Nếu tôi xem một trang web có chứng chỉ SSL không dấu hoặc tự ký, trình duyệt của tôi sẽ đưa ra cảnh báo. Tuy nhiên, cùng một trình duyệt không có vấn đề gì cho phép thông tin đăng nhập được gửi qua các trang không bảo mật.
Tại sao chứng chỉ tự ký lại bị đối xử tệ hơn là không có chứng chỉ?
Câu trả lời:
Có rất nhiều người cảm thấy rằng hệ thống này bị hỏng.
Đây là logic đằng sau lý do tại sao trình duyệt của bạn sẽ đưa ra cảnh báo đáng báo động như vậy khi chứng chỉ SSL không hợp lệ:
Một trong những mục đích thiết kế ban đầu của cơ sở hạ tầng SSL là cung cấp xác thực các máy chủ web. Về cơ bản, nếu bạn truy cập www.bank.com, SSL cho phép máy chủ web phản hồi để chứng minh rằng trên thực tế, nó thuộc về ngân hàng của bạn. Điều này ngăn một kẻ mạo danh thao túng DNS hoặc sử dụng một phương pháp khác để có một máy chủ độc hại phản hồi.
"Tin cậy" trong SSL được cung cấp bằng cách yêu cầu bên thứ ba đáng tin cậy (các công ty như VeriSign và Thawte Consulting) ký chứng nhận, cho biết rằng họ đã xác minh rằng nó thuộc sở hữu của người đó (theo lý thuyết bằng cách truy cập quản trị viên CNTT người hoặc phương pháp khác tạo niềm tin trực tiếp, mặc dù bằng chứng cho thấy họ thực sự khá lỏng lẻo về điều đó - tất cả những gì cần có để có chứng chỉ SSL đã ký thường là 800 số và một chút kỹ năng diễn xuất).
Vì vậy, nếu bạn kết nối với máy chủ web cung cấp chứng chỉ SSL, nhưng nó không được ký bởi bên thứ ba đáng tin cậy, theo lý thuyết, điều này có thể có nghĩa là bạn đang liên lạc với một kẻ mạo danh giả danh là máy chủ thuộc một tổ chức khác .
Trong thực tế, chứng chỉ tự ký thường chỉ có nghĩa là tổ chức chạy máy chủ đã chọn không trả tiền cho chứng chỉ đã ký (chúng có thể khá đắt, tùy thuộc vào các tính năng bạn muốn) hoặc thiếu chuyên môn kỹ thuật để định cấu hình ( một số giải pháp doanh nghiệp nhỏ cung cấp cơ chế một lần nhấp cho chứng chỉ tự ký, nhưng để có được chứng chỉ tin cậy đòi hỏi nhiều bước kỹ thuật hơn).
Cá nhân tôi tin rằng hệ thống này đã bị hỏng và việc liên lạc với máy chủ không cung cấp mã hóa sẽ nguy hiểm hơn nhiều so với giao tiếp với máy chủ cung cấp SSL với chứng chỉ tự ký. Có ba lý do trình duyệt không hành động như thế này là trường hợp:
Gửi thông tin đăng nhập từ trang này sang trang khác về cơ bản là thực hiện HTTP POST. Không có gì đặc biệt về việc gửi thông tin đăng nhập so với gửi, ví dụ: Tìm kiếm thông qua POST. Nếu bất kỳ bài đăng nào đến trang không an toàn sẽ kích hoạt cảnh báo, người dùng sẽ bị bắn phá bởi các cảnh báo vô nghĩa.
Sử dụng kênh bảo mật cho thấy ý định của lập trình viên để bảo đảm việc chuyển tiền. Trong trường hợp này, sử dụng cảnh báo chứng chỉ tự ký là điều rất đúng đắn.
Tôi không thể nhận xét, vì vậy tôi sẽ đăng thông tin này bổ sung cho thông tin chính xác của user40350.
Tuy nhiên, cùng một trình duyệt không có vấn đề gì cho phép thông tin đăng nhập được gửi qua các trang không bảo mật.
Điều đó thực sự không đúng. Hầu hết các trình duyệt sẽ hiển thị cảnh báo như bạn sắp gửi dữ liệu qua kết nối không bảo mật khi bạn thử lần đầu tiên, nhưng bạn có thể tắt nó để nó không bao giờ hiển thị nữa và tôi cá rằng đó chính xác là những gì bạn đã làm ...
