מעבר לתקן HTTPS מאובטח יותר מתחיל בהרג HTTP

אבטחה תמיד תהיה דאגה בכל הנוגע לאינטרנט ולתקשורת דיגיטלית. החלפה של נתונים חיוניים ברחבי האינטרנט כבר לא מתבצעת ב-HTTP. עוד בשנת 1989, כאשר טים ברנרס-לי יזם את פיתוח HTTP, הפרוטוקול פותח בעיקר להחלפת נתונים בקלות. אבל כשהמשתמשים התחילו לשלוח נתונים חשובים וסודיים ברחבי האינטרנט, הדחף לחיבור מאובטח היה בלתי נמנע.

כך הוכנס לפעולה HTTPS. כיום, חברות דיגיטליות ברחבי העולם צועדות יחד כדי להפוך את HTTPS לפרוטוקול דה פקטו של האינטרנט. זהו צעד ענק. בנוסף, ייקח זמן עד שרוב האינטרנט יעבור ל-HTTPS.

אבל, השאלה היא - האם באמת יש צורך לעשות זאת? עד כמה HTTPS מאובטח היום? ומה הפעולות שננקטות כדי לגרום לזה לקרות? ובכן, בואו נגלה.

הרג HTTP וקידום HTTPS

ובכן, אם אתה חושב עד כמה HTTP לא מאובטח ומה זה HTTPS, עליך לגשת אלינו מדריך לגלישה מאובטחת באינטרנט. אם אתה כבר יודע מה הם המונחים האלה, הרשו לנו להפתיע אתכם בכך שאחת החברות הנלהבות ביותר להרוג את HTTP היא גוגל. זה הוכרז לאחרונה שהוא יתחיל לסמן אתרי HTTP בתור לא מאובטח עם שלט אזהרה בשורת הכתובת של Chrome. נכון לעכשיו, הוא פשוט מציג את ההודעה החיבור אינו פרטי.

החל מינואר 2017 (Chrome 56), נסמן דפי HTTP שאוספים סיסמאות או כרטיסי אשראי כלא מאובטחים. – אמילי שכטר

זה לא הצעד היחיד שגוגל נוקטת לקידום HTTPS. עוד בשנת 2014, גוגל הודיעה כי HTTPS ייחשב כאות דירוג לדירוג אתרים במנוע החיפוש שלה. ומאז, מפרסמי אינטרנט רבים עברו ל-HTTPS. עם זאת, ההשפעה על הדירוג הייתה קטנה מאוד. אפילו אתרי Blogspot (אלה .com) בפלטפורמת Blogger הועברו ל-HTTPS.

מלבד גוגל, אפילו אפל נוטה לכיוון זה על ידי דרישה ממפתחי iOS לאלץ חיבור HTTPS עבור אפליקציות iOS שלהם. יתרה מכך, שירותי המאמרים המיידיים של פייסבוק משתמשים ב-HTTPS כברירת מחדל, מה שהופך את הדפים של המפרסם לאבטחים גם אם הם מסתמכים על HTTP. קידום ולחץ כזה מצד חברות טכנולוגיה גדולות בוודאי יביאו לא שלם אבל לפחות חצי מהאינטרנט ל-HTTPS.

אוקיי, זה מספיק לקידום ודחיפה. אחרי הכל, מה שהמשתמשים רוצים זה אבטחה. אבל האם אתה באמת מקבל את האבטחה הזו עם HTTPS?

כמה מאובטח HTTPS היום?

זה לא כל כך בטוח. הנה מאמר מפורט מאת EFF על למה זה לא. לא משנה כמה הגנות הארגון בונה, תמיד יש דרך לפרוץ פנימה. זה לא לגמרי בטוח.

HTTPS רק מקשה על ההאקרים לפרוץ.

