rubycas CAS over ssl, сайты через non-ssl

Question

Я пытаюсь определить, на какую угрозу безопасности я смотрю когда у меня сам rubycas работает через https, но мои реальные сайты работает под http. причина, по которой я столкнулся с этой проблемой, заключается в том, что сайты разворачиваются на героку, а значит ssl либо реально дорогой или действительно боль.

В дополнение к данным для входа я также передаю пользовательские списки (авторизация) для каждого сайта, который затем сохраняется в сеансе.

Любой вклад приветствуется.

Answer 1

Проблема этого подхода заключается в том, что ни sessionid (url или cookie), ни обмениваемые данные не шифруются.Поэтому данные могут быть прочитаны и обработаны как на пути от сервера к пользователю, так и на пути от пользователя к серверу.

Даже пассивный злоумышленник которые могут просто перехватывать трафик, не имея возможности манипулировать им, могут создавать урон: злоумышленник может просто скопировать sessionid в свой браузер.Общедоступные беспроводные соединения часто используют прозрачный прокси-сервер, поэтому и злоумышленник, и жертва имеют один и тот же общедоступный IP-адрес, что затрудняет различие между приложениями.

Существуетинструмент под названием Firesheep , который делает этот вид атаки чрезвычайно легким .