1
qinix 2013-02-04 23:36:57 +08:00 via Android
没必要吧
|
2
qq286735628 2013-02-05 00:03:24 +08:00
传送过程被侦听了也没啥事,又不是什么敏感信息....
网络安全中的攻防都是建立在成本上的... 没价值的东西,黑客不会花成本去窃取... 没价值的东西,客户也没必要去花费额外的成本去保护... |
3
ihacku 2013-02-05 00:18:02 +08:00
2是因为证书是这个子站点的 https://workspace.v2ex.com/
1请参见/t/59436 |
4
atsivsucks OP @qq286735628 你的V2EX登陆密码是不是敏感信息?
|
5
Livid MOD 我们会尽快加上的。谢谢提醒。
|
6
qq286735628 2013-02-05 00:34:01 +08:00
@atsivsucks 我的意思是
如果你觉的帐号值得使用ssl来保护,如果@livid 觉得V2EX上面的用户密码有被监听的风险、且带来的危害很大,那就很有必要采取ssl等保护措施,提高攻击者的攻击成本,让攻击者先掂量掂量再作决定。 其实你觉得V2EX的登录密码是敏感信息的,完全可以采用另外一套密码,别和自己的金融帐号密码重复就好呀。 有很多更省的方式的,并且ssl也不是万能,如果你的密码真值那么多钱,攻击者有其他方式的。 |
7
Livid MOD @qq286735628 对,最安全的做法,就是为每个网站使用一个独特的密码。对自己的邮箱使用最高级别的,不和任何其他地方重复的密码。
|
8
atsivsucks OP @qq286735628 SSL确实不万能,不过除了中国内地的网站,要密码却不用SSL的网站我还没有见过,不知道你能不能给我找出两个看看?先谢了
“有很多更省的方式的”,网站制作者“省”,用户麻烦,什么逻辑?之前CSDN明文密码泻露,那责任是不是在用户不应该注册这种不靠谱的网站?而不是CSDN应该保障用户的安全? |
9
chrisyipw 2013-02-05 15:16:53 +08:00 1
@atsivsucks CSDN 「明文密码」泄漏和 HTTPS 并没有关系,前者泄漏是网站自身的,1)密码没混淆,2)服务器安全措施没做好;而 HTTPS 只是在用户的机器到服务器之间建立相对安全的通道,并没有解决前两个问题(一样会密码泄漏)。
在做好密码混淆、服务器防黑的情况下,用户在 HTTP 登录的时候密码被截获,这属于用户的问题,比如你在公共咖啡厅上网,任何一个网络服务都没有办法也不可能去为用户的上网环境负责,能做的只是像提供 SSL、安全令牌等「辅助服务」,但并不是「义务」。 BTW,CSDN 的不靠谱不是密码泄漏、不是没用 HTTPS,是明文储存,如果一个网站能把你的密码混淆到即使获得了,也不会影响到你别的帐号,就足够靠谱了,是不是 HTTPS 没关系。毕竟程序是人写、机器是人搭,漏洞难免。 PS:要密码却不用 SSL 的,比如 Google Reader 就不是强制 SSL 访问。 |
10
keakon 2013-02-05 15:30:23 +08:00
@chrisyipw 登录时需要输入密码,这个时候是强制 HTTPS 的。登录完可以不用安全连接,此时 cookie 是存在泄露风险的,但影响不大。
|
12
qq286735628 2013-02-05 23:03:31 +08:00
@atsivsucks 你没明白我的意思,当我没说吧~
我赞同你说的,给网站部署ssl,加强安全性,这也是SPDY草案里面的一条,未来HTTP协议发展的趋势。 |
13
luikore 2013-02-06 00:26:42 +08:00
还有个问题: cookie 没设置成 http only ...
如果 session 打劫链接能全部 escape 掉的话应该问题不大, 试试: <a href="javascript:document.location='http://v2ex.com?'+document.cookie">steal your cookie</a> |
14
no2x 2013-02-06 03:49:27 +08:00
探讨一下。
如果没有 SSL 而换一个简单的做法,在 前端 直接用 javascript 去 md5/sha1 加密密码(还可以加入令牌效果的会话验证),然后传输到 后端 配对。是否会相对安全呢?至少,减少了泄露明文。 @Livid @qq286735628 @chrisyipw |
15
chrisyipw 2013-02-06 05:24:24 +08:00
@no2x 客户端 hash 与否不影响客户端泄密的成功率,因为加密密码常见手法是 hash + salt,salt 相关的算法不被泄漏,即使拿到完整数据库也无从得知真实密码。而客户端不管是什么,都可能被截获,什甚至看源码就知道你是 md5 还是 sha1,现在 GPU 计算那么强大,算出对应的字符串成本还算低的。
我想过一个客户端加密方案,就是随机布局的虚拟键盘,而且键值也是随机的,比如点击 a 时不是返回 "a",而是一个值的 key,服务器收到后,再转换成对应字符,这样的话要获取明文密码就只能获取点击时的字符(如截图)或算法。这样似乎不需要 SSL 也行(没真正部署过 |
16
no2x 2013-02-06 15:08:46 +08:00
@chrisyipw 你这个做法跟我的类似,更复杂一点而已,但也仅仅是避免直接泄露明文。SSL 的主要作用在于数据流的加密传输,保证不会被截取窃听及伪造。
|
17
atsivsucks OP @chrisyipw Google的登錄頁面從來都是HTTPS啊,不知道Google Reader有何特別?
|