我正在嘗試說服客戶為需要登入的網站支付 SSL 費用。我想確保我正確理解某人可以看到正在發送的密碼的主要場景。
我的理解是，在沿途的任何一跳都可以使用資料包分析器查看正在傳送的內容。 這似乎要求任何駭客（或其惡意軟體/殭屍網路）與資料包到達目的地所需的任何躍點位於同一子網路中。是對的嗎？
假設此子網路要求的某些風格成立，我是否需要擔心所有躍點或僅擔心第一個躍點？第一個我顯然會擔心他們是否在公共 Wifi 網路上，因為任何人都可以監聽。 我是否應該擔心資料包將在其外部傳輸的子網路中發生的情況？ 我對網路流量了解不多，但我假設它流經主要運營商的資料中心，並且那裡沒有很多有趣的攻擊向量，但如果我錯了，請糾正我。
除了使用資料包分析器監聽的人之外，是否還有其他需要擔心的向量？
我是一個網路和安全菜鳥，所以如果我在其中使用了錯誤的術語，請隨時糾正我。
答案1
需要注意的是，其他人在這裡沒有提到的是，某些瀏覽器會快取您的表單資料。 SSL 網站上的預設行為通常是不快取任何內容，除非您選擇「儲存我的密碼」。通常密碼字段無論如何都不會緩存，但我看到了一些奇怪的情況（通常是信用卡信息，我知道這不是問題的主題）。
另一件需要注意的事情是 SSL 加密從 TCP 握手開始。一旦使用 SSL，您就無法區分 HTTP over SSL 和 FTP over SSL（除了透過連接埠號碼做出的假設）。
您也無法區分登入請求和「我只是瀏覽」請求，這會混淆潛在駭客的頁面流，並確保不僅您的密碼資料安全，而且您的瀏覽記錄/cookie資料/和任何與您的帳戶相關的個人資訊。
總而言之，如果你消除中間人您減少了許多潛在的攻擊，但這並不是說您的網站是「安全」的。還有分區政策應該協助保護您免受 XSS 攻擊，因為如果您的使用者被重新導向出您的網站，您將進行區域變更。
答案2
沿途任何地方的資料都容易受到攻擊，而不僅僅是第一階段或最後階段。可以想像，參與傳輸的系統會搜尋使用者名稱、密碼和其他敏感資料。因此，敏感資料只能透過始終受到保護的連結傳輸，當然這正是 SSL 的用途。根據所涉及的數據，當地法律很可能規定 SSL。
答案3
有可能儲存資料的代理伺服器。
但也有義務確保用戶密碼的安全。許多用戶使用一組有限的密碼，因此不安全的網站可能會洩露他們的家庭銀行密碼。
答案4
我同意 KevinM 對於回答自己的問題的思考，而 John Gardeniers 則指出了正確的方向。我還必須同意 Silky 所說的“理想情況下，公眾永遠不會登錄到沒有基於 SSL 的登錄畫面的網站。”，並指出這不是當代的情況根本不。
我不同意 Silky 的語氣（可能是無意的），這導致了人們普遍認為「公眾」是愚蠢的。 KevinM 的客戶顯然沒有 SSL 需求的概念，簡而言之，這就是普通人。他們並不傻，他們只是不知道。說“你需要這個”，會導致非法的反應，“沒有它我已經活了x 年了，而且我會再活x 年就好了”，或者甚至可能是更糟糕的反應，“我討厭別人告訴我我需要什麼」 」。所以，要小心！
你的擔憂是合理的，凱文。您的客戶確實需要 SSL 憑證。我認為你真正關心的應該是如何向他們出售一台。不僅需要關注用戶登錄，還需要關注行政人員和操作員登入也將受益於 SSL 的保護。