Зачем нужен HTTPS?

Question

[lanvin lanvin07]

Зачем на сайтах http Хром пугает юзеров сообщением "Подключение к сайту не защищено"?



И все у нас эти сертификаты устанавливают.

И почему Time на этот счёт не парится?

ПС. Это и это читал, но всё равно непонятно, зачем это Хрому.

Comments

[Radjah]

$ curl -I https://time.com/
HTTP/2 301
content-type: text/html
content-length: 194
location: http://time.com/
date: Sun, 16 Sep 2018 21:29:41 GMT
server: nginx/1.10.3 (Ubuntu)
x-cache: Miss from cloudfront

Я бы за такой редирект по рукам линейкой бил.

[lanvin lanvin07]

Павел, а чем он плох?

[Radjah]

lanvin lanvin07, а чем он хорош? Есть валидный сертификат, посетитель хочет использовать зашифрованное соединение, но его насильно гонят на версию без шифрования. Обычно делают HSTS и принудительный редирект на https.

[lanvin lanvin07]

Павел, так это - дело рук недоучек-прогеров или есть какой-то непонятный мотив?

Answer 1

[DevMan]

предупреждает потому что http-трафик легко перехватить. если раздражает, это можно отключить.

тайм не парится, ибо секретного у него ничего нет.
а вот банку/платежной системе/личному кабинету/etc уже есть что терять, поэтому и используют https чтоб "спрятаться".

все ставят, потому что:
- есть слух, что это помогает в seo
- упала цена на сертификаты
- появились бесплатные сертификаты

Comments

[DevMan]

MaxKorz, не без этого, хотя пока это и не особо распространено.

[Максим Федоров]

DevMan, целый Мегафон этим занимается -- довольно огромное распространение

[DevMan]

Максим Федоров, в масштабах рф - вполне может быть.

[АртемЪ]

DevMan,

не без этого, хотя пока это и не особо распространено..

Я бы сказал что это уже и не особо распространено.
Лет пять -семь назад это была повальная практика у мобильных провайдеров, дешевых хостингов, и.т.п. а сейчас крайне редко встречается.

[lanvin lanvin07]

DevMan "тайм не парится, ибо секретного у него ничего нет"
Вот в других ветках пишут, что MITM и отдаваемый юзеру контент может подменять.
На авторитетные ресурсы (а Time - такой, т.к. это самый популярный в Штатах журнал) ссылаются СМИ и прочие формирователи мнений. Поэтому он (Time), по идее, должен быть заинтересован, чтобы отдаваемый им в массы контент не искажался.

[DevMan]

lanvin lanvin07, так он не искажается. как минимум в штатах, на которые он и рассчитан.
будут прецеденты - будет реакция.

[Maksim Herasim]

MaxKorz, провайдеры разве не могут сделать подмену сертификата ?

[DevMan]

Maksim Herasim, могут. только нормальные системы это покажут.

[Maksim Herasim]

DevMan, не знаю что Вы имеете ввиду под нормальными системами, но, примерная дата - декабрь 2017, macbook, iphone, win10 - с установленными актуальными обновлениями на тот момент, никто из них не сказал, что тут что-то не так и нас тут слушают...

[lanvin lanvin07]

Maksim Herasim, да, с использованием MITM-атаки для подмены сертификата.
Метод сегодня вне закона, т.к. Федеральный закон от 7 июля 2003 г. № 126-ФЗ «О связи» запрещает вмешательство в пользовательский трафик, за исключением случаев добровольного согласия абонента либо розыскных мероприятий ФСБ.
Смысл атаки заключается в использовании посредника – промежуточного прокси-сервера между оригинальным сайтом и пользователем. Прокси-сервер перехватывает запрос доступа к сайту, отвечает на запрос пользователя поддельным сертификатом, устанавливает сессию с требуемым сайтом и передаёт трафик через себя. Если пользователь соглашается на такую защищенную сессию, трафик может быть расшифрован прокси-сервером. Однако поддельный сертификат не является верным с точки зрения браузера, запрашивающего подтверждения для данного ресурса в центре сертификации. Браузер выдаст сообщение о не доверенном сертификате, некоторые же сайты с certificate pinning вообще не откроются. Такие же проблемы будут у мобильных пользователей.
Российские министерства совместно с ФСБ рассматривают необходимость перехвата трафика с помощью подмены сертификата, выпущенного российским удостоверяющим центром. link

[DevMan]

Maksim Herasim, для того чтоб система проглотила подмененный сертификат, CA подписавший его должен быть доверенным в системе. без этого любая ось покажет сертификат как невалидный.
разбирайтесь что, как и зачем у вас творится с СА в системе.

[Maksim Herasim]

lanvin lanvin07,
Спасибо, интересна как раз часть про ФСБ и Российские УЦ.
Про первую часть, разве модификацию трафика нельзя натянуть на 272 статью?

