HTTPS'yi bir web sitesinde zorlamamak için herhangi bir sebep var mı?

Sık sık kullandığım bir web sitesi sonunda TLS'yi sunucularına etkinleştirmeye karar verdi, sadece web sitelerinin çoğunu zorunlu kılmadı. Sağlayıcı, TLS'nin isteğe bağlı olması gerektiğini iddia eder . Neden?

Kendi web sitemde uzun süredir zorunlu TLS ve HSTS kurdum ve zayıf şifre paketleri devre dışı bırakıldı. Düz metin erişiminin, TLS korumalı sürüme bir HTTP 301 ile kapatılması garanti edilir. Bu web sitemi olumsuz yönde etkiliyor mu?

TLS'yi kullanmak için birkaç iyi neden var.

(ve bunu yapmamak için sadece birkaç marjinal sebep).

• Sitenin herhangi bir kimlik doğrulaması varsa, oturumları ve şifreleri çalmak için HTTP gösterimini kullanma.

• Statik, yalnızca bilgilendirme sitelerinde bile, TLS kullanımı, hiç kimsenin veriyi değiştirmemesini sağlar.

• Google I / O 2014'ten bu yana , Google, tüm siteleri HTTPS kullanmaya teşvik etmek için birkaç adım attı:

  • Google, web yöneticilerinin sunucularını daha güvenli bir şekilde yapılandırmasına yardımcı olmakta ancak HTTPS'yi bir sıralama sinyali olarak kullanmaktadır .
  • Daha yakın bir zamanda, Google Chrome, tüm HTTP sitelerini güvenli olmayan olarak işaretlemeye yönelik uzun vadeli bir planın parçası olarak , HTTP sitelerini güvenli olmayan olarak işaretlemeye başladı .
  • Google Chrome Geliştiricileri ekibinin Mythbusting HTTPS dersi, tutumlarını açıkça belirtiyor.

• Mozilla Güvenlik Blogu ayrıca açıkladı kaldırıyoruz Güvenli Olmayan HTTP yaparak web sitelerini yaratmanın tek tüm yeni özellikler kullanılabilir ve kademeli olarak tarayıcıya erişim kaldırıyorsunuz güvenli olmayan web siteleri, kullanıcıların güvenlik ve gizlilik için risk teşkil özellikle özellikler için mevcuttur .

TLS'yi uygulamak için birkaç iyi neden de var

Zaten çok güvenilir bir sertifikanız varsa, neden her zaman kullanmıyorsunuz? Pratik olarak mevcut tüm tarayıcılar TLS'yi destekler ve yüklü kök sertifikalarına sahiptir. Aslında yıllardır gördüğüm tek uyumluluk sorunu, Android aygıtları ve Android'in yalnızca kök CA'lara doğrudan güvendiği için eksik ara sertifika yetkilisi oldu . Bu, sunucuyu sertifika zincirini kök CA'ya geri gönderecek şekilde yapılandırarak kolayca önlenebilir.

Eğer servis sağlayıcınız hala doğrudan HTTP bağlantılarına izin vermek istiyorsa 301 Moved Permanently, bazı eski tarayıcılardan veya mobil cihazlardan erişim sağlamak için, tarayıcının HTTPS yapılandırılmış olduğunuzu bile bilmesinin bir yolu yoktur . Ayrıca, HTTP Sıkı Aktarım Güvenliği'ni (HSTS) aşağıdakileri kullanmadan dağıtmamalısınız 301 Moved Permanently:

7.2.  HTTP Request Type

   If an HSTS Host receives a HTTP request message over a non-secure
   transport, it SHOULD send a HTTP response message containing a status
   code indicating a permanent redirect, such as status code 301
   (Section 10.3.2 of [RFC2616]), and a Location header field value
   containing either the HTTP request's original Effective Request URI
   (see Section 9 "Constructing an Effective Request URI") altered as
   necessary to have a URI scheme of "https", or a URI generated
   according to local policy with a URI scheme of "https").

Her iki protokol için de yapılandırılmış çeşitli sitelerin sorunu The Tor Project ve Electronic Frontier Foundation tarafından tanınıyor ve çok kullanıcılı bir HTTPS Everywhere uzantısı tarafından ele alındı :

Web üzerindeki birçok site HTTPS üzerinden şifreleme için sınırlı destek sağlar, ancak kullanımını zorlaştırır. Örneğin, şifrelenmemiş HTTP'yi varsayılan olarak ayarlayabilir veya şifrelenmiş sayfaları şifrelenmemiş siteye geri dönen bağlantılarla doldurabilirler.

