http ve https kullanılan protokolü ifade eder.
http , şifrelenmemiş açık metin iletişimi için kullanılır, yani aktarılan veriler bir insan tarafından ele geçirilebilir ve okunabilir. Kullanıcı adı / şifre alanları örneğin yakalanabilir ve okunabilir.
https , SSL / TLS şifreli iletişimi ifade eder. Okunabilmesi için şifresi çözülmelidir. Normalde / ideal olarak sadece uç noktalar verileri şifreleyebilir / şifrelerini çözebilir, ancak bu uyarılarla birlikte bir ifadedir ( aşağıdaki düzenlemeye bakın ).
Bu nedenle https, http'den daha güvenli kabul edilebilir.
: 80 ve: 443 sadece kullanılan sunucu portuna atıfta bulunur (yani "sadece bir numaradır") ve güvenlik açısından hiçbir önemi yoktur.
Bununla birlikte, 80 numaralı bağlantı noktası üzerinden http ve 443 numaralı bağlantı noktası üzerinden https göndermek için güçlü bir kural vardır, bu da sorudaki kombinasyonları biraz alışılmışın dışında kılar. Uç noktalar uygun olduğu ve ara filtre nesneleri olmadığı sürece teknik olarak mükemmel şekilde kullanılabilirler.
Bu nedenle, http://example.com:443 https://example.com:80 adresinden daha az güvenlidir ve fark pratiktir (birkaç şekilde dengelenebilse bile) ve sadece teorik değildir.
Bu oturumların geçerliliğini, sunucu oturumunu ve şifreleme durumunu değiştirdiğiniz bir web sunucusu ve istemci kullanarak kolayca test edebilir, her oturumu yakalayıp wireshark gibi bir protokol kod çözücüsü ile karşılaştırabilirsiniz.
[ EDIT - istemci / sunucu yolunun güvenliği ile ilgili uyarılar ]
Temelde bir https adam-orta saldırısı anlamına gelen, gizli dinleme veya kimliğe bürünme amacıyla gerçekleştirilebilir. Duruma bağlı olarak bir kötülük, iyilikseverlik veya cehaletten dolayı bile ortaya çıktığı gibi yapılabilir.
Saldırı , yürürlükteki hata veya Kaniş güvenlik açığı gibi bir protokol zayıflığından yararlanılarak veya ağ yolundaki istemci ve sunucu arasında bir https proxy'si somutlaştırılarak veya doğrudan istemcide yapılabilir .
Kötü niyetli kullanımın çok fazla açıklamaya ihtiyacı olmadığını düşünüyorum. Hayırlı kullanım, örneğin günlük / kimlikler için gelen https bağlantılarını proxy yapan bir kuruluş veya izin verilen / reddedilen uygulamaları filtrelemek için giden https bağlantılarını temsil eden bir kuruluş olabilir . Bilgisiz kullanımın bir örneği, yukarıda bağlantılı olan Lenovo Superfish örneği veya aynı slip-up'ın son Dell varyasyonu olabilir .
DÜZENLEME 2
Dünyanın sürprizleri nasıl sürdürdüğünü hiç fark ettiniz mi? İsveç'te yeni bir skandal patladı ve burada üç il meclisi sağlık kuruluşu, sağlık olaylarını hasta telefon görüşmeleri yoluyla kaydetmek için aynı tedarik zincirini kullandı.
Olduğu gibi, soru bu şekilde şeylerin büyük ölçeğinde bir cevap alır. Sadece pratik bir şaka olsaydı, gerçek bir olay olmasaydı ...
Bilgisayar İsveç'teki haber metninden tercüme edilen iki parçacığı yapıştıracağım :
“Bilgisayar İsveç bugün sağlık hizmeti hastalarının güvenliği ve kişisel bütünlük açısından gelmiş geçmiş en büyük felaketlerden birini ortaya çıkarabilir. Herhangi bir şifre koruması veya başka bir güvenlik yöntemi olmayan açık bir web sunucusunda, tıbbi danışma numarası 1177 aracılığıyla hastalardan sağlık hizmetlerine 2,7 milyon kayıtlı çağrı bulduk. Çağrılar 2013'e geri dönüyor ve 170.000 saat hassas ses içeriyor herkesin indirip dinleyebileceği dosyaları arayın.
[...]
Aramalar, Voice Integrated Nordics depolama sunucusuna http://188.92.248.19:443/medicall/ ip adresinden kaydedildi . Tcp-port 443, trafiğin https üzerinden geçirildiğini, ancak oturumun şifrelenmediğini gösterir.
Bunun bir başka cehalet örneği olup olmadığına veya tamamen yeni bir kategori görüp görmediğime karar veremiyorum. Lütfen tavsiye.