Google si sta esagerando costringendomi a utilizzare TLS?

Non si tratta solo di tu . Forzando agli utenti di utilizzare TLS , stanno creando un ambiente più sicuro per tutti .

Senza l'applicazione rigorosa di TLS, gli utenti sono soggetti a attacchi come sslstrip . Essenzialmente, creare connessioni non crittografate e un'opzione porta alla possibilità che gli utenti costringano a forzare le connessioni non crittografate .

Ma non è tutto. Richiedere TLS è il primo passo verso l'implementazione di HSTS sul dominio google.com. Google fa già l'applicazione di HSTS opportunistica, vale a dire che non richiede richiede TLS, ma limitano i certificati che possono essere utilizzati su Google.com (nb: questa tecnica è ora chiamato HPKP) . Questo è un miglioramento, ma non è in definitiva una soluzione.

Per l'applicazione HSTS completa, è necessario assicurarsi che la richiesta di TLS su tutti i servizi Google all'interno del dominio non interrompa necessariamente le soluzioni di terze parti. Una volta attivata, l'applicazione non può essere disattivata facilmente. Quindi spostando i servizi uno ad uno per una rigorosa applicazione TLS, stanno aprendo la strada per rendere l'applicazione HSTS in tutto il dominio una realtà.

Una volta che questa applicazione è in vigore, i browser si rifiuteranno semplicemente di connettersi a Google tramite una connessione non protetta o compromessa. Spedendo questa impostazione nel browser stesso, l'elusione diventerà effettivamente impossibile.

Disclaimer: I work for Google now but I didn't work for Google when I wrote this. This is my opinion, not Google's (as should be immediately clear to anyone with a basic understanding of chronology).

Lasciatemi riformulare la tua domanda con alcuni dettagli aggiuntivi, che sono impliciti ma forse non ovvi per tutti:

"Google non è Evil di fornendomi un servizio di posta elettronica gratuito e gigabyte di spazio di archiviazione costringendomi a una connessione sicura quando accedo a quel servizio che hanno generosamente concesso a io e che nessuno mi obbliga a usare anche se non voglio essere sicuro? Se è solo il mio account sui loro server e mi viene dato gratuitamente, basandomi solo sui loro termini d'uso per che ho concordato , non dovrei essere l'unico a decidere cosa dovrebbe accadere con i server THEIR e se garantirmi o meno con una tecnologia i cui costi sono interamente lato server e senza alcuno svantaggio per me ? "

Davvero, il coraggio che hanno su Google!

Commento: le reazioni contro Google a tale riguardo assomigliano a riflessi istintivi: automatiche, mirate in modo imperfetto e non coinvolgono affatto il cervello.

Se Google vuole che il contenuto dei loro server sia trasferito in modo sicuro, ciò è interamente a loro discrezione, anche se tale contenuto è la tua casella di posta elettronica.

In effetti, no, Google non è malvagio con questo, per niente.

La prima cosa importante a questo proposito è che l'uso della connessione sicura è non una preferenza utente o qualche impostazione personalizzata . Alcune persone potrebbero trovare questo confuso perché hanno familiarità con un sistema solo dalla posizione di un utente finale . Essendo io stesso uno sviluppatore di software, posso dirti che la sicurezza viene eseguita a livello di livello di applicazione e interessa tutti gli utenti del sistema. Non c'è modo di imporre tecnicamente la sicurezza dell'autenticazione in base alla scelta dell'utente senza compromettere la sicurezza dell'intero sistema e tutti gli altri utenti, la maggior parte dei quali potrebbe fare affidamento sulla protezione dei dati dei propri sistemi. Eppure, se è possibile, mi piacerebbe sicuramente sapere come.

La scelta logica per Google, in qualità di fornitore di servizi pubblici, consiste nel creare un ambiente sicuro per tutti i suoi utenti. Non è a scopo di sicurezza solo per gli utenti, ma anche per l'azienda. Immagina, se qualcuno diventa vittima di una violazione della sicurezza, e spara una causa contro Google, e dimostra che sono loro i responsabili? Questo potrebbe accadere se non prendessero le misure standard per proteggere i dati degli utenti e potrebbero dover affrontare in tribunale un'intera comunità di utenti arrabbiati. Non usare HTTPS è un esempio per una cosa del genere - chiunque può intercettare la tua richiesta web e vedere le informazioni come un testo semplice. I dati dell'utente di Google sono sensibili. Sembra un semplice indirizzo email e una password, ma questi due elementi formano una chiave per tutti i tuoi contatti, corrispondenza e servizi Google personalizzati.

