Якщо я переглядаю сайт, на якому є підписаний або самопідписаний сервер SSL, мій веб-переглядач надсилає мені попередження. Але той самий браузер не має жодних проблем із дозволом надіслати облікові дані на незахищені сторінки.
Чому самопідписаний cert трактується гірше, ніж не мати cert?
Відповіді:
Є багато людей, які відчувають, що ця система порушена.
Ось логіка, чому ваш веб-переглядач подасть вам таке тривожне попередження, коли сертифікат SSL недійсний:
Однією з оригінальних цілей дизайну інфраструктури SSL було надання автентифікації веб-серверів. Якщо ви переходите на www.bank.com, SSL дозволяє веб-серверу, який відповідає, довести, що він насправді належить вашому банку. Це зупиняє нападника від маніпулювання DNS або використання іншого методу для отримання зловмисного сервера.
"Довіра" до SSL надається шляхом підписання довіреною третьою стороною (такі компанії, як VeriSign та Thawte Consulting), підписуючи сертифікат, вказуючи, що вони підтвердили, що ним належить той, хто каже, що це (теоретично, відвідавши ІТ-адміністратора в людина чи інший метод, який створює пряму довіру, хоча дані свідчать про те, що вони насправді досить мляві з цього приводу - все, що потрібно для отримання підписаного сертифікату SSL, часто є 800 номером і трохи акторської майстерності).
Отже, якщо ви підключаєтесь до веб-сервера, який надає сертифікат SSL, але він не підписується довіреною третьою стороною, теоретично це може означати, що ви спілкуєтесь із самозванцем, який видає себе за сервер, що належить іншій організації .
На практиці самопідписаний сертифікат, як правило, означає, що організація, яка працює на сервері, вирішила не платити за підписаний сертифікат (вони можуть бути досить дорогими, залежно від потрібних функцій), або не вистачає технічної експертизи для його налаштування ( деякі рішення для малого бізнесу пропонують механізм в один клік для самопідписаного сертифіката, але отримання надійного сертифікату вимагає більше технічних кроків).
Я особисто вважаю, що ця система порушена, і що спілкуватися з сервером, який не пропонує шифрування, набагато небезпечніше, ніж спілкуватися з сервером, що пропонує SSL, з самопідписаним сертифікатом. є три причини, через які браузери не діють так:
Надсилання облікових даних зі сторінки на сторінку в основному виконується HTTP POST. Немає нічого особливого в надсиланні облікових даних у порівнянні з надсиланням, наприклад, пошукові терміни через POST.Якщо будь-яка публікація на незахищеній сторінці викликала б попередження, користувачі будуть бомбардовані безглуздими попередженнями.
Використання захищеного каналу свідчить про намір програміста захистити передачу. У цьому випадку дуже правильним є використання самопідписаного попередження про сертифікат.
Я не можу коментувати, тому я опублікую цю інформацію, яка доповнює правильну інформацію користувача40350.
Але той самий браузер не має жодних проблем із дозволом надіслати облікові дані на незахищені сторінки.
Це насправді навіть не так. У більшості браузерів з’явиться попередження, як ви збираєтеся надсилати дані через незахищене з'єднання, коли ви вперше спробуєте це, але ви можете вимкнути його, щоб воно більше ніколи не з’являлося, і я думаю, що саме це ви зробили ...
Миро А написав:
Надсилання облікових даних зі сторінки на сторінку в основному виконується HTTP POST. Немає нічого особливого в надсиланні облікових даних у порівнянні з надсиланням, наприклад, пошукових термінів через POST
Це також неправильно, оскільки поля пароля - це спеціальні HTML-теги, наприклад. Крім того, мітки на зразок "ім'я користувача" та "пароль" також зраджують великій їх чутливості. Для веб-переглядачів було б цілком можливо взяти до уваги подібну інформацію.
Підключення, захищені протоколом https: //, вказуються браузером на "захищений". Наприклад, відображається невеликий замок або частини URL-адреси позначені зеленим кольором.
Тому користувач повинен довіряти, що сторінки, які він відвідує, справді є URL-адресою, яку він ввів, а не від когось іншого.
Якщо він не використовує https: //, користувач повинен знати, що введені дані не захищені і сайт, на якому він переглядає, може бути накладений.
Сертифікат, що підписується самостійно, не гарантує - знову очікує, що сторінка, на яку переглянуто, не нав'язується, тому не надає додаткового захисту.
Потрібно розрізняти довірений (підписаний органом, якому ви довіряєте), і ненадійний сертифікат. В іншому випадку хтось може представити себе за ваш банк (наприклад), використовуючи сертифікат, який підписав власноруч, відносно безкарно.
У цьому випадку попередження про ваше обличчя є кращим, ніж тоне, оскільки потенційний ризик порівняно високий. Люди можуть натиснути на https-посилання і навіть не думати, що хтось може сидіти посередині, контролюючи з'єднання. Якщо вказівка на те, що сертифікат ненадійний, є непомітною (скажімо, червоною замість зеленого значка тощо), то людей можна легко обдурити, усуваючи переваги SSL.
Перелічено багато вагомих причин. Ось ще один:
Подумайте про випадки, коли одна захищена веб-сторінка вставляє елементи з іншої. Зловмисник може виявити, які запити стосуються зовнішньої веб-сторінки (скажімо, дивлячись на терміни, вона повинна прийти першою) і які - для внутрішніх елементів. Він міг вводити себе як MITM лише у внутрішні елементи, використовувати самопідписаний сертифікат та керувати частинами сторінки. Якщо не буде подано попередження для внутрішніх елементів, що використовують SSL, але не використовуються довірені сертифікати, безпека зовнішньої сторінки буде порушена.
Ось реалістичний приклад. Скажіть, що я продавець, і у мене є посилання "оплата за допомогою PayPal". Ви натискаєте на це, і я знаю. Я перенаправляю вас на PayPal, і я дозволяю вам отримати законну, захищену сторінку PayPal. Якщо я переглядаю вашу мережу, я знаю, що це буде ваш перший запит від PayPal, і незабаром після цього ви надішліть свій пароль. Тому я MITM, що submitмістить вашу адресу електронної пошти та пароль, замінюючи мій самопідписаний сертифікат на PayPal.
Ви бачите, як захищеність зовнішньої сторінки порушена, не попереджуючи, якщо сертифікат внутрішньої сторінки є самопідписаним? Тож він повинен попереджати про самопідписані сертифікати, що походять із посилань.
І, звичайно, якщо ви вводите httpsвручну, це повинно вас попереджати. Тому що ви очікуєте, що це буде безпечно.