Почему бы не использовать HTTPS для всего? - PullRequest
123 голосов
/ 30 апреля 2010

Если я настраивал сервер и имел сертификаты SSL, почему бы мне не использовать HTTPS для всего сайта, а не только для покупок / входов в систему? Я думаю, что было бы более разумно просто зашифровать весь сайт и полностью защитить пользователя. Это предотвратит такие проблемы, как принятие решения о том, что должно быть защищено, потому что все будет, и это на самом деле не доставляет неудобств пользователю.

Если я уже использовал HTTPS для части сайта, почему бы мне не использовать его для всего сайта?

Это связанный вопрос: Почему https используется только для входа в систему? , но ответы не являются удовлетворительными. Ответы предполагают, что вы не смогли применить https ко всему сайту.

Ответы [ 16 ]

0 голосов
/ 20 ноября 2013

Windows Server 2012 с IIS 8.0 теперь предлагает SNI, который является указателем имени сервера, который позволяет размещать несколько веб-приложений SSL в IIS на одном IP-адресе.

0 голосов
/ 23 июня 2010

Еще одна небольшая точка (может быть, кто-то может проверить): если пользователь вводит данные в элемент формы, такой как текстовое поле, а затем по какой-то причине обновляет страницу, или на секунду происходит сбой сервера, данные вводятся пользователем теряется с использованием HTTPS, но сохраняется с использованием HTTP.

Примечание. Я не уверен, относится ли это к конкретному браузеру, но это, безусловно, происходит с моим браузером Firefox.

0 голосов
/ 30 апреля 2010

Мне сказали, что в одном проекте нашей компании они обнаружили, что пропускная способность, занимаемая сообщениями SSL, была значительно больше, чем для простых сообщений. Я полагаю, что кто-то сказал мне, что это было в 12 раз больше данных. Я сам не проверял это, и это звучит очень высоко, но если на каждой странице есть какой-то заголовок, а на большинстве страниц небольшое количество контента, это может быть не так уж далеко.

Тем не менее, хлопотно ходить туда-сюда между http и https и отслеживать, какие страницы кажутся мне слишком большими усилиями. Я только однажды попытался создать сайт, который бы смешивал их, и мы в итоге отказались от плана, когда нас запутали сложные вещи, такие как всплывающие окна, созданные Javascript, с неправильным протоколом, прикрепленным к ним, и тому подобное. Мы закончили тем, что сделали весь сайт https менее трудным. Я предполагаю, что в простых случаях, когда у вас есть только экран входа в систему и экран платежей, которые необходимо защитить, и они являются простыми страницами, смешивать и сопоставлять не составит большого труда.

Я бы не стал сильно беспокоиться о бремени, которое клиент может расшифровать. Обычно клиент будет тратить гораздо больше времени на ожидание поступления данных по проводам, чем на его обработку. До тех пор, пока пользователи не будут регулярно подключаться к Интернету через гигабит / с, вычислительная мощность клиента, вероятно, не имеет значения. Мощность ЦП, запрашиваемая сервером для шифрования страниц, является другой проблемой. Вполне могут быть проблемы, связанные с тем, что они не успевают за сотнями или тысячами пользователей.

0 голосов
/ 30 апреля 2010

https требует, чтобы сервер шифровал и расшифровывал клиентские запросы и ответы. Влияние на производительность будет увеличиваться, если сервер обслуживает много клиентов. Вот почему большинство современных реализаций https ограничиваются только аутентификацией по паролю. Но с увеличением вычислительной мощности это может измениться, ведь Gmail использует SSL для всего сайта.

0 голосов
/ 30 апреля 2010

Ну, очевидная причина - производительность: все данные должны быть зашифрованы сервером перед передачей и затем расшифрованы клиентом при получении, что является пустой тратой времени, если нет конфиденциальных данных. Это также может повлиять на объем кэширования вашего сайта.

Это также может сбить с толку конечных пользователей, если все адреса используют https://, а не знакомые http://. Также смотрите этот ответ:

Почему не всегда использовать https при включении файла js?

0 голосов
/ 30 апреля 2010

В дополнение к ответу WhirlWind вы должны учитывать стоимость и применимость сертификатов SSL, проблемы с доступом (возможно, хотя и маловероятно, что клиент не сможет установить связь через порт SSL) и т. Д.

Использование SSL не является гарантией безопасности. Этот тип защиты должен быть встроен в архитектуру приложения, а не пытаться полагаться на какую-то волшебную пулю.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...