הבעיה היא שמעט מאוד אנשים יודעים את זה. שני הדברים הבסיסיים ש-HTTPS עושה הוא שהוא מצפין נתונים ומאמת את האתר כדי לראות אם זה באמת דף האינטרנט שביקשת. אימות זה נעשה באמצעות אישורים. האישור של האתר נבדק מול 600+ אישורי סמכות שדפדפן האינטרנט שלך יכול לסמוך עליהם. אז האקר פוטנציאלי צריך למצוא בין אלה תעודה שדרכה הוא יכול לפרוץ.

פגם נוסף הוא שגם אם אתה בחיבור מוצפן, יש סיכוי לתוקף ליירט את תעבורת האינטרנט שלך. אלו הם מה שנקרא התקפות Man-in-the-Middle. תוקף יכול ליצור אישור שרת מזויף לצורך אימות. אבל דפדפנים כן מציגים אזהרה שמדובר בתעודה שאינה מהימנה.

אם תפגע ב תמשיך בכל זאת לאחר מכן, המכשיר שלך חשוף להתקפת Man-in-the-Middle. התוקף יכול ליירט את התעבורה שלך ויכול לראות את הסיסמאות הנשלחות דרך הרשת. אז תחשוב לפני שאתה מכה תמשיך בכל זאת ואל תשתף אישורים פרטיים עם אתרים כאלה.

ל-HTTPS אולי יש פגמים משלו אבל הוא עדיין מאובטח. הצפנה חזקה עבור חיבור HTTPS עשויה להיות פשוט בלתי ניתנת לפיצוח עבור תוקף.

מעבר ל-HTTPS

חלק מהאתרים פשוט עוברים ל-HTTPS למען קידום אתרים. בלוגים ואתרים סטטיים בדרך כלל אינם צריכים להיות בעלי חיבור HTTPS. המשתמשים אינם חולקים איתם אף אחד מהאישורים הפרטיים שלהם. עם זאת, אמילי שכטר (מנהלת מוצר של צוות האבטחה של Google Chrome) לא מסכימה לכך. הנה ההרצאה שלה ב-Progressive Web App Summit, שם היא מפריכה כמה מיתוסים על HTTPS.

המעבר ל-HTTPS היום אינו יקר. למעשה, אתה יכול לקבל תעודות SSL בחינם. מה שבעצם עלול להפריע למישהו לעבור ל-HTTPS הוא אובדן הביצועים, דירוג החיפוש וחוסר ההתאמה לתוכן של צד שלישי. עם זאת, כפי שהסבירה אמילי שכטר בסרטון שלמעלה, תוכל לשחזר את דירוג החיפוש שלך בקרוב מאוד וכמה אופטימיזציות יעזרו לאתר שלך להחזיר את הביצועים לשגרה.

כמו כן, תכונות מסוימות ש-Google Chrome ודפדפנים אחרים מספקים לאתרים כמו הודעות דחיפה ו תיוג מיקום גיאוגרפי דורש חיבור HTTPS כברירת מחדל. למפתחים לא תהיה גישה לתכונות אלה ללא HTTPS. בעתיד, תכונות נוספות יאבטחו מאחורי הקיר שלה.

זה הולך להיות אינטרנט מאובטח יותר

זה בטוח שתוך שנים ספורות יהפוך HTTPS לכל מקום ולמינימום אבטחה עבור כל אתרי האינטרנט. עבור משתמשים, זה יאיי! אבל, אם אתה בעל אתר, האם תעבור ל-HTTPS? מה דעתך בנושא? ספר לנו בתגובות או שלח ציוצים על @guidintech.

קרא גם:ייתכן שהאפליקציות שלך מרגלות אחריך וזה מה שאתה יכול לעשות כדי למנוע זאת

עודכן לאחרונה ב-03 בפברואר, 2022

המאמר לעיל עשוי להכיל קישורי שותפים שעוזרים לתמוך ב-Guiding Tech. עם זאת, זה לא משפיע על שלמות העריכה שלנו. התוכן נשאר חסר פניות ואותנטי.