Вопросы по SSL

Question

У меня есть пара вопросов о SSL-сертификатах.

Я никогда не использовал их раньше, но мой текущий проект требует от меня этого.

Вопрос 1.

Где вы должны использовать SSL? Как я знаю, такие места, как вход в систему, сброс паролей являются определенными местами для его установки. Как насчет того, как они вошли в систему? Должны ли все запросы проходить через SSL, даже если данные в этой учетной записи не считаются конфиденциальными данными? Это замедлит SSL для важных частей? Или это ничего не меняет? (Хорошо, что у вас есть SSL, который может заставить все пройти, несмотря ни на что).

Вопрос 2.

Я знаю, что в smtp вы также можете включить SSL. Я предполагаю, что это было бы неплохо использовать, если ваша отправка скажет им пароль для отдыха.

Если я включу этот параметр, как я могу узнать, работает ли SSL? Например, как я узнаю, действительно ли он включен? Что произойдет, если на почтовом сервере не включена поддержка SSL, а у вас включено это логическое значение. Будет ли он отправлять его как не-SSL?

Answer 1

При SSL-соединении одной из самых дорогих (условно говоря) частей является установление соединения.Например, в зависимости от того, как он настроен, он может создать эфемерный (созданный на лету) ключ RSA для установления сеансового ключа.Это может быть несколько дорого, если многие из них должны создаваться постоянно.Если, однако, создание новых соединений менее распространено (и они используются в течение более длительных периодов времени), тогда стоимость может быть неактуальной.

Как только соединение установлено, дополнительная стоимость SSL не так уж велика, хотя она зависит от типа шифрования.Например, использование 256-битного AES для шифрования займет больше времени, чем 128-битный RC4 для шифрования.Недавно я провел некоторое тестирование с коммуникациями на одном ПК, где и клиент, и сервер передавали данные туда-сюда.Другими словами, коммуникации составили почти всю стоимость теста.Использование 128-битного RC4 добавило около 30% к стоимости (измеренной во времени), а использование 256-битного AES добавило почти 50% к стоимости.Но помните, это было на одном компьютере на петлевой адаптер.Если данные были переданы через LAN или WAN, то относительные затраты значительно меньше.Поэтому, если у вас уже установлено соединение SSL, я бы продолжил его использовать.

Что касается проверки того, что SSL действительно используется?Вероятно, существуют «официальные» способы проверки этого, использование сетевого анализатора - плохая версия.Я запустил Wireshark и прослушал сетевой трафик, сравнил не-SSL-соединение и SSL-соединение и посмотрел на необработанные данные.Я мог легко видеть необработанные текстовые данные в не-SSL версии, в то время как SSL «выглядел» зашифрованным.Это, конечно, ничего не значит.Но это показывает, что с данными что-то происходит.Другими словами, если вы думаете, что используете SSL, но можете распознать необработанный текст в сети, то что-то работает не так, как вы ожидали.Обратное, однако, неверно.То, что вы не можете прочитать его, не означает, что он зашифрован.

Answer 2

Прежде всего, SSL используется для шифрования связи между клиентом и сервером.Это делается с помощью открытого ключа, который используется для шифрования.По моему мнению, это хорошая практика, чтобы использовать его для всего, что имеет личную информацию или конфиденциальную информацию.Кроме того, стоит отметить, что существует два типа аутентификации SSL:

• One Way - при котором имеется один сертификат сервера - это самый распространенный
• TwoПуть - в котором есть сертификат сервера и сертификат клиента - клиент сначала проверяет подлинность сервера, а затем сервер идентифицирует идентификатор клиента - Например, DOD CAC

Си то, и другое, важно иметь обновленные, подписанные сертификаты от авторитетного ЦС.Это подтверждает подлинность вашего сайта.

Что касается вопроса 2, то да, вы должны использовать SSL через SMTP, если можете.Если ваши электронные письма направляются через ненадежный маршрутизатор, они могут быть перехвачены, если отправлены без шифрования.Я не уверен насчет вопроса «разрешено логическое значение».Я не верю, что настроить SSL так же просто, как установить флажок.

Answer 3

Пара человек уже ответили на ваш вопрос 1.

Однако для вопроса 2 я бы не охарактеризовал SMTP через SSL как защиту сообщения. Там может быть много точек, в которых сообщение выставлено. Если вы хотите защитить само сообщение, вам нужен S / MIME или что-то подобное. Я бы сказал, что SMTP через SSL более полезен для защиты ваших учетных данных SMTP, так что кто-то не сможет получить ваш пароль.

Answer 4

Используйте SSL для любых конфиденциальных данных, не только паролей, но и номеров кредитных карт, финансовой информации и т. Д. Нет смысла использовать его для других страниц.

В некоторых средах, таких как ASP.NET, разрешеноSSL используется для шифрования файлов cookie.Это полезно для любых файлов cookie, связанных с аутентификацией или идентификатором сеанса, поскольку они могут использоваться для подделки имен входа или воспроизведения сеансов.Вы можете включить их в web.config;по умолчанию они отключены.

В ASP.NET также есть опция, которая требует, чтобы все аутентифицированные страницы использовали SSL.Не-SSL запросы отбрасываются.Будьте осторожны с этим, так как это может привести к зависанию сеансов.Я бы не рекомендовал включать такие опции, если они вам действительно не нужны.

Извините, я не могу помочь с вопросами SMTP.