sirve - que es ssl y tls
¿Usar o no usar SSL? ¿Por qué usar SSL siempre? (6)
El argumento para usar SSL es evitar que algún usuario malintencionado que ha pasado por la indagación de su tráfico pueda leer su tráfico. Por lo tanto, si bien puede tener sentido si está utilizando una red inalámbrica no segura (no WPA2) para usar SSL al iniciar sesión en su cuenta bancaria o al proporcionar su número de tarjeta de crédito, me resulta difícil ver su necesidad en casos de negocios más comunes.
¿Por qué incluso molestarse con SSL? (cuando su cliente no va a estar en una red inalámbrica no segura)
La única forma en que alguien puede detectar sus conexiones HTTP particulares y la información que contiene es si tienen acceso de administrador a su enrutador (y solo si hay alguna facilidad para monitorear / copiar tráfico), instaló alguna herramienta en su máquina (un registrador de claves, por supuesto). pasaría por alto SSL) o lo supervisarán en el ISP (para lo cual se requiere una orden en la mayoría de las jurisdicciones).
Advertencia de actualización Algunas jurisdicciones no son tan libres como puede pensar, particularmente en el primer y segundo mundo, por ejemplo, en el Reino Unido, es posible que el gobierno pronto no requiera una orden judicial: http://en.wikipedia.org/wiki/Communications_Data_Bill_2008 lo que probablemente conlleve la capacidad de leer sitios web tal como eran históricamente (es decir, descifrar SSL) y el "Patriot Act" de los EE. UU. http://en.wikipedia.org/wiki/US_Patriot_Act#Title_II:_Surveillance_procedures
Además:
- La aceptación del lado del servidor de conexiones SSL agrega una carga significativa, ya que el establecimiento de una conexión requiere un uso intensivo del procesador (durante la generación de claves secretas).
- Los certificados SSL de confianza pública deben comprarse a un tercero periódicamente
ACTUALIZACIÓN: en realidad estoy usando SSL, aunque creo que vale la pena hacer la pregunta de todos modos. Ciertamente creo que hay tiempo SSL no es necesario. ¿Tal vez esto podría convertirse en una wiki comunitaria de los pros y los contras de SSL? ¿Si es así, cómo?
Parece que hay un mito común en las respuestas a continuación: "cualquier persona entre usted y el servidor puede espiarlo" ...
- Esto no es posible en Internet, ya que los enrutadores TCP de bajo nivel solo envían paquetes a donde deben ir e incluso en la misma sesión se pueden enrutar a través de diferentes rutas, y nadie puede mirar estos paquetes, excepto en casos extremos, técnicamente o legalmente
- En cuanto a alguien en el ISP que mira tu tráfico, me pregunto por qué te enviarían una señal de salida y verían los "datos tan importantes" que, sin duda, son aburridos para ellos, esto también es ilegal sin una orden judicial.
- En su LAN (a excepción de la conexión inalámbrica) a menos que esté utilizando un concentrador de dinosaurios que transmita todos los paquetes, no hay forma de escuchar el tráfico de otra persona; esto no es posible porque el hardware simplemente no le envía los paquetes, incluso si tiene su tarjeta de red. en modo promiscuo y están utilizando una herramienta de rastreo como Snort o Wireshark.
El envenenamiento ARP pasivo es una forma de escuchar, pero debe hacerse internamente y debe detectarse como conflictos de nombre, etc. Empiece a ocurrir y, a menudo, la puerta de enlace predeterminada sería estática, por lo que sería muy difícil porque la puerta de enlace predeterminada estará activada antes de que usted .
El problema es que usar, digamos, WPA2 solo asegura la conexión entre su computadora y el enrutador. Hay una gran pieza de red no segura entre el enrutador y el destino: ese es el diseño de Internet. No sabes quién está a lo largo del camino y podría haber muchos oyentes maliciosos (o simplemente entrometidos) por ahí. Es posible que ni siquiera estén en su jurisdicción, por lo que puede ser imposible evitar las escuchas ilegales.
SSL le da un túnel cifrado hasta el otro extremo.
Si está hablando de una LAN de una pequeña empresa en la que no hay tráfico que salga de la red interna, entonces no se moleste con SSL si no lo desea. Pero si algo sensible va a través de Internet, entonces realmente desea utilizar SSL para evitar que alguien lo vea. Se trata de lo importante que es la información.
Una cosa a tener en cuenta es que muchos sitios web utilizan cookies para recordar la información de inicio de sesión. Si esas cookies pasan a través de Internet de manera clara, entonces es bastante trivial secuestrar la sesión, piense en FireSheep. Por lo tanto, debe tener mucho cuidado con lo que considera información "sensible". Dado que muchas aplicaciones empresariales se están moviendo a servidores remotos (creo que los jóvenes lo llaman "la nube"), este no es un problema menor.