Miro A đã viết:
Gửi thông tin đăng nhập từ trang này sang trang khác về cơ bản là thực hiện HTTP POST. Không có gì đặc biệt về việc gửi thông tin đăng nhập so với gửi ví dụ: Tìm kiếm thông qua POST
Điều này cũng không chính xác, vì các trường mật khẩu là các thẻ html đặc biệt chẳng hạn. Trên hết, các nhãn như "tên người dùng" và "mật khẩu" cũng phản bội rất nhiều sự nhạy cảm của họ. Nó sẽ là hoàn toàn khả thi cho các trình duyệt để xem xét loại thông tin này.
Các kết nối được bảo mật bởi giao thức https: // được trình duyệt chỉ ra là "được bảo mật". Ví dụ: một Padlock nhỏ được hiển thị hoặc các phần của URL được đánh dấu màu xanh lá cây.
Do đó, người dùng phải tin tưởng rằng các trang anh ta đang truy cập thực sự là từ URL anh ta đã nhập và không phải từ người khác.
Nếu anh ta không sử dụng https: //, người dùng phải biết rằng dữ liệu đã nhập không được bảo vệ và trang web anh ta đang lướt có thể bị đánh cắp.
Chứng chỉ tự ký không đảm bảo - không mong đợi, rằng trang được lướt tới không bị mạo danh, do đó nó không bảo mật thêm.
Một sự khác biệt phải được thực hiện giữa một người đáng tin cậy (được ký bởi một cơ quan mà bạn tin tưởng) và chứng chỉ không đáng tin cậy. Nếu không, ai đó có thể mạo danh ngân hàng của bạn (ví dụ) bằng cách sử dụng chứng chỉ tự ký với sự miễn cưỡng tương đối.
Một cảnh báo trong khuôn mặt của bạn là thích hợp hơn một cảnh báo tinh tế trong trường hợp này bởi vì rủi ro tiềm ẩn là tương đối cao. Mọi người có thể nhấp vào liên kết https và thậm chí không nghĩ rằng ai đó có thể đang ngồi ở giữa theo dõi kết nối. Nếu dấu hiệu cho thấy chứng chỉ không đáng tin cậy là tinh tế (giả sử biểu tượng màu đỏ thay vì màu xanh lá cây, v.v.), thì mọi người có thể dễ dàng bị lừa, loại bỏ các lợi ích của SSL.
Nhiều lý do tốt đã được liệt kê. Đây là một trong những:
Hãy suy nghĩ về các trường hợp trong đó một trang web an toàn nhúng các yếu tố từ một trang khác. Kẻ tấn công có thể phát hiện những yêu cầu nào dành cho trang web bên ngoài (giả sử bằng cách xem xét thời gian, nó phải đến trước) và những yêu cầu nào dành cho các yếu tố bên trong. Anh ta có thể tự tiêm như một MITM chỉ trong các yếu tố bên trong, sử dụng chứng chỉ tự ký và kiểm soát các phần của trang. Trừ khi có cảnh báo cho các thành phần bên trong sử dụng SSL nhưng không sử dụng chứng chỉ tin cậy, bảo mật của trang bên ngoài sẽ bị tổn hại.
Đây là một ví dụ thực tế. Giả sử tôi là nhà cung cấp và tôi có liên kết 'thanh toán bằng PayPal'. Bạn bấm vào đó, và tôi biết. Tôi chuyển hướng bạn đến PayPal và cho phép bạn có được trang PayPal hợp pháp, an toàn. Nếu tôi đang xem mạng của bạn, tôi biết đó sẽ là yêu cầu đầu tiên của bạn từ PayPal và ngay sau đó bạn sẽ gửi mật khẩu của mình. Vì vậy, tôi MITM submitchứa địa chỉ email và mật khẩu của bạn, thay thế chứng chỉ tự ký của tôi cho PayPal.
Bạn thấy làm thế nào bảo mật của trang bên ngoài bị tổn hại bằng cách không cảnh báo nếu chứng chỉ của trang bên trong là tự ký? Vì vậy, nó phải cảnh báo về các chứng chỉ tự ký đến từ các liên kết.
Và, tất nhiên, nếu bạn nhập httpsthủ công, nó phải cảnh báo bạn. Bởi vì bạn mong đợi nó được an toàn.
Khi người đàn ông trong cuộc tấn công giữa được thực thi trong trang web https: // , cảnh báo chỉ là dấu hiệu của một cái gì đó sai đối với người dùng trung bình. Do đó, đây là một phần rất quan trọng trong bảo mật HTTPS.
Câu hỏi hay là tại sao mã hóa không an toàn một phần là ví dụ không thể có trên HTTP.