Devo fornire download https?

Assolutamente, c'è un punto. HTTPS correttamente configurato include un controllo di autenticazione che garantisce che il server sia il sito che intendi. Più tecnicamente, conferma che il nome host specificato dal cliente (cioè: cosa c'è nella barra degli URL per la tua pagina) corrisponde al nome sul certificato SSL. Supponendo che la chiave privata di un sito non sia stata rubata, quando comunichi con HTTPS, sai con chi stai parlando e che non c'è uomo nel mezzo (MiTM). Non hai tale garanzia quando stai utilizzando HTTP dritto. Potresti parlare al sito di un utente malintenzionato o potrebbe esserci un MiTM che modifica ciò che il sito reale ti sta inviando.

Questa autenticazione HTTPS è l'opposto dell'autenticazione del sito Web poiché l'autenticazione SSL autentica il server sul client mentre l'autenticazione del sito Web autentica l'utente sul server. L'unica volta in cui l'autenticazione del sito Web sarebbe rilevante per un download potrebbe essere se si desidera limitare o altrimenti monitorare chi sta eseguendo il download.

Per aggiungere alla risposta di @ NeilSmithline, TLS (e quindi HTTPS) include anche due funzioni oltre all'autenticazione del server: crittografia (che garantisce privacy / riservatezza) e integrità (che garantisce che i dati non vengano manomessi). Entrambi possono essere molto importanti.

Per un sito di download, la rilevanza della crittografia dipende in realtà solo dal fatto che i file offerti per il download siano qualcosa che qualcuno, da qualche parte, potrebbe importare se qualcun altro lo scarica. Ad esempio, ho scaricato un sacco di cose classificate come "strumenti di hacking" perché il mio lavoro richiede l'uso di tali cose. Alcuni governi si oppongono alle persone che scaricano tali strumenti. TLS non renderà impossibile dire che ho visitato il sito - userei Tor, o qualcosa del genere, per questo - ma potrebbe darmi una plausibile negazione su ciò che ho scaricato dal sito.

L'integrità è molto più importante. Mentre molte persone non si rendono conto di ciò, la crittografia di per sé non fornisce integrità. Se c'è un aggressore man-in-the-middle tra me (il cliente) e te (il server che offre download), l'attaccante può modificare il contenuto dei miei download. A seconda dei cifrari utilizzati, ciò potrebbe potenzialmente accadere anche se il server è autenticato (il MitM non interferisce con l'handshake TLS, ma continua a guardare tutto) e il traffico di rete è crittografato (l'utente malintenzionato può capovolgere i bit nel testo cifrato, specialmente se stai usando un cifrario di flusso o un cifrario a blocchi in modalità contraria, e decifri il download per essere qualcosa di diverso da ciò che il server ha inviato). Questo potrebbe, ad esempio, essere utilizzato per iniettare malware nei tuoi download.

Puoi provare a fornire integrità senza utilizzare TLS, visualizzando la crittografia che digita (ad esempio, sha256sum) dei tuoi file. In teoria, se l'hash dei file del server corrisponde all'hash dei file del client, i file non sono stati manomessi. In pratica, se non si utilizza TLS, il client non ha modo di sapere qual è l'hash dei file del server! L'attaccante può modificare i digest allo stesso modo in cui possono modificare i download stessi, quindi quando ho cancellato il mio download e vedo che l'hash corrisponde, tutto ciò che mi dice è che il download corrisponde a ciò che l'hacker voleva che vedessi. (Inoltre, il controllo manuale degli hash richiede che l'utente si preoccupi di farlo, mentre TLS esegue tutti i controlli di integrità automaticamente e in modo trasparente, non dovrai mai fare nulla o addirittura vederlo accadere a meno che qualcosa non manchi i dati.)

Molti siti ignorano HTTPS durante il download del contenuto dal sito mirror. Poiché sappiamo che i siti Mirror sono utili quando il sito principale genera troppo traffico e il sito mirror aiuta gli utenti a ottenere rapidamente il contenuto. Se il sito utilizza HTTPS per il download di contenuti, ci sono pochi vantaggi per utenti come

• L'integrità del contenuto migliorerà, poiché il contenuto verrebbe scaricato su canali protetti controllando il checksum del contenuto. Molti siti come Microsoft offrono aggiornamenti sicuri per Windows sul canale sicuro. Attualmente, SHA-256 è il checksum ideale per la crittografia. Gli utenti hanno la certezza che il contenuto del download non è stato modificato.

• L'uso di HTTPS nei siti di download controllerà i link di download, i checksum, le firme e gli utenti non avranno scuse per scaricare applicazioni o altri contenuti.

• È mito che HTTPS aumenta le spese generali delle prestazioni, al contrario, la crescente capacità dell'hardware e del software del computer ha ridimensionato questo problema in una fase nominale.

• Il download HTTPS garantisce anche che gli utenti stiano parlando con il sito Web che intendeva fare. Quindi, non vi è alcun problema di attacco man-in-the-middle.

La maggior parte degli hacker nasconde malware nei siti di giochi o di intrattenimento in cui il traffico dell'utente è molto elevato e gli utenti sempre dopo aver scaricato il contenuto. Poche distribuzioni come Fedora, sistema operativo elementare offrono download HTTPS in un ambiente sicuro.