Karma içerik de, güvenli olmayan HTTP bağlantısıyla yüklenen JavaScript veya CSS'yi değiştirerek HTTPS sitelerine olası XSS ​​saldırıları nedeniyle büyük bir sorundur. Bu nedenle günümüzde tüm ana tarayıcılar kullanıcıları karışık içeriğe sahip sayfalar hakkında uyarmakta ve otomatik olarak yüklemeyi reddetmektedir. Bu , bir siteyi301 HTTP yönlendirmeleri olmadan sürdürmeyi zorlaştırır : Her HTTP sayfasının yalnızca HTTP bağlamını (CSS, JS, resimler vb.) Yüklediğinden ve her HTTPS sayfasının yalnızca HTTPS içeriğini yüklediğinden emin olmalısınız. Her ikisinde de aynı içerikle elde etmek son derece zor.

Bu gün ve yaşta, TLS + HSTS, sitenizin ne yaptıklarını bilmek için güvenilebilecek profesyoneller tarafından yönetildiğinin göstergesidir. Bu, Google’ın da belirttiği gibi, bunu yapan siteler için pozitif sıralama sağlayacağını belirttiği gibi, güvenilirlik için asgari bir standart.

Diğer taraftan maksimum uyumluluk. Özellikle Amerika Birleşik Devletleri, Avrupa veya Çin olmayan dünyanın bazı bölgelerinde hala daha yaşlı müşteriler var. Düz HTTP her zaman işe yarar (yine de her zaman iyi çalışmaz ; bu başka bir hikaye).

TLS + HSTS: Arama motoru sıralaması için optimize et
Düz HTTP: Uyumluluk için optimize et

Sizin için neyin daha önemli olduğuna bağlı.

Basit salt okunur web sitelerinin HTTPS kullanmamak için iyi bir nedeni vardır .

• Web önbellekleri HTTPS üzerinden taşınan görüntüleri önbelleğe alamaz.
• Dünyanın bazı bölgelerinin çok düşük hızlı uluslararası bağlantıları vardır, bu nedenle önbelleklere bağlıdır.
• Başka bir alan adından görüntüler barındırma, operatörlerin küçük salt okunur web sitelerinin sahip olmasını bekleyemeyeceğiniz beceriler alır .

Sağlayıcı, TLS'nin isteğe bağlı olması gerektiğini iddia eder. Neden?

Bu sorunun cevabını gerçekten bilmek için, onlara sormalısınız. Bununla birlikte, bazı tahminlerde bulunabiliriz.

Kurumsal ortamlarda, BT'nin kötü amaçlı yazılımlar için gelen ve giden trafiği, şüpheli CnC benzeri etkinlikleri, iş için uygun olmadığı düşünülen içeriği (örneğin pornografi) vb. Denetleyen bir güvenlik duvarı yüklemesi yaygındır. Bu, trafik şifreli olduğunda daha zor hale gelir. Esasen üç olası cevap vardır:

1. Bu trafiği izlemekten vazgeç.
2. MitM şifre çözme ve incelemesi yapabilmeniz için kullanıcıların makinelerine bir kök CA kurun.
3. Toptan blok şifreli trafik.

İlgili bir sysadmin için bu seçeneklerin hiçbiri özellikle çekici değil. Bir şirket ağına saldıran birçok tehdit var ve şirketi onlara karşı korumak onların görevi. Bununla birlikte, pek çok sitenin engellenmesi, tamamen kullanıcıların huzursuzluğunu arttırıyor ve bir kök CA kurmak, kullanıcılar için gizlilik ve güvenlikle ilgili kaygıları getirdiğinden, biraz aldatıcı olabilir. İlk defa HSTS'yi açtıklarında bir sysadmin dilekçesini reddettiğimi (üzgünüm, konuyu bulamadım) gördüğümü hatırlıyorum. porno odaklı alt dizinleri engellemek için.

