В чем причина использования SSL на веб-сайтах, если его можно легко расшифровать?
Поскольку SSL можно легко расшифровать с помощью обычного человека в промежуточном узле, в чем причина его дальнейшего использования? Разве большинство интернет-провайдеров не расшифровывают ежедневно с помощью Deep Packet Inspection? И разве невозможно разместить узел MITM на любом участке маршрута по пакетному маршруту (не только ISP) для расшифровки, что делает SSL совершенно незащищенным.
2 ответа
Поскольку SSL можно легко расшифровать с помощью обычного человека в среднем узле,
Зависит немного от того, что вы имеете в виду. Последняя версия SSL, SSLv3, имеет серьезные уязвимости, такие как POODLE, о которых вы можете подумать. Текущая версия протокола - TLS 1.2, но, несмотря на то, что название изменилось в 1999 году, его все еще часто называют SSL. Мы должны действительно прекратить делать это и использовать правильное имя.
С текущими версиями и правильной конфигурацией атака MitM не так проста. Сертификаты существуют для того, чтобы пользователь (или его программное обеспечение) мог идентифицировать удаленный конец. Помимо перехвата соединения, вам понадобится действительный сертификат, которому доверяет программное обеспечение. Конечно, с инфраструктурой CA, какой она есть, любой CA может создать ее. Пока они не будут удалены из списков доверенных, то есть. К счастью, есть события в этой области, такие как закрепление сертификата и т. Д.
в чем причина, чтобы продолжать использовать это?
Для SSLv3 абсолютно нет причин. Для TLS 1.2 это лучшее, что у нас есть.
Разве большинство интернет-провайдеров не расшифровывают ежедневно с помощью Deep Packet Inspection?
Это, вероятно, будет незаконным во многих юрисдикциях.
Помимо очевидной причины, по которой вы должны использовать SSL для защиты данных посетителей вашего сайта, у него есть и другие преимущества. Говорят, что наличие SSL-сертификата повышает вашу SEO, фактически Google объявил, что начнет повышать рейтинг сайтов, защищенных SSL. SSL также защищает от фишинга. Фишинговые электронные письма обычно содержат ссылку на веб-сайт злоумышленников, выдавая себя за ваш веб-сайт. Когда вы используете SSL, для них практически невозможно идеально олицетворять ваш сайт. SSL также дает индикаторам доверия вашего интернет-магазина, таким как HTTPS, и, если у вас есть сертификат EV, зеленую адресную строку.
Расшифровка SSL выполняется для обеспечения видимости зашифрованного трафика, что позволяет обнаруживать вредоносные программы, предотвращать потерю данных, отслеживать приложения и многое другое. Это нелегко сделать, вы можете только расшифровать трафик SSL, если у вас есть сертификат. Таким образом, это может сделать только владелец сайта или кто-то, кто украл сертификат, и для этого вам понадобится специальное оборудование, например SecureStack Ixia.