HTTPS: Dlaczego Twoja kolejna strona powinna to mieć?

[type-of-web-komentarze[bot]]

HTTPS: Dlaczego Twoja kolejna strona powinna to mieć?

Niemal cała Twoja aktywność w Internecie odbywa się za pośrednictwem protokołu HTTP (Hypertext Transfer Protocol). Właściwie niezależnie co robisz, z czym albo skąd się łączysz – prawdopodobnie robisz to przez HTTP. Wraz z tym jak Twoja zależność od Internetu rośnie, jesteś narażona/y na coraz więcej różnego rodzaju zagrożeń. Każde nieszyfrowane…

https://typeofweb.com/twoja-strona-powinna-byc-na-https

[type-of-web-komentarze[bot]]

Gravatar	Imię	Adres	Data
	Comandeer	https://www.comandeer.pl/	2017-10-13 13:24

Odnośnie EV warto dorzucić przemyślenia specjalisty od bezpieczeństwa: https://www.troyhunt.com/on-the-perceived-value-ev-certs-cas-phishing-lets-encrypt/

 
 

Komentarz zaimportowany z WordPressa

[typeofweb]

Gravatar	Imię	Adres	Data
	Michał z typeofweb.com	https://typeofweb.com	2017-10-14 00:19

Ogólnie bardzo ważne jest, żeby pamiętać, że certyfikat DV nie mówi „to jest ta strona” tylko „to połączenie jest prywatne”. To spora różnica :) Strony z phishingiem też mają certyfikaty.

 
 

Komentarz zaimportowany z WordPressa

[type-of-web-komentarze[bot]]

Gravatar	Imię	Adres	Data
	Luke D.	https://smart-fun.pl/	2017-10-26 18:40

Zainstalowałem u siebie zgodnie z opisem (i wg wytycznych mojego hostingu zenbox, który też wspiera Let’s Encrypt), ale kłódeczkę widzę u siebie z wykrzyknikiem i informacją, że połączenie nie jest bezpieczne. Można to jakoś poprawić?

 
 

Komentarz zaimportowany z WordPressa

[typeofweb]

Gravatar	Imię	Adres	Data
	Michał z typeofweb.com	https://typeofweb.com	2017-10-27 13:59

Jasne, nie powinno tak być. Dzisiaj dalej masz ten problem?
Jaki jest adres strony?
Próbowałeś może na innej przeglądarce?

 
 

Komentarz zaimportowany z WordPressa

[type-of-web-komentarze[bot]]

Gravatar	Imię	Adres	Data
	Marcin		2017-10-30 18:51

Na swojej stronie zainstalowałem certyfikat z nazwa.pl ale nadal łączę się poprzez http1.1. Z czego to może wynikać ? Dodam, że nie mam VPS, tylko shared hosting

 
 

Komentarz zaimportowany z WordPressa

[typeofweb]

Gravatar	Imię	Adres	Data
	Michał z typeofweb.com	https://typeofweb.com	2017-10-31 10:03

A ten serwer to też na nazwa.pl? Wydaje mi się, że oni nie mają http/2. Podaj linka do strony :)

 
 

Komentarz zaimportowany z WordPressa

[type-of-web-komentarze[bot]]

Gravatar	Imię	Adres	Data
	Comandeer	https://www.comandeer.pl/	2017-10-31 10:06

Jeśli nie mają, to zawsze można trochę oszukiwać i postawić stronę za CloudFlare, które ma ;)

 
 

Komentarz zaimportowany z WordPressa

[typeofweb]

Gravatar	Imię	Adres	Data
	Michał z typeofweb.com	https://typeofweb.com	2017-10-31 10:40

Nie jestem przekonany czy http/2 jest warte przesyłania całego ruchu przez CloudFlare z możliwością ich wglądu i analizy. Ja nie korzystam i nikomu nie polecam.

 
 

Komentarz zaimportowany z WordPressa

[type-of-web-komentarze[bot]]

Gravatar	Imię	Adres	Data
	Michał Chojnacki		2017-11-06 21:02

Kilka kwestii.
Samo https w wykonaniu CloudFlare to fikcja jeżeli serwer docelowy nie wspiera TLS. W takiej sytuacji ruch idzie co prawda szyfrowany do CF, ale siłą rzeczy jest przez CF deszyfrowany - i dalej idzie nieszyfrowany do hosta docelowego. Realistycznie w takiej sytuacji oszukiwani są użytkownicy widzący magiczną "zieloną kłódkę", bez świadomości co się dzieje faktycznie w zapleczu - i że ruch na pewnym odcinku (publicznym!) jest całkowicie plaintextowy. Ktoś podstawi MITM na tym odcinku, CloudFlare to zaserwuje z zieloną kłódką, a użytkownik nie będzie wiedział co się stało.

Siłą rzeczy o H/2 można zapomnieć z tego samego powodu. Ironicznie wymóg TLS wcale nie siedzi w specyfikacji H/2 tylko w implementacjach przeglądarek, co nie zmienia faktu, że jeśli host docelowy nie wspiera protokołu, to żadne proxy po drodze (CF) tego nie zmieni. H/2 to - w ogromnym uproszczeniu - w pierwszej kolejności możliwość mutiplexowania zapytań na jednym połączeniu. Jeżeli host docelowy tego protokołu nie rozumie, to jedyne, co CF może zrobić, to rozbijać H/2 na standardowe zapytania HTTP/1.1.

Będzie szybciej dla end-usera? Będzie - choć wyłącznie dlatego, że CF to też cache, więc część zapytań po prostu obsłuży w całości sam. Cache miss, natomiast, to w istocie dłuższe zapytanie niż prosto do celu.

 
 

Komentarz zaimportowany z WordPressa