Över hälften av världens populäraste webbplatser använder nu HTTPS

Om det som finns på sidan ej är knytet till någon person eller på något sätt hemligt så klarar man sig utan vidare hög kryptering av datatrafiken, jag tänker t.ex en receptsida där användare ej kan logga in utan enbart maila tips med nya rätter.

Det är vansinne att det har tagit så lång tid innan andra websidor på internet har börjat bry sig om säkerhet, att sedan implementera en lösning som är dålig är svårare. Men det är bara göra en analys med whireshark och går saker som lösenord läsa i klartext så bör man tänka om.

Okrypterade sidor utan SSL kommer nog alltid att finnas kvar på intranät, då SSL i sin tur kan skapa driftstrul. Och argumentet lyder, tar sig någon in i nätverket så är intranätet inte precis det som de är ute efter.
En liknelse många bilägare råkar ut för stölder, men att kosta på ett extra skydd som kan skapa driftstrul bara för att skydda så att ingen snor ens spolarväska ifall de har låst upp bilen känns fel.

*edit*
En tanke som jag har funderat länge på är lagkrav på säkerhet för sidor som tar emot personuppgifter. De flesta forum kommer då undan detta genom att de vare sig lagrar personnummer, kredikort eller liknande. Blir de hackade så drabbar det främst de själva, även om nu väldigt många användare är dumma och använder samma lösenord på flera ställen.
Sedan har många på flashback blivit lidande av hack, så visst det drabbar användarna. Men börjar man blanda in lagkrav, myndigheter som granskar så tar man död på mindre aktörer som vill skapa forum etc.

Ja det behöver ej vara strul med certifikat och allt eftersom fler använder det så blir det bättre testat.
Men intranät som jag nämnde har ofta redan hög säkerhet och beroende på webbsida där så kan man skipa certifikat, det får dessutom vara egen signerade då intranätet inte på något sätt har knytning till internet.
*edit*
Det jag brukar bråka med cerifikat är gateways (t.ex rdp gateway) och dylikt som använder denna. Utan SSL certifikat blir det så mycket enklare.

Den åsikten kan man ha. Men om man vill införa lagkrav på att folk ska skydda all sin trafik så är det rättsväsendet som bestämmer vad som är hemligt så att det måste och det finns krypteringen. Många andra protokoll som suger lika hårt är vanlig ftp.

För säkerhetsmedvetna så kanske det räcker att endast öppna port 443 emot internet? Kanske att internetleverantörer som default bara kunde ha denna port öppen, vill man ha mer öppna så kan man få det emot en liten betalning. Frågan är hur många portar som en hemanvändare egentligen behöver? Port 1723 för vpn är inte fel så att de kan komma åt jobbet.

*edit*
Detta med att IPS spärrar en massa portar tror jag drastisk skulle kunna höja säkerheten, där folk själva såklart kan be ISP att öppna portar och detta kunde skötas automatisk utan mänsklig inblandning. (för att göra det billigare) Tack vare Websocket så behöver så kan man t.ex. köra rdp genom den ordinarie 443 porten.

*edit2*
Problemet med att lagtvinga SSL certifikat är att det tar inte många sekunder att slänga upp en webbserver utan att behöva installera ett enda program (använda inbyggda IIS), folk kan slänga upp Websidor för allt möjligt för temporära saker. Det blir då väldigt konstigt med att göra det olagligt.

MITM är helt relevant, samtidigt är driftsäkerhet detsamma. Webbsidor används för precis altting då det går så snabbt att slänga upp. Och det handlar om vad det är för data man skyddar jämtemot hur stort intrång personen redan har gjort.

Bilexemplet jag nämnde ovanför, har något låst upp hela ens bil, de kan öppna alla dörrar, starta bilen och bara köra iväg, så visst finns det då ett risk att den tömmer bilen på spolarväska, men det är inget som fokus lägger på om det kan innebära driftproblem som att spelen bara stannar på en viktig resa.
På vissa ställen är det fler apparater som hostar webbsidor än vad vissa samhällen har invånare i landet, det går då inte hålla på med några certifikat till precis de alla. Ofta är inte trafiken däremellan hemlig, då det finns betydligt enklare angrepsvägar om man har tagit sig så långt in i det tekniska nätverket.

Ja det är som vanligt att det som är enkelt i liten skala blir genast helt annorlunda i stor skara, jag själv har alls ej jobbat med större webbsidor . Men det jag tror är att man kan göra olika saker säkra. Min åsikt det är inte hela världen om någon ser vilka artiklar man löser, men när användaren loggar in för att kommentera så blir kraven högre.
Men ska man bedriva en seriös webbsida så bör självklart allt vara skyddat och det tror jag webbläsaretillverkarna kan få folk att tänka till, typ visa samma varning som man får när man besöker en sida med egen certifierat SSL när man besöker en http sida, de som ej körde https skulle få en kraftig minskning av besökare.

Får också ofta det felmeddelandet när jag surfar på sweclockers och sitter också på bahnhof. Får testa att köra mobilnätverket ett tag och se om problemet kvarstår.

Tänk också på att HTTPS baserar sig på att man lita på CAs. Eftersom det är ytterst klart att de inte går att lita på är det hela lite av ett skämt. Visst det skyddar att någon annan lyssnar av din trafik på oskyddad wifi men de riktiga fiender (staten) kommer enkelt åt CA och därmed all din trafik.

Bättre än ingen kryptering men långt ifrån säkert. Den dagen browsers börjar tillåta att man låser certifikat för specifika sidor och att man enkelt kan jämföra de så kan man möjligen börja prata om säkerhet. Crowd sourced trust baserade certifikat skulle göra det betydligt säkrare, speciellt mot DNS kapning och attacker mot CAs.

Kolla styrkan på implementionen av sajter som använder HTTPS på SSL Labs sida.

https://www.ssllabs.com/ssltest/analyze.html?d=sweclockers.co...
Sweclockers får en score på A vilket är bra. Inte så bra om din bank får F i score.

Nja. Om du har certificate pegging på just detta certifikat så hjälper det, annars går det komma runt relativt enkelt. Det är därför saker som DNS hijacking är så farliga för att även om du knappar in rätt adress skickas du till en "ond" server och det är trivialt för de att sitta mellan dig och riktiga sidan och sniffa allt de känner för. Att få CAs att utfärda skumma certifikat är i princip trivialt för stater och bara en smula svårare för kriminella då det har visat sig att många inte bryr sig minsta lilla om säkerhet och våra datorer litar på hundratals av dem.