SSL jetzt vor Ort erzwingen?

Dank der Enthüllungen von Edward Snowden über die gerade stattfindende Überwachung durch die NSA sehe ich eine Mehrheit von Websites, die SSL als Standardmethode für das sichere Anzeigen der Website verwenden.

Sollten wir es zu einem Webstandard machen, dass alle Websites SSL für Sicherheit, Anzeige, Zahlungen und überall verwenden?

Ich besitze ein einfaches persönliches Blog, und ich habe Leute, die sagen, dass ich es verwenden muss, weil ich meine Meinung, Bedenken und Ideen zum Thema der NSA zum Ausdruck bringe und sie sagen, dass sie sich ohne HTTPS allmählich weniger sicher fühlen ...

Interessante Frage. Die offensichtliche Antwort wäre jedoch, wenn ich eine Website mit einem Browser bekommen kann, dann kann es auch die NSA bekommen. Ich versuche nicht, ein Smarty-Pant zu sein. SSL sollte für Kontoanmeldungen, Zahlungen usw. verwendet werden. Normalerweise ist dies nicht erforderlich.

Allerdings unterstütze ich SSL mehr als diese Antwort impliziert. Wenn Sie ein Blogger sind, würde ich kein SSL verwenden. Wenn Sie Dinge sagen, die Sie auch unter bestimmten Umständen als privat betrachten möchten, sollten Sie sie nicht posten oder hinter ein Login stellen, um besser kontrollieren zu können, wer sie sieht.

Denken Sie daran, dass das Web ein offenes Kommunikationsmittel ist. Es ist Design und darauf ausgerichtet. Private Kommunikationsmittel sind nicht mit der Person bekannt, mit der sie eine Verbindung herstellen und Informationen austauschen, und setzen häufig zahlreiche Sicherheitsschemata ein, um eine sichere Kommunikation zu gewährleisten. Das Web ist so konzipiert, dass es sich einfach und anonym mit jedem Kunden verbindet und alle oder fast alle Informationen, die es enthält, weitergibt. Ja, es gibt Optionen, um die Webkommunikation auf einen bestimmten Punkt abzusichern. Sie ist jedoch aufgrund ihrer Beschaffenheit immer begrenzt.

HTTPS kann drei Dinge erreichen:

• Authentizität . Stellen Sie sicher, dass Sie mit dem tatsächlichen Domaininhaber kommunizieren.
• Vertraulichkeit . Stellen Sie sicher, dass nur dieser Domaininhaber und Sie die Kommunikation lesen können.
• Integrität . Stellen Sie sicher, dass der Inhalt nicht von einer anderen Person geändert wird.

Wahrscheinlich sind sich alle einig, dass HTTPS bei der Übermittlung von Geheimnissen (wie Passwörtern, Bankdaten usw.) obligatorisch sein sollte.

Es gibt jedoch mehrere andere Fälle, in denen und warum die Verwendung von HTTPS von Vorteil sein kann:

Angreifer können den angeforderten Inhalt nicht manipulieren.

Bei der Verwendung von HTTP können Abhörer den Inhalt manipulieren, den Ihre Besucher auf Ihrer Website sehen. Beispielsweise:

• Einbinden von Malware in die Software, die Sie zum Download anbieten.
• Einige Ihrer Inhalte zensieren. Ändern Sie Ihre Meinungsäußerungen.
• Injizieren von Werbung.
• Ersetzen Sie die Daten Ihres Spendenkontos durch ihre eigenen.

Dies gilt natürlich auch für Inhalte, die von Ihren Benutzern gesendet werden, z. B. Wiki-Änderungen. Wenn Ihre Benutzer jedoch anonym sind, kann der Angreifer das ohnehin "simulieren" (es sei denn, der Angreifer ist ein Bot und es gibt eine effektive CAPTCHA-Barriere).

Angreifer können den angeforderten Inhalt nicht lesen.

Bei Verwendung von HTTP können Abhörer feststellen, auf welche Seiten / Inhalte auf Ihrem Host Ihre Besucher zugreifen. Obwohl der Inhalt selbst öffentlich sein mag, ist das Wissen, dass eine bestimmte Person ihn konsumiert, problematisch:

• Es öffnet einen Angriffsvektor für Social Engineering .
• Es verletzt die Privatsphäre.
• Dies kann zu Überwachung und Bestrafung führen (bis hin zu Inhaftierung, Folter, Tod).

Dies gilt natürlich auch für Inhalte, die von Ihren Nutzern versendet werden, beispielsweise E-Mails über ein Kontaktformular.