Teknolojinin tekerlekleri çalkalanmaya devam ediyor ve bu tür bir korumanın eski moda olduğunu ve ortadan kaldırılması gerektiğini savunan birçok insanı bulacaksınız. Ama hala bunu uygulayan birçok kişi var ve belki de gizemli sağlayıcınızla ilgilenen kişiler de onlar.

Her şey güvenlik gereksinimlerinize, kullanıcı seçiminize ve dolaylı olarak düşürülme riskine bağlıdır. Eski şifrelerin sunucu tarafında devre dışı bırakılması büyük ölçüde gereklidir, çünkü tarayıcılar mutlu bir şekilde kullanıcı deneyimi / kolaylık adı altında müşteri tarafında kesinlikle korkunç şifrelere düşecektir. Kullanıcıya güvenli bir kanala bağlı olan hiçbir şeyin güvensiz bir yöntemle ulaşılamayacağından emin olmak elbette çok da sağlam.

Blogunuzun Python'u neden Ruby'den daha çok sevdiğiniz (blogcu gibi bir örnek değil) demediğimi düşündüğümde, güvensiz HTTP'ye açıkça indirgenmeme izin vermemek, spooks ya da halkın bilmesini umursamıyorum Eriştiğim, HTTPS'nin benim için önemsiz olacağı varsayımına dayanarak hiçbir sebep olmadan yoluma giriyor.

Günümüzde, TLS'yi kutudan çıkarma kabiliyetine sahip olmayan ya da eski uygulamalara takılmış gömülü sistemler var (bence bunun çok kötü bir şey olduğunu düşünüyorum; aygıt burada], bazen bunu değiştiremiyorum).

İşte size eğlenceli bir deneme: Yeterince eski bir TLS / SSL uygulamasıyla LibreSSL'nin son sürümünü HTTPS üzerinden upstream OpenBSD sitesinden indirmeyi deneyin. Yapamazsın. Geçen gün 2012’den daha eski bir OpenSSL sürümüne sahip bir cihazda denedim, çünkü bu gömülü sistemi kaynaktan daha güvenli, yeni şeylere yükseltmek istedim - önceden oluşturulmuş bir paketin lüksüne sahip değilim. Çalıştığım zaman hata mesajları tam anlamıyla sezgisel değildi, ancak eski OpenSSL’imin doğru şeyleri desteklemediği için olduğunu sanıyorum.

Bu, yalnızca HTTPS hamlesinin aslında insanlara zarar verebileceği bir örnektir: yakın zamanda oluşturulmuş paketlerin lüksüne sahip değilseniz ve sorunu kaynağından oluşturarak kendiniz düzeltmek istiyorsanız, kilitlenirsiniz. Neyse ki, LibreSSL davasında, açıkça talep eden HTTP'ye geri dönebilirsiniz. Elbette, bu sizi bir saldırgandan kurtarmayacak, trafiğinizi zaten yeniden başlatacak, kaynak paketleri tehlikeye sokmuş sürümlerle değiştirebilecek ve tüm kasaları yeniden taradığınız web sitelerinde indirilebilecek paketleri açıklayan HTTP gövdelerinde yeniden yazabilecek, ancak yine de çok faydalı daha yaygın bir durum.

Birçoğumuz APT'ye ait olmaktan güvenli olmayan bir indirme işlemi değiliz (Advanced Persistent Thread: ulusal istihbarat teşkilatları ve diğer yüksek kaynak kaynaklı siber tehditler için güvenlik jargonu). Bazen sadece wgeten yeni şifre takımlarını desteklemeyen bir kutu üzerinde kaynağını hızlıca denetleyebildiğim (örneğin GitHub'taki kendi küçük yardımcı programlarım / komut dosyalarım) bazı düz metin belgelerini veya küçük bir programı istiyorum.

Şahsen, şunu sorardım: İçeriğiniz bir kişinin yasal olarak “kamuya açık bilgiye erişme konusunda benim iyiyim” olduğuna karar verebilecek şekilde mi? İçeriğiniz için yanlışlıkla HTTP’ye geçiş yapan teknik olmayan insanlar için gerçek bir risk olasılığı var mı? Güvenlik gereksinimlerinize, kullanıcılarınız için gizlilik şartlarına uyma gereksinimlerini ve güvenceye alınmamak için durum bazında bilinçli bir seçim yapma riskini anlayan kullanıcıların yeteneklerine karşı gizli düşürme riski. Siteniz için HTTPS'yi zorlamamak için iyi bir neden olmadığını söylemek tamamen meşru. - ama orada düz düz HTTP için hala iyi kullanım durumları olduğunu söylemenin adil olduğunu düşünüyorum.