En pocas palabras, use SSL si hay algo que no quiere que nadie más vea a través de una red que no esté totalmente bajo su control.
La comprensión general tal vez haya avanzado en los últimos ocho años. Este sitio proporciona una buena respuesta:
https://doesmysiteneedhttps.com/
Incluso cuando no se transfieren datos "confidenciales", SSL impide la inyección de contenido de la página.
No creo que todos los sitios web necesiten SSL; si lo hace, entonces use, pero hay casos en los que desea poder autenticar al usuario sin tener que usar SSL.
He creado (javascript-> perl) autenticación hash aleatoria de uso único para este propósito.
SSL debe usarse en cualquier lugar donde esté comunicando información que no debe ser pública. Es una suposición muy peligrosa creer que nadie está escuchando el tráfico entre su computadora y el servidor remoto.
Todo lo que alguien debe hacer para detener el tráfico es estar en su red, no necesitan acceso de administrador a su enrutador. Sin usar SSL para comunicaciones confidenciales, todo lo que se necesita para robar su identidad es una sola máquina con un virus en una computadora de compañeros de trabajo.
El ISP también tiene acceso a todo el tráfico de la red, ¿cuánto confía en sus técnicos?
Querido usuario,
Hemos decidido no cifrar nuestro tráfico de Internet porque simplemente no creemos que sea importante. Decidimos que es realmente demasiado difícil monitorear el tráfico de Internet, por lo que si alguien está realmente preparado para hacer ese esfuerzo, se merecen todos los datos que puedan tener en sus manos. Si está utilizando un enrutador de estilo antiguo, tiene personal de TI y / o compañeros de trabajo corruptos, o si a alguien simplemente no le agrado y decide robar sus datos, no nos hacemos responsables.
No desaconsejamos que le comunique a nadie nuestra decisión, ya que esto dirigirá la atención no deseada a nuestro tráfico de IP.
Saludos cordiales,
Buena programación suficiente
Descargo de responsabilidad: si es un pirata informático y se tropezó con este mensaje mientras monitoreaba el tráfico de IP, cortésmente señalamos que lo que está haciendo es ilegal y le pedimos que finja que nunca lo vio.
SSL proporciona autenticación y cifrado.
Es un poco difícil MITM una conexión no cifrada, pero no tan difícil en la red inalámbrica no cifrada que dio como ejemplo. Cualquier red que le permita realizar simulaciones de ARP (muchas redes cableadas conmutadas) también le permite MITM. Pero te estás olvidando de cada enrutador en el camino. ¿Recuerda algunos meses atrás cuando un enrutador (con suerte) mal configurado en China enrutó una parte significativa, aunque pequeña en términos relativos, del tráfico de Internet? Podrían haber visto tu texto simple. También pueden hacerlo otros clientes en una red de cable, y así sucesivamente.
Pero SSL también proporciona autenticación. Si recibo de usted la clave privada para un certificado SSL válido, estoy absolutamente seguro de que usted es quien dice ser, doblemente si es una CA competente.
Pero la mayor preocupación es que parece que no entiendes SSL, por lo que te aconsejo que no tomes una decisión por tu cuenta, al menos hasta que leas más. SSL no requiere que genere una nueva clave en cada solicitud y, de hecho, no funcionaría si lo hiciera. Además, cualquier computadora razonablemente reciente puede manejar miles de solicitudes SSL simultáneamente, los algoritmos son muy rápidos. Además, puede usar aceleradores de encriptación que descargan el trabajo a una pieza dedicada de hardware.
Si cree que podría necesitar usar SSL para proteger algunos datos, y con frecuencia si no lo hace, casi no hay razones para evitarlo. Sí, hay algunos gastos involucrados, pero cualquier dato de importancia vale los $ 300 / año.
EDITAR He leído tu comentario: ¿esta es una aplicación cliente? La solución en su caso es probablemente usar claves autofirmadas, y usted puede distribuir la clave pública con la aplicación. Esto le permite cifrar y verificar que está hablando con quién debería ser.
Una de las cosas que la mayoría de las personas aquí se olvidan de abordar es: ¿qué considera información confidencial? Lo que una persona considera aburrido, los datos inútiles pueden ser considerados altamente confidenciales por otra persona, o viceversa. Entonces qué vas a hacer? Use SSL en todos los datos para jugar de manera segura para que no lo demanden? Ser realistas. Tome un programa de chat, por ejemplo. La mayoría estaría de acuerdo en que cifrar el nombre de usuario y la contraseña sería importante, pero ¿qué pasa con el texto del chat? La mayoría de los chats son cosas mundanas y eliminar SSL proporcionará un mejor rendimiento. Personalmente, permitiría que el usuario final decida qué es importante y luego proporcione SSL solo para aquellos tipos de información que ellos creen que necesitan estar encriptados. Eso es lo que hace Google con Gmail. Usted tiene la opción de utilizar SSL o no.