Perché i browser mettono in guardia sui certificati autofirmati ma non sul semplice HTTP (che non è nemmeno crittografato)? [duplicare]

Naviga le tue risposte
5

Facciamo breve:

  1. Su HTTP tutti possono ascoltare facilmente. Gli attacchi MITM non sono un problema.
  2. Nella HTTPS (self-signed) tutto è di almeno crittografato, è molto più difficile da MITM-attacco e solo i proprietari della chiave privata può ascoltare.
  3. Il HTTPS (non auto-firmato - > "di fiducia da parte del fornitore del browser") è come 2, ma l'illusione è creata che questo è di gran lunga più sicuro di self-signed, ma alla fine abbiamo dovuto fidarsi del Browser Vendor per non commettere errori (o essere corrotto)

Per quanto mi riguarda l'opzione 1 è di gran lunga meno sicuro di 2, ancora Browser lamentano HTTP non a tutti, ma di certificati autofirmati estremamente dure: parecchi scatti sono necessari per stabilire la connessione, otherise bloccano completamente la connessione con messaggi inquietanti . Perché è questo?

Naturalmente, conosco il motivo dei certificati: per assicurarmi che quello con cui stai parlando sia quello con cui vuoi davvero parlare. Ma su HTTP non hai la crittografia e non hai fiducia. Su HTTPS (autofirmato) hai almeno la crittografia.

Quindi, non dovrebbe essere proprio come il seguente?

  1. HTTP attiva l'errore "big fat red"
  2. HTTPS + autofirmato ha un'icona di avviso ma funziona regolarmente
  3. HTTPS + "certificato fidato" non emette alcun avviso

Quali sono i motivi qui?

    
posta Foo Bar 04.12.2015 - 18:04
fonte

1 risposta

7

Ti avvisano perché un certificato autofirmato potrebbe essere un segno di un attacco MITM in cui un utente malintenzionato sta tentando di indurti a inviare credenziali importanti con la scusa di una connessione sicura.

Il motivo principale per cui un browser non avverte del semplice HTTP è perché è troppo comune su Internet e sarebbe semplicemente noioso per la maggior parte degli utenti. Tuttavia, una cosa su cui i browser avvertono è se ci sono elementi di una pagina consegnati su HTTP in una pagina HTTPS (ad esempio quando una pagina carica elementi da una pagina diversa e li incorpora nella pagina).

Il motivo per cui i browser lanciano questi messaggi spaventosi per i certificati autofirmati è perché non vogliono che gli utenti inesperti aggiungano certificati casuali al proprio elenco di fiducia. Ancora una volta, qualcuno potrebbe connettere il MITM, inviare il loro certificato e fingere di essere il sito che si sta tentando di visitare. Sì, questo può essere fatto anche via HTTP, ma molti siti offrono almeno una pagina di accesso su HTTPS, quindi è vantaggioso per gli utenti se i browser controllano poiché potrebbero impedire che le tue credenziali vengano compromesse.

Inoltre, se le persone fanno certificazioni autofirmate potrebbero lavorare sotto falso senso di sicurezza. SSL non è l'idea più semplice e anche le aziende molto grandi ne hanno difficoltà, basta guardare come Dell ha incasinato il loro certificato. L'idea è di scoraggiare l'uso di certificati autofirmati, in modo che gli utenti possano avere il vantaggio di avere una terza parte che verifica la legittimità di un certificato.

La questione delle CA che sono irresponsabili con il loro potere è comunque un'altra questione e può causare problemi se prendono decisioni sulle teste delle ossa .

    
risposta data 04.12.2015 - 18:16
fonte

Leggi altre domande sui tag

SAQ A-EP Requisiti per l'hosting VPS Vi sono casi in cui gli script dannosi sui siti Web hanno violato la sandbox di un browser in modo da poter accedere ai file sul computer dell'utente?