Esiste un rischio maggiore di navigare in siti Web con certificati non validi rispetto ai siti Web privi di certificato?

12

La comunità della sicurezza delle informazioni è generalmente molto irremovibile sul fatto che gli utenti non dovrebbero procedere a visitare siti Web che hanno certificati SSL non validi. I browser Web sono diventati sempre meno collaborativi con gli utenti che desiderano ignorare questi avvisi. Tuttavia, navigo regolarmente su siti Web che non hanno alcun certificato SSL.

Vedo che un certificato non valido è un'indicazione che potrebbe essere un attaccante attivo, ma per quanto ne sai, potrebbe esserci anche un attaccante attivo che ti bersaglia mentre esplori il testo in chiaro http, ma dovresti non ricevere alcun avviso al riguardo.

Mi espongo a un rischio maggiore sfogliando siti con certificati non validi rispetto ai siti senza alcun certificato?

    
posta Magnus 02.10.2017 - 11:25
fonte

2 risposte

5

Sì, i siti con certificati non validi espongono a rischi maggiori rispetto ai normali siti HTTP senza certificato, anche se solo leggermente di più.

In termini di sicurezza della connessione stessa, l'intuizione è corretta; un sito con un certificato non valido non è peggiore di un semplice sito HTTP. Infatti, nel caso (piuttosto insolito) in cui un utente malintenzionato è in grado di osservare passivamente la connessione ma non di modificarlo, un sito HTTPS con un certificato non valido è effettivamente buono quanto uno con un certificato valido. Tuttavia, contro attaccanti man-in-the-middle attivi, le connessioni HTTPS che utilizzano un certificato non valido non sono molto meglio di un semplice HTTP.

La sicurezza della connessione in sé non è l'unica considerazione qui però. Esistono altre importanti differenze tra la visita di un sito HTTP in testo semplice e un sito HTTPS con un certificato non valido che potrebbe rendere un po 'più rischioso quest'ultimo scenario.

Per uno, i siti che utilizzano connessioni HTTPS potrebbero avere maggiori probabilità di trasferire informazioni sensibili su quella connessione. I cookie contrassegnati con il contrassegno "Protetto", ad esempio, non verranno trasmessi su connessioni HTTP non crittografate, ma verranno trasmessi su connessioni HTTPS con un certificato non valido se si ignora l'avviso di sicurezza. Ciò significa che se hai effettuato l'accesso a un sito in precedenza quando utilizzava un certificato valido, ti è tornato in un secondo momento e utilizza un certificato non valido, ignorando l'avviso di sicurezza potresti immediatamente consentire a un utente malintenzionato di accedere al tuo account.

Inoltre, alcune delle più potenti funzionalità del Web sono, per ragioni di sicurezza, disponibili solo su siti che usa HTTPS . Se elimini l'avviso di sicurezza per un sito HTTPS con un certificato non valido, potresti dare a un utente malintenzionato l'accesso a queste funzionalità.

Ad esempio, un utente malintenzionato potrebbe installare un operatore del servizio per il sito a cui si sta accedendo, consentendo loro di controllare le comunicazioni future con quel sito anche se in seguito si ritorna ad accedere al sito tramite una connessione protetta con un certificato valido. Oppure, se in precedenza hai concesso a tale sito l'accesso all'API di geolocalizzazione, un utente malintenzionato potrebbe utilizzare tale accesso per monitorare la posizione GPS. Per un elenco completo di API accessibili solo sulle pagine HTTPS, consulta la sezione Funzionalità con restrizioni per la sicurezza contesti pagina su MDN.

Nel complesso, tuttavia, questi rischi aggiuntivi sono relativamente minori rispetto ai rischi che l'utilizzo di una connessione non protetta in primo luogo ti espone già. Devi fare attenzione quando navighi su semplici siti HTTP, proprio come faresti quando accedi ad un sito dopo aver ignorato un avviso di sicurezza, poiché entrambi questi scenari sono piuttosto rischiosi.

    
risposta data 03.10.2017 - 20:01
fonte
3

Bene, sì e no.  Sì, sei esposto a più rischi perché ignori i livelli di sicurezza del tuo browser per visitare la pagina con il certificato non valido, esponendoti a tutti i tipi di attacchi, ma ora hanno anche accesso a cose normalmente protette come "Solo SSL" .

No, una pagina non sicura è una pagina non sicura. TLS non cambia questo nel minimo e semplice HTTP ha tutti i tipi di possibili manipolazioni in transito. Tuttavia, il browser lo considererà non sicuro e non verrà caricato nel contenuto misto (senza un avviso).

Quindi, in conclusione, direi che sì ti esponi ad un rischio maggiore aggirando le caratteristiche di sicurezza.

    
risposta data 02.10.2017 - 11:39
fonte

Leggi altre domande sui tag