it-swarm-eu.dev

Was sind die Vor- und Nachteile von Site Wide SSL (https)?

Was sind die Vor- und Nachteile der Verschlüsselung des gesamten HTTP-Datenverkehrs für die gesamte Site über SSL im Gegensatz zu SSL nur auf der Anmeldeseite?

80
Olivier Lalonde

Da sich die meisten anderen Antworten hier mit den Nachteilen von standortweitem SSL befassen (hauptsächlich Leistungsprobleme - übrigens können diese leicht durch Auslagern der SSL-Terminierung auf eine SSL-Proxy-Box oder eine SSL-Karte gemindert werden), werde ich darauf hinweisen Einige Probleme, wenn nur die Anmeldeseite über SSL angezeigt wird und dann zu Nicht-SSL gewechselt wird:

  • Der Rest der Site ist nicht gesichert (obwohl dies offensichtlich ist, liegt der Fokus manchmal zu sehr nur auf dem Passwort des Benutzers).
  • Die Sitzungs-ID des Benutzers muss im Klartext übertragen werden, damit sie abgefangen und verwendet werden kann und die bösen Jungs sich als Ihre Benutzer ausgeben können. (Darum ging es hauptsächlich im Firesheep Trubel).
  • Aufgrund des vorherigen Punkts können Ihre Sitzungscookies nicht mit dem Attribut secure markiert werden. Dies bedeutet, dass sie auf zusätzliche Weise abgerufen werden können.
  • Ich habe Websites mit Nur-Login-SSL gesehen und es natürlich versäumt, die Seite "Passwort vergessen", die Seite "Passwort ändern" und sogar die Seite "Registrierung" einzubeziehen ...
  • Der Wechsel von SSL zu Nicht-SSL ist oft kompliziert, erfordert eine komplexe Konfiguration auf Ihrem Webserver und in vielen Fällen wird eine beängstigende Nachricht für Ihre Benutzer angezeigt.
  • Wenn es NUR die Anmeldeseite ist und f.e. Auf der Homepage Ihrer Website befindet sich ein Link zur Anmeldeseite. Was soll sicherstellen, dass jemand Ihre Homepage nicht fälscht, ändert oder abfängt und auf eine andere Anmeldeseite verweist?
  • Dann gibt es den Fall, dass die Anmeldeseite selbst nicht SSL ist, sondern nur das [~ # ~] submit [~ # ~] - da das ist Das einzige Mal, wenn das Passwort gesendet wird, sollte das sicher sein, oder? In Wahrheit wird dem Benutzer jedoch die Möglichkeit genommen, im Voraus sicherzustellen, dass das Kennwort an die richtige Site gesendet wird, bis es zu spät ist. (Zum Beispiel Bank of America und viele andere).
61
AviD

Der "Server-Overhead", der als bedeutender "Nachteil" zunimmt, ist ein verbreiteter Mythos. Google-Ingenieure vermerkt , dass beim Umschalten von Google Mail auf 100% SSL keine zusätzliche Hardware bereitgestellt wurde und dass SSL weniger als 1% der CPU-Auslastung und 2% des Netzwerkverkehrs ausmachte. Der Stapelüberlauf hat auch einige Fragen, die sich damit befassen: Wie viel Overhead verursacht SSL? und HTTP vs. HTTPS-Leistung .

47
user502

Aus dem zscaler-Blogeintrag Warum wurde das Web noch nicht auf Nur-SSL umgestellt?

"Angesichts des von Firesheep erneut hervorgehobenen Problems des Session-Sidejacking haben mich viele Leute gefragt, warum mehr Websites oder zumindest die Hauptakteure (Google, Facebook, Amazon usw.) SSL nicht standardmäßig für die gesamte Kommunikation aktiviert haben Die Verschlüsselung ist der einzige Weg, um sicherzustellen, dass Benutzersitzungen in einem offenen drahtlosen Netzwerk nicht einfach abgehört werden können.

