¿Forzar el uso de SSL en el sitio ahora?

Estoy empezando a ver que la mayoría de los sitios web comienzan a usar SSL como una práctica estándar para ver el sitio web de forma segura ahora gracias a las revelaciones de Edward Snowden sobre la vigilancia de la NSA que está sucediendo.

¿Deberíamos convertirlo en un estándar web para hacer que todos los sitios web utilicen SSL para seguridad, visualización, pagos y en todas partes?

Tengo un blog personal simple, y tengo gente que dice que necesito usarlo porque expreso mi opinión, inquietudes e ideas sobre el tema de la NSA, y dicen que están empezando a sentirse menos seguros sin HTTPS ...

Interesante pregunta. Sin embargo, la respuesta obvia sería si puedo obtener un sitio web con un navegador, entonces la NSA también puede obtenerlo. No estoy tratando de ser un sabelotodo en esto. SSL debe usarse para iniciar sesión en la cuenta, pagos, etc. Como un curso normal de trabajo, no es necesario.

Dicho esto, apoyo SSL más de lo que implica esta respuesta. Si eres un blogger, entonces no usaría SSL. Si está diciendo cosas que quiere en privado, incluso bajo ciertas circunstancias, entonces no debe publicarlo o ponerlo detrás de un inicio de sesión para controlar mejor quién lo ve.

Recuerde que la web es un vehículo de comunicaciones abierto. Está diseñado y orientado hacia esto. Los vehículos de comunicaciones privadas no son promiscuos con quién se conecta y comparte información y, a menudo, implementa numerosos esquemas de seguridad para garantizar comunicaciones seguras. La web está diseñada para conectarse de forma fácil y anónima con cualquier cliente y compartir toda o casi toda la información que tiene. Sí, hay opciones para asegurar las comunicaciones web hasta cierto punto, sin embargo, siempre estará limitado debido a la naturaleza de lo que es.

HTTPS puede lograr tres cosas:

• Autenticidad . Asegurarse de que se está comunicando con el propietario del dominio real.
• Confidencialidad . Asegurándose de que solo este propietario del dominio y usted puedan leer la comunicación.
• Integridad . Asegurarse de que el contenido no sea modificado por otra persona.

Probablemente todos estén de acuerdo en que HTTPS debería ser obligatorio al transmitir secretos (como contraseñas, datos bancarios, etc.).

Pero hay varios otros casos donde y por qué el uso de HTTPS puede ser beneficioso:

Los atacantes no pueden alterar el contenido solicitado.

Al usar HTTP, los espías pueden manipular el contenido que sus visitantes ven en su sitio web. Por ejemplo:

• Incluyendo malware en el software que ofrece para descargar.
• Censurando parte de su contenido. Cambiando tus expresiones de opinión.
• Inyección de anuncios.
• Reemplazar los datos de su cuenta de donaciones con los suyos.

Por supuesto, esto también se aplica al contenido enviado por sus usuarios, por ejemplo, ediciones wiki. Sin embargo, si sus usuarios son anónimos, el atacante podría "simular" ser un usuario de todos modos (a menos que el atacante sea un bot y haya alguna barrera efectiva de CAPTCHA).

Los atacantes no pueden leer el contenido solicitado.

Al usar HTTP, los espías pueden saber a qué páginas / contenido en su host acceden sus visitantes. Aunque el contenido en sí mismo puede ser público, el conocimiento que una persona específica consume es problemático:

• Abre un vector de ataque para la ingeniería social .
• Infringe la privacidad.
• Puede conducir a la vigilancia y el castigo (hasta el encarcelamiento, la tortura, la muerte).

Por supuesto, esto también se aplica al contenido enviado por sus usuarios, por ejemplo, correos electrónicos a través de un formulario de contacto.

Dicho todo esto, simplemente ofrecer HTTPS además de HTTP solo protegería a los usuarios que verifican (o hacen cumplir localmente, por ejemplo, con HSTS ) que lo están utilizando. Los atacantes podrían obligar a todos los demás visitantes a usar la variante HTTP (vulnerable).

Por lo tanto, si llega a la conclusión de que desea ofrecer HTTPS, es posible que desee considerar su aplicación (redirección del lado del servidor de HTTP a HTTPS, envíe el encabezado HSTS).

Secreto

Dado que su contenido es público, HTTPS obviamente no lo ocultará, pero puede proporcionar algunos beneficios dependiendo de la naturaleza de su sitio.

Intimidad

Cuando alguien solicita una página a través de HTTPS, la solicitud se cifra, por lo que si alguien está mirando a sus visitantes, no sabrá qué páginas solicitó. Desafortunadamente, el DNS (el sistema para obtener una dirección IP basada en el nombre de dominio de su sitio web) no está encriptado, por lo que un observador aún podría identificar quién visita su sitio web. Incluso si eso estuviera encriptado, en la mayoría de los casos aún podría saber qué sitio web visita alguien en función de las direcciones IP, que no se pueden ocultar en el diseño actual de Internet.

Wikipedia ofrece HTTPS, lo que podría parecer inútil porque el contenido es público, pero al hacerlo protegen a sus usuarios: si alguien está buscando cosas "antipatrióticas" en Wikipedia (usando HTTPS), su gobierno no puede determinar qué páginas estás leyendo, solo que están en Wikipedia. Twitter es otro caso, el contenido en sí es público, pero las personas no necesariamente quieren que otras personas sepan lo que están haciendo en él.

Seguridad de contraseña

La otra razón principal por la que es posible que desee considerar HTTPS es si tiene páginas de inicio de sesión u otros lugares donde acepta datos privados de los usuarios (incluido usted mismo). Si no es compatible con HTTPS, las contraseñas y otra información se enviarán "en claro", y cualquiera que pueda leer los datos de la red puede verlos (el caso aterrador solía ser otras personas en la misma red wifi que usted; ahora también incluye varias agencias gubernamentales que buscan material de chantaje).

Si solo admite HTTPS en la página de inicio de sesión, pero no en ningún otro lugar, un atacante inteligente interceptará cada página, excepto la página de inicio de sesión, y cambiará el enlace "Iniciar sesión" para no usar HTTPS, luego intercepte su comunicación (y si fuerza esa página a HTTPS, solo pueden interceptar el tráfico y proporcionar una versión falsa que sí funciona). Puede evitar esto siempre buscando un icono de candado en su barra de URL antes de iniciar sesión, pero casi nadie recuerda hacerlo siempre.

Estoy muy de acuerdo con los puntos de Closetnoc, pero hay otro punto que se ha pasado por alto: los usuarios de Tor necesitan una versión SSL para evitar que los nodos de salida escuchen a escondidas .

Si sospecha que alguno de sus lectores usa Tor, debe tener SSL habilitado como práctica.

Además, +1 en el punto de Max Reid: al menos, usted ayuda a normalizar el uso del cifrado para el tráfico no crítico, lo que aumenta el esfuerzo que las agencias de inteligencia deben ejercer para identificar los paquetes deseables.

Realmente no hay una razón para no hacerlo, aparte del costo del SSL en sí.

Para una implementación típica de servidor web, SSL agrega poca sobrecarga.

Hay conversaciones para que el estándar http 2.0 haga obligatorio el cifrado: http://beta.slashdot.org/story/194289