İmzasız veya kendinden imzalı bir SSL sertifikası olan bir siteyi görüntülersem, tarayıcım bana bir uyarı veriyor. Yine de aynı tarayıcının kimlik bilgilerinin güvenli olmayan sayfalara gönderilmesine izin veren bir sorunu yoktur.
Kendinden imzalı sertifika neden hiç sertifika almamaktan daha kötü?
Yanıtlar:
Bu sistemin bozuk olduğunu düşünen birçok insan var.
Bir SSL sertifikası geçersiz olduğunda tarayıcınızın size neden bu kadar endişe verici bir uyarı vereceğinin arkasındaki mantık:
SSL altyapısının özgün tasarım amaçlarından biri, web sunucularının kimlik doğrulamasını sağlamaktı. Temel olarak, www.bank.com adresine giderseniz SSL, yanıt veren web sunucusunun aslında bankanıza ait olduğunu kanıtlamasına izin verir. Bu, bir taklitçinin DNS'yi manipüle etmesini veya kötü amaçlı bir sunucunun yanıt vermesi için başka bir yöntem kullanmasını durdurur.
SSL'deki "Güven", güvenilir bir üçüncü tarafın (VeriSign ve Thawte Consulting gibi şirketler) sertifikayı imzalayarak sağlandığını söylediği kişiye ait olduğunu doğrulayarak (teorik olarak BT yöneticisini ziyaret ederek) sağlanır. kanıtlar, aslında bu konuda oldukça gevşek olduklarını gösteriyor olsa da, imzalı bir SSL sertifikası almak için gereken tek şey genellikle 800 sayı ve biraz oyunculuk becerisidir).
Bu nedenle, SSL sertifikası sağlayan bir web sunucusuna bağlanırsanız, ancak güvenilir bir üçüncü taraf tarafından imzalanmamışsa, teoride bu, farklı bir kuruluşa ait bir sunucu gibi davranan bir taklitçiyle iletişim kurduğunuz anlamına gelebilir. .
Uygulamada, kendinden imzalı bir sertifika genellikle sadece sunucuyu çalıştıran kuruluşun imzalı bir sertifika için ödeme yapmamayı seçtiği anlamına gelir (istediğiniz özelliklere bağlı olarak oldukça pahalı olabilirler) veya birini yapılandırmak için teknik uzmanlığa sahip değildir ( bazı küçük işletme çözümleri, kendinden imzalı bir sertifika için tek tıklamayla bir mekanizma sunar, ancak güvenilir bir sertifika almak için daha fazla teknik adım gerekir).
Şahsen ben bu sistemin bozuk olduğuna ve şifreleme sunmayan bir sunucu ile iletişim kurmanın, kendinden imzalı bir sertifika ile SSL sunan bir sunucu ile iletişim kurmaya göre çok daha tehlikeli olduğuna inanıyorum. tarayıcıların böyle davrandığı için üç neden vardır:
Sayfadan sayfaya kimlik bilgileri göndermek temel olarak HTTP POST yapıyor. Gönderme ile ilgili kimlik bilgileri gönderme konusunda özel bir şey yoktur, örneğin POST aracılığıyla Arama terimleri.
Güvenli kanal kullanmak, programcının aktarımı güvence altına alma niyetini gösterir. Bu durumda, kendinden imzalı sertifika uyarısı kullanmak çok doğru bir şeydir.
Yorum yapamam, bu yüzden user40350'nin doğru bilgilerini tamamlayan bu bilgileri göndereceğim.
Yine de aynı tarayıcının kimlik bilgilerinin güvenli olmayan sayfalara gönderilmesine izin veren bir sorunu yoktur.
Aslında bu doğru değil. Çoğu tarayıcı, ilk denediğinizde güvenli olmayan bir bağlantı üzerinden veri göndermek üzereymişsiniz gibi bir uyarı gösterir , ancak bir daha asla gösterilmemesi için kapatabilirsiniz ve bahse girdiğiniz şey tam olarak budur ...
