如果您沒有進行金融交易，是否值得使用https？

嘿，只是一個簡單的問題，任何專家在那裏。我有一個網站，允許用戶通過消息進行交互，並註冊您只需輸入用戶名和密碼，驗證您的年齡，並可選擇添加電子郵件。我想沒有任何敏感信息。是否值得使用https。它會阻止會議高潮，並會妨礙表現嗎？如果您沒有進行金融交易，是否值得使用https？

來源

2010-03-30 Scarface

順便說一句，你得到了錯誤的答案。它違背了OWASP前10名的會話安全性。整個會話必須使用https保護，否則沒有意義。 – rook 2010-03-30 19:43:43

@The Rook：由於這個推理，我的前門鎖完全沒用，因爲有辦法通過它。它會阻止那些不想做可見傷害的隨便竊賊，這是一個加分。如果整個會話是https（即使這對大多數證書的中間人來說都很脆弱），但只是爲了登錄纔會停止一些攻擊，這會更好。 – 2010-03-30 20:21:09

@david，其實是的，你的前門是沒用的，它可以很容易地被拿走，別針杯是一種可怕的技術。另外，我同意owasp，如果你泄露了會話ID，那麼攻擊者可以像使用密碼一樣使用它。此外，SSL/TLS會阻止MITM，這就是它的目的。（爲了爭論而忽略SSLStrip;） – rook 2010-03-30 20:26:32

無論何時使用用戶名/密碼，您都應該使用HTTPS確保整個會話的安全。如果您的密碼暴露在外，您的成本相對於您的用戶的潛在成本而言相當小。研究consistently shows人們對他們訪問的幾乎每個系統都使用相同的密碼。

此外，超出密碼暴露的風險，請考慮您的網站是一種通信工具。冒充用戶的潛在風險或危害是什麼？根據他們的身份發送惡意郵件？

這只是不值得的風險。至少保證運輸安全。

來源

2010-03-30 17:36:54

偉大的答案，謝謝你 – Scarface 2010-03-30 18:08:32

-1用戶登錄後，攻擊者只會劫持會話ID。整個會話必須用https保護，這是在OWASP前10名。 – rook 2010-03-30 19:41:25

rook你在說什麼，你可以更具體的哈哈。如何通過特定的端口使用https，並且只保護部分會話。答案錯了，他只是推薦通過加密協議保護服務器交互。如果這是您的服務器用於溝通的話，那麼會話是否會被https自動保護？ – Scarface 2010-03-30 19:59:23

如果您傳輸密碼和電子郵件地址，或任何其他私人或個人身份信息，至少值得。如果存在任何非HTTPS通信，則會話劫持是可能的，但這是許多網站願意接受的風險，並且取決於您的情況。

性能問題取決於您的硬件和堆棧，但HTTPS vs HTTP會有一些性能問題。阻止您保護密碼和敏感用戶信息是不夠的。

來源

2010-03-30 17:25:58

感謝您的建議。 – Scarface 2010-03-30 21:18:51

我以前也考慮過這個問題。當用戶登錄或更改信息時，我認爲你會想要一個安全的連接。

來源

2010-03-30 17:26:44 Kevin

我認爲只要你有某種登錄處理，你應該保護用戶的密碼。您可以通過https或使用http摘要身份驗證來完成此操作。

我的加密要點是，相當多的用戶將擁有相同的密碼到您的網站，因爲他們有他們的銀行帳戶或類似的東西。即使您網站上的信息不敏感，但密碼確實可以保護重要的內容。

來源

2010-03-30 17:27:35

欣賞專業知識，我認爲你和丹故事的答案都很好，我向你們提出了很高的建議。 – Scarface 2010-03-30 18:08:53

-1用戶登錄後，攻擊者只會劫持會話ID。整個會話必須使用https保護，這是在OWASP前10名。我希望我可以提供另一個-1作爲摘要認證，因爲它更不安全。 – rook 2010-03-30 19:42:36

看到我的評論答案車。 – Scarface 2010-03-30 20:03:52

-2

對於某些人而言，密碼和年齡將被視爲敏感信息。你準備好對付一些可能與你有不同看法的人嗎？

來源

2010-03-30 17:40:44

是的，需要SSL/TLS來維護安全認證的會話。如果您有登錄帳戶，則登錄的帖子和整個會話必須由https保護。即使您擁有簡單的Web應用程序，將所有流量轉發到https也更加輕鬆和安全。

問題是如果您使用http，會話ID（cookie）可能會泄漏。如果該會話已通過身份驗證，則黑客可以使用該會話ID與服務器進行身份驗證，而無需用戶名和密碼。

這是該OWASP十大A3明確要求：「殘破的認證和會話管理」 http://www.owasp.org/images/0/0f/OWASP_T10_-_2010_rc1.pdf

通過HTTP發送一個cookie，也違反了CWE-614和CWE-311。

來源

2010-03-30 21:15:44 rook

感謝您的分解。 – Scarface 2010-03-30 21:17:35

@Sfaceface歡迎您，您應該將答案頒給我。因爲排名前2位不正確，有人可能會被黑客入侵。 – rook 2010-03-30 21:47:45

請注意，如果有人在乎是否有一點欺騙行爲，這一點最重要。 – 2010-03-30 22:09:56

如果您沒有進行金融交易，是否值得使用https？

回答

相關問題