Can TLS fornisce integrità / autenticazione senza riservatezza

Question

Can TLS fornisce integrità / autenticazione senza riservatezza

#1 da (4 voti)
#2 da (3 voti)

4

È stato un po 'strano che Wikipedia sia passato a TLS perché sappiamo tutti che le informazioni pubbliche sono a disposizione di chiunque, ma suppongo che il vero scopo sia quello di fornire autenticazione / integrità in modo che nessuno possa manomettere gli articoli in transito come cinese o altri governi. Guardando le informazioni sul certificato nel browser Chrome, vedo che usano AES per la crittografia. Perché è necessario, dal momento che è possibile fornire solo integrità senza riservatezza che salverà molte risorse.

È un problema con TLS che non consente di selezionare None o qualcosa come ciphersuite?

O ci sono altre considerazioni a cui non ho pensato?

authentication tls confidentiality integrity

posta Ilya Chernomordik 24.08.2015 - 20:51

fonte

2 risposte

4

Esistono un paio di pacchetti di crittografia che forniscono l'integrità e l'autenticazione del server ma non la crittografia (ad esempio TLS_RSA_WITH_NULL_SHA256). Tuttavia, nessun browser li supporta, proprio perché non offrono la crittografia, quindi richiedono una sorta di interfaccia utente per consentire all'utente di decidere se il sito che vuole raggiungere richiede la crittografia o meno. Dal punto di vista dell'usabilità, ciò sarebbe inopportuno; inoltre, gli utenti sono notoriamente cattivi nel prendere decisioni di sicurezza informate.

Per questi motivi, i browser supportano solo suite di crittografia con crittografia avanzata. Questo non è un problema nella pratica, perché il costo computazionale della crittografia in quel contesto è per lo più trascurabile (anche uno smartphone anemico può crittografare i dati dieci volte più velocemente di quanto possa scaricarlo).

risposta data 20.12.2015 - 12:09

fonte

Leggi altre domande sui tag authentication tls confidentiality integrity

Come affidarsi a una CA per firmare un CRL ma non un certificato? In NodeJS, qual è un buon modo per garantire che i dati inviati dall'utente nei moduli (di inserimento del testo) non siano dannosi?

score 3 · Accepted Answer

In teoria, sì, TLS / SSL può fornire integrità e autenticazione senza riservatezza: puoi usare " NULL "famiglie di codici , che non eseguono alcuna crittografia, ma eseguono il controllo e l'autenticazione dell'integrità. Nota il "in teoria". In pratica nessuno abilita i codici NULL per i loro server o client.

Per quanto riguarda il caso specifico di Wikipedia, TLS viene utilizzato per nascondere ciò che stai cercando. Immagina cosa succederebbe se il tuo capo / la polizia / il tuo coniuge scoprissero che stavi leggendo The Turner Diaries , sintesi della metanfetamina , o confronto degli appuntamenti online siti web .