Почему у habrahabr.ru до сих пор нет SSL/TLS?

Question

[kolobok38]

И кстати почему до сих пор через дробь пишется SSL/TLS, SSL могли бы уже не указывать?

Comments

[StrangeAttractor]

Кто-нибудь может мне объяснить нахрена? Я, вот, противник ненужного усложнения ввиде мании шифрования всего и вся без оглядки на смысл. Что там прятать на хабрахабре кроме паролей? Как по мне так HTTPS нужен только для передачи паролей и тому подобного, а полное шифрование может иметь смысл только на сайтах типа всяких web-админок, e-mail, банк-клиентов и т.п.

[kolobok38]

Обосновать можно любое применение защитных средств, никто ведь не даст гарантии, что рассмотрены все риск, а некоторые из них могут оказаться внезапно значительными.

[kolobok38]

Ладно слегка скорректируем вопрос, а то дускуссия в сторону ушла надо-не надо. Почему у cbr.ru (это ребятушки Центробанк) SSL нет, хоть и дернуть оттуда на первый взгляд особо нечего? Там если кому надо выдаваемую инфу подделаешь, очень можно насолить...

[kolobok38]

А может хабр таки нам ответит?

Answer 1

[АртемЪ]

А почему вы каждый день не носите костюм бактериологической защиты и бронежилет?
Вот примерно по той же причине на хабре нет SSL.

Comments

[kolobok38]

Аналогия не принимается, поднять SSL не создает таких проблем, как каждый день потеть в противогазе.

[АртемЪ]

А нагрузка на сервер? На клиент?
Вот нафига SSL на хабре? Что у меня там могут украсть? Что секретное могут прочитать?
Все что там есть полностью доступно, и ни в какой защите не нуждается, наоборот - бери кто хочешь.
А все что секретно - ну кто же будет секретные вещи в IT блог выкладывать.

[kolobok38]

вот только нагрузкой не надо отмазываться, нет так оно и затратно процессорный ресурс помощнее прикупить

[АртемЪ]

kolobok38: Вы в курсе что такое целесообразность?
Можно включить SSL
Можно заставить пользователей ходить по токенам.
Можно выдавать токены только по предъявлению паспорта.
Можно нанять отдел который будет заниматься обеспечением безопасности, и предотвращать утечки данных.

И кому нужно тот все это делает.
А на хабре это не нужно, вот и все.

[kolobok38]

заметь все остальное я не предлагал, это крайность. И даже более ты говоришь о защите разных интересов в одной куче.

[АртемЪ]

Я говорю о том что все это ненужно.
А если это ненужно, то это никто не будет делать.
И не делает.
Поэтому на хабре нет SSL.

[kolobok38]

"Ненужно" лишь твое субъективное мнение, объективно можно об этом говорить только после прецедента, и иногда уже поздно..

[kolobok38]

В Facebook многие тоже всего лишь котиков постят, а ssl они таки прикпутили..

[АртемЪ]

Это не только мое мнение.
Мое мнение никак не влияет на наличие SSL на хабре.
На это влияет только мнение владельца хабра.

[АртемЪ]

kolobok38: Ну значит владельцы фэйсбука по каким то причинам решили что им это нужно.

[kolobok38]

Многие “владельцы" фейсбука об этом даже не догадываются.. Они просто решили что безопасность один из основных приоритетов.

[Назар Мокринский]

Артем: Нагрузка? Сложность? Да не смешите вы народ, технический сайт первым должен иметь принудительный HTTPS, нужно элементарно уважать пользователей ресурса.

[АртемЪ]

Назар Мокринский: Объясните пожалуйста при чем тут уважение?

[Назар Мокринский]

Артем: Уважение к данным, которые пользователь предоставляет сайту, а значит и к самому пользователю.

[АртемЪ]

Уважение к пользователю это я могу понять, только не понятно при чем тут шифрование.
А вот уважение к данным, это нечто довольно странное и ненормальное.

Ну и мне, как пользователю гораздо приятнее если ресурс не грузит мой браузер разной ненужной фигней.

Answer 2

[Влад Животнев]

https там, строго говоря, есть. Даже с валидным сертификатом. Просто редиректит на http.
Так что, они готовятся - причесывают код and etc.

По практике могу сказать, что самописный проект перенести на https частенько боль - слишком во многих местах хардкодят scheme.

Comments

[kolobok38]

https или есть везде, и клиент его видет, или его нет, как строго не говори)
А в чем боль можно подробнее, о схеме в каком месте речь?

[Влад Животнев]

kolobok38:
> https или есть везде, и клиент его видет, или его нет, как строго не говори)
А клиент его видит. Просто контента там пока нет. 302 - это тоже ответ вебсервера.

> А в чем боль можно подробнее, о схеме в каком месте речь?
scheme - которая http/https.
Боль - в том, что код фронтэнда нужно переписывать, частенько основательно.

Answer 3

[Николай Корабельников]

Буду оригинален и отвечу на вторую часть вопроса.
SSL/TLS - потому, что на сегодня большинство серверов настроено на поддержку обоих протоколов.
SSL - пока еще очень распространён. TLS все-еще поддерживает не все клиентское ПО и поэтому многие сервера настроены на поддержку SSL вместе с TLS.