Das klingt einfach - fügen Sie einfach ein s nach http in die URL ein! Es ist eigentlich nicht so einfach. Hier sind einige der Herausforderungen. "

Zusammenfassung der Herausforderungen (Nachteile):

  • "Server Overhead"
  • "erhöhte Latenz"
  • "Herausforderung für CDNs"
  • "Platzhalterzertifikate reichen nicht aus"
  • "gemischtes HTTP/HTTPS: das Huhn & das Ei-Problem"
  • "Warnungen sind beängstigend!"
25
Tate Hansen

Ars Technica hat ein ausgezeichneter Artikel , der einige der Herausforderungen bei der Bereitstellung von SSL-Sitewide erklärt.

Ein großes Problem: Die meisten Werbenetzwerke bieten keine Möglichkeit, Anzeigen über SSL zu schalten. Wenn Sie Anzeigen (über HTTP geliefert) in eine Hauptseite einbetten, die über HTTPS geliefert wird, geben Browser außerdem beängstigende Warnungen mit gemischten Inhalten aus, denen Sie Ihre Benutzer nicht aussetzen möchten. Daher wird es für werbefinanzierte Websites wahrscheinlich sehr schwierig sein, auf SSL-Site-weit umzusteigen.

Der Artikel beschreibt auch einige andere Herausforderungen, wie Widgets von Drittanbietern, Analysen, eingebettete Videos usw.

19
D.W.

OK, das ist eine alte Frage, , also wird meine Antwort wahrscheinlich hier unten nachlassen. Ich habe jedoch noch etwas zu den Nachteilen hinzuzufügen.

HTTPS-Latenz:

Eine geringe HTTP-Latenz von Client zu Server ist entscheidend für die Erstellung von schnell ladende, reaktionsfähige Websites . Und schnelle Ladezeiten erhöhen die Zufriedenheit der Endbenutzer .

TCP/IP allein hat den berühmten TCP 3-Wege-Handshake, dh der anfängliche Verbindungsaufbau für einfaches HTTP über TCP erfordert 3 Pakete. Wenn SSL/TLS ist verwendet wird, ist der Verbindungsaufbau aufwendiger, was bedeutet, dass die Latenz für neue HTTPS-Verbindungen ist unvermeidlich höher als Klartext-HTTP.

Beachten Sie, dass die Auswirkungen davon verringert (aber nicht beseitigt) werden können, indem die HTTPS-Verbindung viele Male wiederverwendet wird, d. H. Wenn dauerhafte Verbindungen verwendet werden, und andere Leistungsoptimierungen wie SSL-Fehlstart .

Das genaue Modellieren, wie stark HTTPS das Laden von Seiten verlangsamt, ist kompliziert, da alle modernen Browser HTTP-Objekte parallel herunterladen wann immer möglich. Trotzdem ist die höhere anfängliche Verbindungsaufbauzeit mit der aktuellen Technologie sowohl signifikant als auch unvermeidbar. Daher ist die erhöhte Latenz neuer Verbindungen ein wichtiger Gesichtspunkt.

15
Jesper M

Ein Nachteil, der in den anderen Antworten oben übersehen wird, ist die massive Abhängigkeit von Content-Distributionsnetzwerken (z. B. Akamai). Viele Webseiten, die derzeit verwendet werden, greifen auf Inhalte aus einer Vielzahl von Domänen zu, sodass der Browser für jede dieser Domänen Zertifikate benötigen würde oder Warnungen würden auftauchen. Und wenn der Angreifer eine CDN-Plattform verwendet, für die der Browser bereits Zertifikate hatte, wird er möglicherweise nicht gewarnt, wann er sollte.

Schwieriges Problem mit der Art und Weise, wie Anwendungen und Inhalte derzeit bereitgestellt werden.

12
Rory Alsop

Vorteile ist definitiv erhöhte Sicherheit. Nachteile können relativ langsamere Verbindungen, eine intensivere CPU-Auslastung, eine genaue Zertifikatsverwaltung und einige Kosten für Zertifikate sein (wenn Sie keine selbstsignierten Zertifikate verwenden). In jüngster Zeit gibt es jedoch eine verbreitete Praxis für die Verwendung von https, und diese Nachteile treten aufgrund des Nutzens für die Endbenutzer und des gestiegenen Vertrauens in ein Unternehmen, das Dienste anbietet, in den Hintergrund.