Inoltre, Google è un provider OpenID, il che significa che la stessa password utente (quella dell'account Google) può essere utilizzata per autenticare i sistemi esterni (come il siti nella rete StackExchange, inclusi questo, YouTube, Disqus, Picasa e molti altri sistemi popolari). È difficile per me immaginare che si preferirebbe avere la sua "chiave" per molti account e servizi non protetti.

In generale, questa è una misura dei requisiti tecnici, piuttosto che l'applicazione sulle preferenze dell'utente. Personalmente, non mi fiderei mai di un sistema che non imponga le minime condizioni di sicurezza come la connessione e l'autenticazione sicure, quando si tratta di e-mail, pagamenti online e altri servizi che funzionano con i miei dati privati .

Il male che ti costringe a usare una connessione sicura?

No, non penso che sia malvagio. Protegge la comunità in generale senza alcun svantaggio come individuo.

Penso che sia il solo male se ti costringono a usare SSL / TLS, quindi non riesci a usare la segretezza in avanti, dando così a te e a tutti gli altri che usano il servizio un falso senso di la sicurezza.

Senza la segretezza, la tua sessione può essere archiviata per un periodo di tempo indeterminato, la chiave privata successivamente ottenuta (con qualsiasi mezzo, ingegneria sociale, furto, governo) e la tua sessione precedente decrittografata.

Con la segretezza e le chiavi effimere, questa preoccupazione è seriamente mitigata.

Chi può enumerare gli aspetti negativi dell'utilizzo di una connessione SSL / TLS? Chiunque? : -)

Lì possono essere problemi di prestazioni, ma in realtà solo se il sito Web è progettato male in modo che richieda molte e nuove connessioni per servire i contenuti di una pagina. Anche questo tipo di design avrà un grave impatto negativo su una normale sessione HTTP non protetta.

Il colpo di prestazioni di HTTPS è praticamente tutto nell'handshake di connessione dato che ci vogliono più round trip e un po 'di cifratura asimmetrica ad alta intensità di calcolo per ginare la chiave di sessione simmetrica sul server e decodificarla sul client (crittografia asimmetrica è molto costoso rispetto alla crittografia simmetrica).

Il costo di calcolo della crittografia e della decrittografia dei dati della sessione effettiva con un codice simmetrico dopo lo scambio di chiavi iniziale è trascurabile.

Che cosa fa costare una sessione SSL / TLS applicata? Esatto, onestamente non credo che ci sia un costo misurabile per te.

È triste che la prima reazione delle persone sia quella di difendere Google usando l'errore "NON DEVI usarlo". Per quanto riguarda la transazione di denaro, non pensi che le tue informazioni personali che vendono agli inserzionisti abbiano un valore di monitoraggio? Google non è gratuito, richiede comunque un pagamento che la maggior parte delle persone non si rende nemmeno conto di fare.

Ora, per rispondere alla domanda, non penso che siano eccessivi o "cattivi" per averlo fatto. Che cosa succede se cerchi informazioni che potrebbero danneggiare gli altri se sono trapelate (ad esempio, su un argomento come "come faccio a trattare l'herpes di mia figlia"), o cosa succede se stai inviando un'email a un'altra persona che vuole essere protetta. Dovrebbe dipendere da te se ciò che viene inviato è crittografato o meno? Potresti non interessarti alla sicurezza, ma gli altri lo fanno, ed è solo end-to-end se entrambi i fini effettivamente rafforzano la sicurezza. Tuttavia, preferirei che Google fornisse un metodo per utilizzare le connessioni non TLS se ci sono ancora dispositivi che usano Google ma che sono troppo affamati di memoria / risorse / entropia per stabilire una connessione sicura.

Google protegge non solo te e i tuoi dati, ma anche loro stessi.

