Ha ancora senso crittografare i dati su SSL? [duplicare]

Question

Ha ancora senso crittografare i dati su SSL? [duplicare]

#1 da (3 voti)
#2 da (1 voti)

1

Comprendo che le connessioni SSL hanno già il suo livello di crittografia per proteggere i dati trasmessi tra un client e un server.

Supponendo che la mia connessione abbia SSL, ha ancora senso per me crittografare i dati che vengono trasferiti tra un client e un server usando le chiavi?

Ad esempio, potrei inviare e chiamare un'API REST con informazioni sensibili. Posso semplicemente inviarli in chiaro su HTTPS? Credo che questo dovrebbe già essere sicuro con SSL giusto?

O dovrei comunque crittografare i dati sensibili prima di inviarli? Ma ha ancora senso raddoppiare i dati perché sono già su una connessione HTTPS?

encryption tls

posta xenon 10.05.2017 - 15:44

fonte

2 risposte

1

Se il server e del client possono essere autenticati e il client è autorizzato ad accedere ai dati, la crittografia dei dati non fornisce alcuna sicurezza aggiuntiva.

Tuttavia, se il canale di comunicazione potrebbe essere compromesso (ad esempio attraverso un server proxy che agisce come un uomo nel mezzo) i dati potrebbero essere a rischio. L'autenticazione corretta del server sul lato client (ad esempio il blocco dei certificati) può impedirlo.

risposta data 10.05.2017 - 15:49

fonte

Leggi altre domande sui tag encryption tls

Intruso che gioca con la mia connessione domestica? Come analizzare i pacchetti inviati dal controller in Wireshark?

score 3 · Accepted Answer

Dipende principalmente dai rischi che vuoi mitigare. Se è possibile (ragionevolmente) fidarsi di tutte le informazioni disponibili sul server e se non è necessario proteggere questi dati da un proxy di ispezione approfondita aziendale, è possibile considerare attendibile il livello di crittografia SSL / TLS.

Normalmente, devi solo aggiungere un altro livello di crittografia nei seguenti casi d'uso:

sei al lavoro dietro un proxy aziendale con ispezione approfondita dei pacchetti e i dati sono abbastanza sensibili da richiedere l'occultamento al team di supporto della rete locale
i dati non dovrebbero mai essere in forma decrittografata sul server. Può essere utilizzato se non ci si può fidare del team di amministratori del server

Un esempio di quest'ultimo caso d'uso è lo scambio di mail crittografate S / MIME. Continui a utilizzare TLS per proteggere la comunicazione (principalmente le credenziali) ma solo il destinatario finale sarà in grado di leggere il messaggio: l'amministratore del server di posta trova solo un payload criptato.