Por que é considerado uma prática ruim apenas proteger uma página com SSL em vez de todo o site?

Question

Eu sei que a proteção de todas as páginas com SSL reduzirá a velocidade do site e adicionará sobrecarga aos recursos do servidor.

Eu também vejo muitos outros sites protegendo apenas sua página de login e registro, o que eu também quero fazer no meu servidor executando o apache.

Por que é considerado má prática apenas proteger apenas as páginas em que a senha do usuário é inserida, em vez de todo o site?

Além disso, em vez de usar algo como https://mysite.com/login.php , devo mudar para https desta maneira: https://secure.mysite.com/login.php ?

    

Answer 1

A segurança do cookie é a principal coisa que eu gostaria de apontar para sua abordagem.

Um usuário que faz login na sua página de login segura recebe um cookie para a sessão, certo? Esse cookie então está sendo transmitido em texto simples para alguém que esteja assistindo à transmissão ( Firesheep ) para interceptar e roubar a sessão.

Há sobrecarga adicional em termos de tempo de negociação e carga de CPU do SSL, mas é mínima. Se houver algo sensível acontecendo em seu site, use SSL em todos os lugares.

Veja também: esta pergunta

    

Answer 2

I know that protecting all pages with SSL will slow down the website and add overhead to the server resources.

Isso é verdade. Você não deve apenas jogar em SSL por capricho. Você deve tomar uma decisão informada sobre isso. Embora o SSL introduza benefícios de segurança, isso ocorre ao custo do desempenho. É importante lembrar que você sempre pode lançar soluções de tecnologia em um problema de desempenho para que eu tenha certeza de que você está satisfeito com a sua segurança primeiro e, em seguida, tente lidar com qualquer problema de desempenho que possa encontrar.

O principal objetivo é se o SSL resolver suas preocupações de segurança e usá-lo .

Why is it considered bad practice to only protect only pages where the user's password is entered instead of the whole site?

Não é. Bem, não necessariamente. Você realmente precisa dar uma olhada nos dados que está tentando proteger e nos ataques que está tentando evitar.

Áreas comuns a considerar:

• Existem dados confidenciais em todo o seu site ou apenas em um conjunto finito de páginas?
• Será fácil implementar o SSL em algumas páginas, em vez de todas as páginas?
• Você está lidando com dados de cartão de crédito
• Você tem usuários que fazem login no seu site & páginas de membros com dados privados
• Você captura dados por meio de formulários, que tipo de dados são?

Às vezes, você só pode proteger partes de seu site, como uma página de login e qualquer página de membro. As partes voltadas para o público em seu site podem não exigir SSL e torná-las HTTP podem fornecer benefícios de desempenho consideráveis.

Algumas pessoas implementam o SSL em todo o site porque simplifica as coisas .

É claro que a implementação do SSL pode ser complicada e, às vezes, o esforço de tentar ter SSL em uma página, mas não em outra, pode significar consideravelmente mais trabalho. O SSL em todo o seu site ajuda a comprovar isso no futuro, reduz o desempenho do desenvolvedor, pode evitar erros e mensagens de erro para os usuários (ou pior ainda expor acidentalmente dados confidenciais por HTTP).

Also, instead of using something like https://mysite.com/login.php, should I maybe change to https in this way: https://secure.mysite.com/login.php?

Existem muitas maneiras de implementar um login (e segurança) com o PHP, mas você não entrou em detalhes suficientes aqui para comentar com segurança. Você deve primeiro delinear o que você está tentando alcançar, e então dar uma visão geral de como você vai fazer isso, e então você pode começar a considerar os prós e contras das alternativas.

    

Answer 3

O

SSL incorre em um tempo extra de processamento. Para sites de baixa largura de banda, o processamento extra exigido pelo SSL não é realmente perceptível. Mas para sites com tráfego intenso, como Facebook, Twitter e Flickr, a carga causada pelo SSL é pesada o suficiente para que eles precisem usar hardware de codificação / decodificação SSL com prática.

Então, basicamente sim, faz sentido minimizar o número de páginas usando SSL. É por isso que muitas vezes você vê sites bancários apenas protegendo as páginas da conta real via https. A página inicial / de entrada é geralmente simples e antiga.

Por outro lado, a menos que você seja um site como Twitter, Facebook ou Gmail, preocupar-se com isso é uma otimização prematura. Primeiro, faça isso simples, se puder. Esteja ciente desse problema e esteja ciente das estratégias de atualização quando seu site finalmente obtiver tráfego intenso.

Meu chefe tem um ditado: esse é um problema feliz de se ter. Primeiro, resolva o triste problema de não ter usuários suficientes, então você ficaria feliz em ter um problema que requer que você refatore sua arquitetura.