Alles in allem würde das einfache Anbieten von HTTPS zusätzlich zu HTTP nur Benutzer schützen, die überprüfen (oder lokal erzwingen, z. B. mit HSTS ), dass sie es verwenden. Angreifer könnten alle anderen Besucher dazu zwingen, die (anfällige) HTTP-Variante zu verwenden.

Wenn Sie also zu dem Schluss kommen, dass Sie HTTPS anbieten möchten, sollten Sie überlegen , es durchzusetzen (serverseitige Umleitung von HTTP zu HTTPS, HSTS-Header senden).

Geheimhaltung

Da Ihr Inhalt öffentlich ist, wird er von HTTPS offensichtlich nicht ausgeblendet, kann jedoch abhängig von der Art Ihrer Website einige Vorteile bieten.

Privatsphäre

Wenn jemand eine Seite über HTTPS anfordert, wird die Anforderung verschlüsselt. Wenn also jemand Ihre Besucher beobachtet, weiß er nicht, welche Seiten er angefordert hat. Leider ist DNS (das System zum Abrufen einer IP-Adresse basierend auf dem Domain-Namen Ihrer Website) nicht verschlüsselt, sodass ein Beobachter immer noch identifizieren kann, wer Ihre Website besucht. Selbst wenn dies verschlüsselt wäre, könnten Sie in den meisten Fällen anhand von IP-Adressen feststellen, welche Website gerade besucht wird, was im aktuellen Design des Internets nicht verborgen bleiben kann.

Wikipedia bietet HTTPS an, was Sie vielleicht als sinnlos erachten, weil der Inhalt öffentlich ist. Auf diese Weise schützen sie jedoch ihre Benutzer: Wenn jemand in Wikipedia nach "unpatriotischen" Dingen sucht (mit HTTPS), kann die Regierung nicht sagen, welche Seiten sie haben lese gerade, dass sie auf Wikipedia sind. Twitter ist ein weiterer Fall, bei dem der Inhalt selbst öffentlich ist, aber die Leute wollen nicht, dass andere wissen, was sie darauf tun.

Passwort-Sicherheit

Der andere Hauptgrund, warum Sie HTTPS in Betracht ziehen könnten, ist, wenn Sie Anmeldeseiten oder andere Orte haben, an denen Sie private Daten von Benutzern (einschließlich Ihrer selbst) akzeptieren. Wenn Sie HTTPS überhaupt nicht unterstützen, werden Kennwörter und andere Informationen "unverschlüsselt" gesendet, und jeder, der Netzwerkdaten lesen kann, kann sie sehen (der beängstigende Fall waren früher andere Personen im selben WLAN-Netzwerk wie Sie; jetzt auch verschiedene Regierungsbehörden, die nach Erpressungsmaterial suchen).

Wenn Sie nur HTTPS auf der Anmeldeseite unterstützen, aber sonst nirgendwo, wird ein cleverer Angreifer jede Seite außer der Anmeldeseite abfangen und den Link "Anmelden" so ändern, dass HTTPS nicht verwendet wird, dann fangen Sie Ihre Kommunikation ab (und wenn Sie diese Seite erzwingen) für HTTPS können sie einfach den Datenverkehr abfangen und eine gefälschte Version davon bereitstellen, die funktioniert. Sie können dies verhindern, indem Sie immer nach einem Schlosssymbol in Ihrer URL-Leiste suchen, bevor Sie sich anmelden, aber fast niemand merkt sich das jedes Mal.

Ich stimme den Punkten von Closetnoc weitgehend zu, aber ein weiterer Punkt wurde übersehen: Tor-Benutzer benötigen eine SSL-Version, um das Abhören von Exit-Knoten zu verhindern .

Wenn Sie den Verdacht haben, dass einer Ihrer Leser Tor verwendet, sollten Sie aus praktischen Gründen SSL aktivieren.

Außerdem +1 in Bezug auf Max Reids Punkt: Zumindest tragen Sie dazu bei, die Verwendung der Verschlüsselung für unkritischen Datenverkehr zu normalisieren, und erhöhen so den Aufwand, den Nachrichtendienste zur Identifizierung gewünschter Pakete leisten müssen.

Es gibt keinen Grund, dies nicht zu tun, außer den Kosten für SSL.

Bei einer typischen Webserver-Bereitstellung verursacht SSL nur einen geringen Overhead.

Es gibt Gespräche für den http 2.0-Standard, um die Verschlüsselung verbindlich zu machen: http://beta.slashdot.org/story/194289