La stragrande maggioranza degli utenti di Internet là fuori non conosce la sicurezza e non se ne preoccupa. Quando offri un percorso insicuro qualsiasi come fallback, l'utente lo usa e se è un vero man-in-the-middle rompe tutto il resto.

Se il tuo account è compromesso, non è solo un problema per te e i tuoi dati, ma anche per Google :

• Le email di spam potrebbero essere inviate usando i loro servizi
• La credibilità di Google per l'autenticazione (Single Sign-On) risentirà
• Un utente malintenzionato potrebbe utilizzare in modo improprio servizi, comportando costi (per Google) che potrebbero non essere in grado di ottenere un compenso per
• Il recupero dell'account richiede l'interazione manuale, che comporta costi

La sicurezza può anche essere una questione di risparmio di denaro.

Google è stato malvagio per aver richiesto di utilizzare il protocollo HTTP anziché il protocollo Gopher? Non credo che la maggior parte della gente sostenga che lo fosse. Ma se richiedere l'uso di un protocollo rispetto ad un altro non è malvagio, allora perché sarebbe male in questo caso particolare: avvolgere SSL su HTTP?

Le mani di Googles sono legate. Google non lo sta facendo per proteggerti. Lo stanno facendo per proteggersi. Non vogliono che gli altri facciano casino con le tue cose perché lo stanno portando per te, e hanno un sacco di obblighi legali che vengono con l'hosting di roba di altre persone. Sono obbligati a impedire che qualsiasi account venga utilizzato in un modo che crea un problema agli altri.

Come altri dicono, normalmente non hai nulla da perdere usando la crittografia anziché la non crittografia, anche se pensi di non aver bisogno di crittografia.

Ma se vuoi davvero accedervi senza crittografia (forse per dimostrare a qualcuno che osserva la tua linea che non stai facendo nulla di male), potresti configurare un server HTTP, che a sua volta si connette a Google tramite HTTPS, e inoltra tutto richieste e risposte (opportunamente adattate).

Dovresti modificare il logo e parte del testo in modo che non sembri che tu stia utilizzando direttamente Google. E dovresti pensare di usare HTTPS almeno per la procedura di accesso.

Questo dovrebbe funzionare per ogni server "malvagio" che supporta solo HTTPS.

TL; DR: È meglio, ma non è abbastanza buono.

La possibilità di avere una connessione TAPpata rispetto ai costi di questo tipo di sicurezza è ovvia e non richiede ulteriori considerazioni rispetto a "sì, questo è necessario".

È fondamentale ricordare che SSL potrebbe non essere perfetto e che le implementazioni sono molto improbabili da impermeabilizzare. Inoltre, specialmente in un caso come Google, la tua privacy e il tuo segreto non vengono conservati utilizzando SSL.

In effetti, l'unico rischio che Google impedisce è forme di spionaggio da parte di attori non abbastanza potenti da sovvertire il tuo computer, Google o SSL. Potrebbe anche aumentare lo sforzo per altri attori.

Non impedisce tutti i tipi di SSLStrip, come SSLstrip può fare durante il rielaborazione del trasporto o anche i reindirizzamenti. Un utente comune non noterà la mancanza di un piccolo blocco SSL. Un po 'di magia in più potrebbe anche riportare un nuovo blocco di sicurezza.

Forse dovrebbero offrire un'opzione per disabilitare SSL se necessario. Forse ci sono alcune restrizioni di crittografia in alcuni paesi o requisiti di rete che impedirebbero agli utenti di accedere al servizio. Riesco a vedere alcune attività e il valore dell'utente per fornire opzioni non sicure, ma le impostazioni predefinite dovrebbero essere sicure.

Tuttavia, Google probabilmente l'ha presa come decisione aziendale e tu sei vincolato dai termini del loro servizio. Google crittografa sempre altre informazioni, come i risultati di ricerca quando sei connesso, quindi i server di registro e le statistiche non possono leggere le parole chiave della tua ricerca. Se non si è soddisfatti del servizio fornito (troppa poca o troppa sicurezza) è sempre possibile cambiare fornitore. Nel caso dell'e-mail, è banale utilizzare IMAP per estrarre i dati e importarli altrove.

Non credo che abbiano consentito l'accesso IMAP / POP senza crittografia neanche da qualche tempo.