Accesso sicuro solo alle pagine di amministrazione senza HTTPS

1

Aggiungo il dashboard dell'amministratore a un sito Web che non utilizza HTTPS. Per ora solo quella sezione (admin) richiede l'autenticazione dell'utente.

Se utilizzo la password criptata + salata e controllo l'indirizzo IP del client per consentire l'accesso solo a un paio di IP-s, non sarà abbastanza sicuro?

  1. Gli attaccanti possono imitare l'indirizzo IP del client se intercettano la comunicazione di accesso originale?

Dopotutto devo implementare HTTPS (solo per la parte di amministrazione):

  1. Se il sito Web HTTP (non sicuro) utilizza HTTPS su alcune pagine, i browser o i motori di ricerca attivano gli avvisi indesiderati agli utenti che visitano solo le sezioni HTTP / non amministratore? Dato che il certificato SSL sarà autofirmato.

Modifica

Questa è una misura temporanea fino a quando l'intero sito ottiene la funzione di appartenenza utente e passa a all-https. Non voglio che il proprietario del sito paghi il certificato fino a quando il progetto non avanza davvero.

Anche con HTTPS solo sulla pagina di accesso dell'amministratore .. se la pagina non contiene collegamenti non sicuri ma altre pagine non sono sicure ... questa sarà la situazione qui.

Con "abbastanza sicuro" intendo di non perdere la password e di non alterare il sito. Il sito non è "popolare" per gli interessi degli hacker, ma qualcuno che gioca con alcuni strumenti di hacking per divertimento potrebbe essere ... Tutte le informazioni che l'amministratore sta aggiungendo al sito saranno comunque accessibili pubblicamente, solo in un modo piacevole e presentabile.

    
posta sny 05.12.2018 - 22:05
fonte

1 risposta

5

Probabilmente dovresti andare su HTTPS per l'intero sito web.

Se vuoi davvero avere un sito principale non sicuro, il modulo di accesso dovrebbe essere almeno su HTTPS, altrimenti un utente malintenzionato può semplicemente leggere il nome utente e la password dell'amministratore.

Non ne so molto sullo spoofing dell'indirizzo IP, ma sembra un sistema molto fragile che si romperebbe per l'allocazione IP dinamica, e non credo che fare affidamento su ciò sarà una buona idea.

IIRC, un sito pubblicato su HTTPS fornirà avvisi se le sottorisorse sono caricate su HTTP, ma non dall'altra.

Il problema con i certificati autofirmati è che l'utente dovrà aggiungere un'eccezione per fidarsi del certificato, quindi se c'è un attacco man-in-the-middle, è probabile che pensino che il cert debba essere di fiducia.

Stai molto meglio usando un servizio come Let's Encrypt , che è gratuito e può essere facilmente automatizzato, per il intero sito web. Riduci un sacco di rischi per i tuoi utenti in questo modo, sia per gli amministratori che per i non amministratori.

    
risposta data 05.12.2018 - 22:18
fonte

Leggi altre domande sui tag