DevMan,
речь не про sslstrip, есть другие механизмы. С такого рода подменой всё понятно, но палевно.

[lanvin lanvin07]

Maksim Herasim, а зачем 272, если есть 126-ФЗ. Уже вне закона.
В Казахстане изменили законодательство, и теперь у них всё в правовом поле. Наши тоже в этом направлении работают. В «России планируется создать УЦ для выдачи SSL-сертификатов и добавить его в доверенные корневые центры сертификации во всех популярных браузерах, таких как Google Chrome, Mozilla Firefox, Opera».

Answer 2

[Александр]

HTTPS - безопасный протокол, а точнее, надстройка над обычным HTTP, который передаёт данные в зашифрованном виде, а соответственно, никто "по пути" не сможет перехватить\изменить данные для своих нужд.

Например, когда-то у одного оператора была услуга "Мобильный кабинет". Её суть заключалась в том, что при посещении веб-сайтов через мобильный интернет в правом нижнем углу каждой страницы была операторская кнопка для открытия личного кабинета прямо на том сайте, на котором вы находитесь. То есть, оператор перехватывал веб-трафик и добавлял во все страницы свой код - вот так вот это было реализовано. Само собой, потом от таких "услуг" операторы решили отказаться.

Но когда это делает простой оператор связи - это ещё ладно. Вместо оператора трафик (включая ваши пароли, логины, номера банковских карт и т.п.) может перехватить кто угодно и использовать их в своих целях. Протокол HTTPS был создан в целях улучшить безопасность в вебе путём передачи данных в зашифрованном виде. HTTPS для шифрования использует сертификат ЦС (корневой; root) и сертификат домена (или нескольких поддоменов), а также может использовать ещё и промежуточные сертификаты (chain), и суть в том, что только конкретный ресурс (точнее, сервер) и только браузер пользователя смогут получить доступ к таким данным.

Вот статья на вики про HTTPS: Что такое HTTPS?

Теперь про Chrome. Ему это нужно для того чтобы предупреждать пользователей о незащищённой передаче трафика. То есть, браузер предупреждает о том, что данные, которые вы вводите на вот этом вот сайте могут быть спокойно перехвачены кем-то (и в дальнейшем ещё и использоваться вам не на пользу) или изменены потому что сайт использует незащищённый протокол HTTP.

Comments

[lanvin lanvin07]

А изменить - это как? Вплоть до того, что юзер увидит по ссылке новость не о том, как бедствуют в Штатах учителя, а что-то совсем противоположное?

[Александр]

lanvin lanvin07, да. Но в реальных случаях обычно останавливаются просто на внедрении вредоносного кода.

[Moskus]

lanvin lanvin07, никого специально не волнует модификация статей, волнует принципиальная возможность защититься от любого вмешательства.

Answer 3

[CityCat4]

Чтобы шифровать трафик.

Понятно, что когда смотришь на сиськи котиков - особо скрывать нечего. Когда зашел во вконтактик пофлудить - уже не все хочется показывать. Когда переводишь деньги - не хочется показывать ничего.

Почему так пугает хром? Потому что мы имеем очередной тайм игры "Корпорации vs государство". Корпорации хотят знать, куда ходят люди и для этого содержат сервера "бесплатных" сертификатов, но не хотят чтобы то же самое знало государство. Государство тоже хочет знать куда ходят его граждАне (и ограничивать их в этом), но ничего с внедрением https поделать не может, поэтому придумывает всякие разные способы, которые в итоге приведут к куда более худшим последствиям.

Answer 4

[dollar]

Https шифрует данные от вас до сервера. Иначе контент сайта передаётся по сети в открытом виде и доступен промежуточным узлам сети. То есть в теории может быть проанализирован и даже изменён. Если на сайте есть авторизация, то пароль будет тоже в открытом виде.

В случае time.com это не критично, так как там даже нет авторизации. Вы просто смотрите время.

В целом https это критично. Это становится важно, например, если вы пользуетесь чужим прокси-сервером или чужим VPN или TOR. Владельцы подобных сервисов (особенно владельцы выходных узлов сети TOR) могут оказаться недобросовестными, и тогда шифрование оказывается очень полезно.

А Google (Chrome) и другие прогрессивные компании в целом выступают за https повсеместно, поэтому и паникуют.

Comments

[lanvin lanvin07]

Я имел в виду вот этот TIME.
Это не служба времени, а американский журнал.

Answer 5

[Евгений]

Браузер информирует, что любые введенные данные не будут шифроваться. И уже тебе решать вводить ли там пин свой банковской карты или нет.

А вообще, там чуть повыше расписали про сертификаты SSL и безопасный протокол HTTPS.