Ich versuche, einen Kunden davon zu überzeugen, für SSL für eine Website zu bezahlen, die eine Anmeldung erfordert. Ich möchte sicherstellen, dass ich die wichtigsten Szenarien richtig verstehe, in denen jemand die gesendeten Passwörter sehen kann.
Ich verstehe, dass an jedem der Hops auf dem Weg einPaketanalysatorum anzuzeigen, was gesendet wird. Dies scheint zu erfordern, dass sich jeder Hacker (oder seine Malware/sein Botnetz) im selben Subnetz befindet wie alle Hops, die das Paket durchläuft, um an sein Ziel zu gelangen. Ist das richtig?
Angenommen, diese Subnetzanforderung trifft in gewisser Hinsicht zu. Muss ich mir dann über alle Hops Gedanken machen oder nur über den ersten? Über den ersten kann ich mir natürlich Gedanken machen, wenn sie sich in einem öffentlichen WLAN-Netzwerk befinden, da jeder mithören könnte. Muss ich mir darüber Sorgen machen, was in den Subnetzen passiert, über die die Pakete außerhalb dieses Netzes übertragen werden? Ich kenne mich nicht besonders gut mit Netzwerkverkehr aus, würde aber annehmen, dass er durch die Rechenzentren der großen Netzbetreiber fließt und es dort nicht viele lukrative Angriffsmethoden gibt. Bitte korrigieren Sie mich jedoch, wenn ich falsch liege.
Gibt es außer jemandem, der mit einem Paketanalysator zuhört, noch andere Vektoren, über die man sich Sorgen machen muss?
Ich bin ein Neuling in Sachen Netzwerke und Sicherheit, also korrigieren Sie mich bitte, wenn ich hier die falsche Terminologie verwende.
Antwort1
Beachten Sie, dass einige Browser Ihre Formulardaten zwischenspeichern, was andere hier nicht erwähnt haben. Das Standardverhalten auf SSL-Sites besteht normalerweise darin, nichts zwischenzuspeichern, es sei denn, Sie wählen „Mein Passwort speichern“. Normalerweise werden Passwortfelder sowieso nicht zwischengespeichert, aber ich habe einige Merkwürdigkeiten gesehen (normalerweise Kreditkarteninformationen, die, wie ich weiß, nicht wirklich das Thema der Frage sind).
Außerdem ist zu beachten, dass die SSL-Verschlüsselung beim TCP-Handshake beginnt. Unter SSL können Sie HTTP über SSL nicht von FTP über SSL unterscheiden (abgesehen von Annahmen über die Portnummer).
Sie können außerdem eine Anmeldeanforderung nicht von einer „Ich stöbere nur“-Anforderung unterscheiden. Dies verschleiert den Seitenfluss vor potenziellen Hackern und stellt außerdem sicher, dass nicht nur Ihre Kennwortdaten sicher sind, sondern auch Ihr Browserverlauf/Ihre Cookie-Daten und alle persönlichen Informationen, die mit Ihrem Konto verbunden sind.
Alles in allem, wenn Sie eliminierender Mann in der MitteAngriffe aus dem Spektrum Sie reduzieren eine Menge der potenziellen Angriffe, das heißt aber nicht, dass Ihre Website "sicher" ist. Auch Zoning-Richtliniesollenschützt Sie vor XSS-Angriffen, da Sie eine Zonenänderung vornehmen, wenn Ihr Benutzer von Ihrer Site umgeleitet wird.
Antwort2
Die Daten sind auf der gesamten Route gefährdet, nicht nur auf der ersten oder letzten Etappe. Es ist durchaus denkbar, dass ein an der Übertragung beteiligtes System nach Benutzernamen, Passwörtern und anderen sensiblen Daten sucht. Daraus folgt, dass sensible Daten nur über eine durchgehend gesicherte Verbindung übertragen werden sollten, und genau dafür gibt es SSL. Je nachdem, um welche Daten es sich handelt, kann es durchaus lokale Gesetze geben, die SSL vorschreiben.
Antwort3
Es gibt Proxyserver, die möglicherweise Daten speichern.
Es besteht jedoch auch die Verpflichtung, die Passwörter der Benutzer sicher aufzubewahren. Viele Benutzer verwenden nur eine begrenzte Anzahl von Passwörtern, sodass eine unsichere Site beispielsweise ihr Homebank-Passwort gefährden könnte.
Antwort4
Ich kann KevinMs Überlegungen zur Beantwortung seiner eigenen Fragen zustimmen, und John Gardeniers weist in die richtige Richtung. Ich muss auch Silky zustimmen, der sagte: „Im Idealfall würde sich die breite Öffentlichkeit niemals bei einer Site anmelden, die keinen SSL-basierten Anmeldebildschirm hat.“ und darauf hinweisen, dass dies derzeit jedoch überhaupt nicht der Fall ist.
Ich bin nicht einverstanden mit Silkys Ton (wahrscheinlich unbeabsichtigt), der zu der allgegenwärtigen Wahrnehmung führt, dass „die breite Öffentlichkeit“ dumm ist. KevinMs Kunde hat offensichtlich keine Vorstellung von der Notwendigkeit von SSL, und das ist der Durchschnittsbürger in aller Kürze. Sie sind nicht dumm, sie wissen es einfach nicht. Wenn Sie sagen: „Sie brauchen das“, wird die Antwort „Ich habe x Jahre ohne gelebt und werde noch x Jahre lang gut leben“ oder vielleicht sogar eine noch schlimmere Antwort „Ich hasse es, wenn man mir sagt, was ich brauche“ hervorgerufen. Seien Sie also vorsichtig!
Ihre Sorge ist berechtigt, Kevin. Ihr Kunde braucht ein SSL-Zertifikat. Ich denke, Ihre eigentliche Sorge sollte sein, wie Sie ihm eines verkaufen können. Es geht nicht nur um die Benutzeranmeldungen, sondern auch um dieAdministratorUndOperatorAnmeldungen, die ebenfalls von einem SSL-Schutz profitieren würden.
Ja, es gibt noch andere Dinge, die in diesem Zusammenhang beachtet werden müssen, mehr noch als Packet Sniffing, wie zum BeispielXSS. Sie sind zahlreich undgut dokumentiert.