Estou tentando convencer um cliente a pagar por SSL para um site que requer login. Quero ter certeza de que entendi corretamente os principais cenários em que alguém pode ver as senhas que estão sendo enviadas.
Meu entendimento é que em qualquer um dos saltos ao longo do caminho pode-se usar umanalisador de pacotespara ver o que está sendo enviado. Isso parece exigir que qualquer hacker (ou seu malware/botnet) esteja na mesma sub-rede que qualquer um dos saltos que o pacote leva para chegar ao seu destino. Isso está certo?
Supondo que algum tipo desse requisito de sub-rede seja verdadeiro, preciso me preocupar com todos os saltos ou apenas com o primeiro? Obviamente, posso me preocupar com o primeiro se eles estiverem em uma rede Wi-Fi pública, já que qualquer pessoa pode estar ouvindo. Devo me preocupar com o que está acontecendo nas sub-redes pelas quais os pacotes trafegam fora disso? Não sei muito sobre tráfego de rede, mas presumo que ele esteja fluindo pelos data centers das principais operadoras e que não haja muitos vetores de ataque interessantes lá, mas corrija-me se estiver errado.
Existem outros vetores com os quais se preocupar além de alguém que está ouvindo com um analisador de pacotes?
Eu sou um novato em redes e segurança, então sinta-se à vontade para me esclarecer se eu estiver usando a terminologia errada em alguma dessas coisas.
Responder1
Algo a ser observado e que outros não mencionaram aqui é que alguns navegadores armazenam em cache os dados do seu formulário. O comportamento padrão em sites SSL normalmente é não armazenar nada em cache, a menos que você escolha "salvar minha senha". Normalmente, os campos de senha não são armazenados em cache, mas já vi algumas curiosidades (geralmente informações de cartão de crédito, que sei que não são realmente o tópico da pergunta).
A outra coisa a observar é que a criptografia SSL começa no handshake TCP. Uma vez em SSL, você não consegue distinguir HTTP sobre SSL de FTP sobre SSL (além das suposições feitas por meio do número da porta).
Você também não consegue distinguir uma solicitação de login de uma solicitação "Estou apenas navegando", isso ofusca o fluxo da página de possíveis hackers e também garante que não apenas seus dados de senha estejam seguros, mas também seu histórico de navegação/dados de cookies/e qualquer informações pessoais que acompanham sua conta.
Tudo em tudo se você eliminarhomem no meioataques do espectro você reduz muitos dos ataques potenciais, o que não quer dizer que seu site seja 'seguro'. Também política de zoneamentodeveajudam a protegê-lo contra ataques XSS, já que você fará uma alteração de zona se o usuário for redirecionado para fora do seu site.
Responder2
Os dados são vulneráveis em qualquer lugar ao longo do percurso, não apenas na primeira ou na última etapa. É perfeitamente concebível que um sistema envolvido na transferência procure nomes de usuários, senhas e outros dados confidenciais. Segue-se, portanto, que os dados confidenciais só devem viajar através de um link totalmente protegido e, claro, é exatamente para isso que serve o SSL. Dependendo dos dados envolvidos, pode haver leis locais que imponham o SSL.
Responder3
Existem servidores proxy que podem armazenar dados.
Mas também existe a obrigação de manter as senhas dos usuários seguras. Muitos usuários usam um conjunto limitado de senhas, portanto, um site inseguro pode comprometer a senha do seu homebank, por exemplo.
Responder4
Posso concordar com as reflexões de KevinM em responder às suas próprias perguntas, e John Gardeniers está apontando na direção correta. Também devo concordar com o que Silky disse, em "idealmente - o público em geral nunca faria login em um site que não tivesse uma tela de login baseada em SSL.", e ressalto que este não é, no entanto, o caso contemporâneo de forma alguma.
Discordo do tom de Silky (provavelmente não intencional), que leva à percepção onipresente de que “o público em geral” é estúpido. O cliente de KevinM claramente não tem noção da necessidade de SSL e, em poucas palavras, essa é uma pessoa comum. Eles não são estúpidos, simplesmente não sabem. Dizer “você precisa disso” será uma resposta ilícita: “Vivi x anos sem isso e viverei x mais muito bem”, ou talvez uma resposta ainda pior: “Odeio que me digam o que preciso ." Por isso tem cuidado!
Sua preocupação é legítima, Kevin. Seu cliente precisa de um certificado SSL. Acho que sua verdadeira preocupação deveria ser como vender um para eles. Não é apenas com os logins dos usuários que devemos nos preocupar, mas também com oadministradoreoperadorlogins que também se beneficiariam de serem protegidos por SSL.
Sim, há outras coisas com que se preocupar a esse respeito, ainda mais do que a detecção de pacotes, comoXSS. Eles são numerosos ebem documentado.