7
anonymous

Andere Antworten haben ein "Henne/Ei-Problem" aufgrund von Warnungen mit gemischtem Inhalt behauptet, die die HTTP-> HTTPS-Migration schwierig machen. Es ist ein Problem, aber ich denke nicht, dass es so schwierig ist, wie sie es sich vorstellen.

Gemischte Inhalte können mit protokollbezogene URLs und denselben Scannern behandelt werden, die Sie zum Auffinden von XSS-Problemen verwenden sollten.

RFC 3986 Abschnitt 4.2 verwendet den Begriff Netzwerkpfadreferenz:

Eine relative Referenz, die mit zwei Schrägstrichen beginnt, wird als Netzwerkpfadreferenz bezeichnet

Scannen Sie zuerst Ihre Seiten, bis Sie alle Verwendungen von http://example.com/ In Links, Bildern und anderen Site-Assets desselben Ursprungs finden, und ersetzen Sie sie durch protokollbezogene URLs (//example.com/...). Auf diese Weise können Sie denselben HTML-Code bereitstellen, unabhängig davon, ob Sie eine Seite über HTTP oder HTTPS bereitstellen, und Sie können das Rollback viel besser durchführen, wenn später bei der Migration ein Fehler auftritt.

Richten Sie dann permanente HTTP-> HTTPS-Weiterleitungen ein, damit vorhandene URLs auf Websites außerhalb Ihrer Kontrolle weiterhin funktionieren und über HTTPS bereitgestellt werden. Durch die Verwendung einer permanenten Weiterleitung mit aggressiven Cache-Headern können Suchmaschinen den Seitenrang übertragen und die Website für wiederkehrende Besucher beschleunigen.

Sie sollten Ihre Scanner natürlich auf der Suche nach gemischten Inhalten halten, damit Sie Regressionen erkennen.

5
Mike Samuel

Ich weiß, dass dies eine alte Frage/ein alter Thread ist, aber ich wollte nur auf einen großen PRO für das seitliche SSL hinweisen.

SPDY

Die Verwendung von mod_spdy unter Apache erfordert SSL.

Wenn Sie SPDY noch nicht bereitgestellt haben, erledigen Sie es! Sowohl Chrome als auch Firefox unterstützen das Protokoll sowie Opera.

Das ist ungefähr die Hälfte Ihrer Benutzer, die SPDY nutzen können.

4
Spock

Andere Nachteile (die von anderen berührt werden) sind fehlende Zwischenspeicherung, die sich offensichtlich auf die Geschwindigkeit auswirkt. Außerdem sind einige Servervariablen nicht verfügbar - wie beispielsweise HTTP_FORWARDED_FOR.

3
Nev Stokes

Alles Gute hier erwähnt, aber ich vermisse die Kosten! Und mit Kosten meine ich nicht nur den Kauf des Zertifikats, sondern die richtige Infrastruktur zum Verwalten von Zertifikaten, Widerrufen, dedizierten Kryptomodulen, um die CPU-Auslastung des Webservers usw. zu verringern.

3
Henri

Vorteile der Verschlüsselung der gesamten Site:

  • sie werden Ihre datenschutzbedürftigen Besucher nicht verärgern, indem Sie ihnen nach dem Login Klartext senden.
  • geringeres Risiko für Fehler beim Umleiten/Verknüpfen von http- und https-Teilen der Website.

Der Betrug :?

Lesen Sie die Testimonials von Google und anderen. Es muss nicht teuer sein, 100% https zu erreichen.

3
MattBianco

Wenn eine Website von einem CMS verwaltet wird, mit dem ein nicht technischer Benutzer Seiten bearbeiten kann, kann er den HTML-Code so bearbeiten, dass er Verweise auf externe Ressourcen wie Bilder über HTTP enthält. Ich habe eine Shopping-Site erstellt, die nur bei Bedarf SSL verwendet und andere Seiten zurück zu HTTP leitet, da sonst aufgrund aller Bilder außerhalb des Standorts, die der Eigentümer auf der Site gespeichert hat, Warnungen zu gemischten Inhalten angezeigt werden.

2
TRiG