Miro A şunu yazdı:
Sayfadan sayfaya kimlik bilgileri göndermek temel olarak HTTP POST yapıyor. Kimlik bilgisi gönderme konusunda gönderme ile karşılaştırıldığında özel bir şey yoktur, örneğin Arama terimlerini POST yoluyla
Parola alanları özel html etiketleri olduğundan bu da yanlıştır. Bunun da ötesinde, "kullanıcı adı" ve "şifre" gibi etiketler de hassasiyetlerinin çoğuna ihanet eder. Tarayıcıların bu tür bilgileri dikkate alması mükemmel olabilir.
Https: // protokolü ile güvence altına alınan bağlantılar, "güvence altına alınacak" tarayıcı tarafından belirtilir. Örneğin, küçük bir Asma Kilit gösterilir veya URL'nin bazı kısımları yeşil renkle işaretlenir.
Bu nedenle kullanıcının, ziyaret ettiği sayfaların gerçekten girdiği URL'den ve başka birinden olmadığına güvenmesi beklenir.
Https: // kullanmıyorsa, kullanıcının, girilen verilerin korunmadığını ve sörf yaptığı sitenin yüklenebileceğini bilmesi gerekir.
Kendinden imzalı bir sertifika emin değildir - beklentinin ötesinde, sayfanın sürülmediği beklentisi, bu nedenle ekstra güvenlik sağlamaz.
Güvenilir (güvendiğiniz bir makam tarafından imzalanmış) ve güvenilmeyen bir sertifika arasında bir ayrım yapılmalıdır. Aksi takdirde, birisi göreceli cezasızlığa sahip kendinden imzalı bir sertifika kullanarak bankanızı taklit edebilir.
Potansiyel risk nispeten yüksek olduğundan, bu durumda ince bir uyarı ile yüz yüze bir uyarı tercih edilir. İnsanlar bir https bağlantısını tıklayabilir ve birisinin bağlantıyı izleyerek ortada oturabileceğini düşünmeyebilir. Sertifikanın güvenilir olmadığına dair belirti belirsizse (yeşil simge yerine kırmızı söyleyin, vb.), İnsanlar SSL'nin avantajlarını ortadan kaldırarak kolayca kandırılabilir.
Birçok iyi neden listelenmiştir. İşte bir tane daha:
Güvenli bir web sayfasının diğerinden öğeler yerleştirdiği durumlar üzerine düşünün. Saldırgan, dış web sayfası için hangi isteklerin olduğunu (zamanlamaya bakarak, önce gelmesi gerektiğini söyleyebilir) ve hangilerinin iç öğeler için olduğunu algılayabilir. Kendini sadece iç elemanlara MITM olarak enjekte edebilir, kendinden imzalı bir sertifika kullanabilir ve sayfanın bölümlerini kontrol edebilir. SSL kullanan ancak güvenilir bir sertifika kullanmayan iç öğeler için bir uyarı yapılmadıkça, dış sayfanın güvenliği tehlikeye girer.
İşte gerçekçi bir örnek. Satıcı olduğumu ve 'PayPal ile öde' bağlantım olduğunu varsayalım. Buna tıklayın ve biliyorum. Sizi PayPal'a yönlendiriyorum ve yasal, güvenli PayPal sayfasını almanıza izin veriyorum. Ağınızı izliyorsam, bunun PayPal'dan ilk isteğiniz olacağını biliyorum ve kısa süre sonra şifrenizi göndereceksiniz. Bu yüzden submite-posta adresinizi ve şifrenizi içeren MITM, PayPal için kendinden imzalı sertifikamın yerine geçiyorum.
İç sayfanın sertifikasının kendinden imzalı olması durumunda uyarı yapılmadan dış sayfanın güvenliğinin nasıl tehlikeye atıldığını görüyor musunuz? Bu yüzden olmalı linkleri gelen kendinden imzalı sertifikalara uyarır.
Ve elbette, httpsmanuel olarak girerseniz , sizi uyarmalıdır. Çünkü güvenli olmasını bekliyorsunuz.