twitter est un autre cas où le contenu lui-même est public, mais les gens ne veulent pas nécessairement que les autres sachent ce qu'ils y font.

Sécurité par mot de passe

L'autre raison principale que vous voudrez peut-être considérer HTTPS est si vous avez des pages de connexion ou d'autres endroits où vous acceptez les données privées des utilisateurs (y compris vous-même). Si vous ne supportez pas du tout HTTPS, les mots de passe et autres informations seront envoyés "en clair", et toute personne qui peut lire les données réseau peut les voir (le cas effrayant était autrefois des personnes sur le même réseau wifi que vous; maintenant, il comprend également divers organismes gouvernementaux à la recherche de matériel de chantage).

Si vous ne supportez que HTTPS sur la page de connexion, mais pas ailleurs, un attaquant intelligent interceptera toutes les pages sauf la page de connexion, et changera le lien "Connexion" pour ne pas utiliser HTTPS, puis interceptera votre communication (et si vous forcez cette page à HTTPS, ils peuvent simplement intercepter le trafic et en fournir une fausse version qui fonctionne). Vous pouvez éviter cela en vérifiant toujours une icône de verrouillage dans votre barre d'URL avant de vous connecter, mais presque personne ne se souvient de le faire à chaque fois.

Je suis largement d'accord avec les points de Closetnoc, mais il y a un autre point qui a été ignoré: les utilisateurs de Tor ont besoin d'une version SSL pour empêcher les nœuds de sortie d'écouter .

Si vous pensez que l'un de vos lecteurs utilise Tor, vous devriez avoir SSL activé par pratique.

En outre, +1 sur le point de Max Reid: à tout le moins, vous aidez à normaliser l'utilisation du chiffrement pour le trafic non critique, augmentant ainsi l'effort que les agences de renseignement doivent exercer afin d'identifier les paquets souhaitables.

Il n'y a pas vraiment de raison de ne pas le faire, à part le coût du SSL lui-même.

Pour un déploiement de serveur Web typique , SSL ajoute peu de frais généraux.

Il y a des discussions pour la norme http 2.0 pour rendre le cryptage obligatoire: http://beta.slashdot.org/story/194289