Burada, neden tls'in iyi olduğu hakkında çok fazla tartışma var - ama orijinal yazıdaki gibi asla sorulmadı.

Maxthon 2 soru sordu:

1) neden rasgele, adlandırılmamış bir sitenin http ve https sunumlarını korumaya karar verdiğini

2) Maxthon’a http isteklerine yalnızca 301 yanıt veren olumsuz bir etkisi var mı?

İlk soruya gelince, sağlayıcıların neden http ve https sitelerini tutmayı seçtiklerini bilmiyoruz. Bunun birçok nedeni olabilir. Uyumluluk, dağıtılmış önbellekleme ve jeo-politik erişilebilirlik ile ilgili bazı ipuçlarına ek olarak, içerik entegrasyonu ve güvensiz içerikle ilgili çirkin tarayıcı mesajlarından kaçınılması da dikkate alınmaktadır. Alvaro'nun da belirttiği gibi, TLS güvenlik açısından buzdağının sadece görünen kısmı.

İkinci soru ise cevaplıdır. Sitenizin herhangi bir bölümünü sitenizin http üzerinden güvenli bir şekilde çalıştırılması için https gerektirdiğinde ortaya çıkarmak, saldırılar için sömürülebilir bir vektör sağlar. Ancak, trafiğin sitenizdeki 80 numaralı bağlantı noktasına yanlış yönlendirildiği ve nedeninin düzeltildiğini belirlemek için bu durumu korumanın bir anlamı vardır. Yani, hem olumsuz bir etki hem de olumlu bir etki için fırsat vardır, net sonuç, işinizi yönetici olarak yapıp yapmadığınıza bağlıdır.

Sysadmin1138, https’nin seo sıralamasını etkilediğini söylüyor. Google sıralamaları etkilediğini söylese de, gördüğüm tek güvenilir çalışma aradaki farkın küçük olduğunu gösteriyor. Bu, daha üst sıradaki sitelerin https varlığına sahip olma olasılığının daha yüksek olması nedeniyle bir https varlığının bu nedenle sıralamayı iyileştirdiğini iddia etmenin daha iyi olduğunu bilmesi gereken kişilerce yardımcı olmaz .

Geçmişte HTTPS yerine HTTP kullanmak zorunda kaldım, çünkü <embed>başka yerlerden kendilerine HTTP üzerinden sunulan sayfaları istedim , aksi halde işe yaramayacaklardı.

Bu değil iyi o kötü / kırık / güvensiz müşterimiz var, ancak mevcut yoluyla kaynaklara erişen otomatik işlemler varsa gelir olarak, nedeni http://URL'ler, bu hatta bazıları örneğin (https desteklemez mümkündür busybox wget, gelmez ki TLS'nin dahili olarak desteklenmesi yok ve bir süre önce openssl alt süreci aracılığıyla ekleniyor) ve izleyemedikleri bir https URL'sine yönlendirmeleri istenirse kırılır.

Bilinmeyen (veya bilinen-eski) Kullanıcı-Ajan dizgilerinin yönlendirilmemelerini engellemek için yönlendirme kuralını yazarak ve gerçek tarayıcıların tüm faydalanabilmeleri için içeriğe http üzerinden erişmelerine izin vermek için bu olasılıkla uğraşmak isterim. https / hsts zorla.

Bir web sitesinde HTTPS yerine HTTP kullanmanın çok az iyi nedeni vardır . Web siteniz herhangi bir işlem gerçekleştiriyorsa veya herhangi bir hassas veya kişisel veriyi saklıyorsa, söz konusu verilerin güvenli olmasını istiyorsanız, HTTPS kullanmanız gerekir. HTTPS'yi zorlamamak için görmemizin tek iyi nedeni, web sitenizin HTTPS önbelleğe alma ile çalışmadığı için önbelleğe almaya dayanmasıdır. Ancak, web sitenizin güvenliğini sağlamak için performanstan biraz ödün vermeniz genellikle faydalı olacaktır. Müşterilerinizin HTTPS'yi desteklememesi de mümkündür, ancak gerçekten, 2017'de alması gerekir.