Sto lavorando su un server locale per repository Linux. Abbiamo utilizzato HTTPS senza la verifica SSL per stabilire una connessione tra il server e gli agenti. Esistono davvero differenze tra l'utilizzo di HTTPS con la verifica SSL disattivata e l'utilizzo del semplice vecchio HTTP?
Per estrarre informazioni sensibili dal semplice vecchio sniffing passivo HTTP è sufficiente ed è anche possibile solo acquisire passivamente i dati e analizzarli in seguito. Per estrarre la stessa quantità di informazioni da SSL (HTTPS) è necessario un uomo attivo nell'attacco centrale per creare una connessione SSL tra l'attaccante e il client e un'altra tra l'attaccante e il server. La convalida del certificato consente al client di rilevare tale attacco prima che i dati vengano trasmessi, anche se i certificati non sono validati correttamente l'aggressore deve comunque eseguire un attacco MITM attivo e il rilevamento passivo dei dati crittografati non è sufficiente.
Se un attacco così attivo è effettivamente più difficile di uno sniffing passivo dipende dal tuo ambiente specifico.