SSL 인증서. 어떤 페이지?

온라인 상점에서 SSL 인증서를 사용해야하는 페이지는 무엇입니까? 이 사이트는 등록 된 사용자 만 사용할 수 있으며 지불은 타사 제공 업체를 통해 이루어집니다. 로그인 : 가입, 비밀번호 변경.SSL 인증서. 어떤 페이지?

기타 권장 사항은 무엇입니까?

출처

2011-05-06 morandi3

왜 일부 사이트에서 SSL을 건너 뛰고 싶습니까? 공연? – Demento

와플을 잘못 선택했습니다. – rook

흠? 당신은 생각하니? – morandi3

기밀 정보를 보내거나받는 페이지를 기반으로 SSL을 사용하십시오. "회사 소개"또는 "제품 및 서비스"페이지는 SSL을 사용할 필요가 없습니다. 언급 한 페이지 (로그인, 가입, 비밀번호 변경)가 수행합니다.

출처

2011-05-06 10:44:12

-1 아니요, 모든 페이지에 대해 ssl을 사용해야합니다. 그렇지 않으면 세션 ID가 유출됩니다. 이것은 OWASP a9 위반입니다. 이 잘못된 정보를 삭제하십시오. – rook

글쎄, 기술적으로 "About Us"와 "Products and Services"는 세션을 필요로하지 않으므로 세션 ID를 보낼 필요가 없습니다 (쿠키는 그런 식으로 구성 될 수 있으므로 누출되지 않습니다). 그러나 "About Us"조차도 SSL이 제공하는 "진정성의 봉인"으로부터 이익을 얻을 수 있습니다. – Thilo

간단히 모두 페이지를 암호화합니다.

세션 쿠키가있을 수 있으며 암호화되지 않은 연결을 통해 보내지 않을 것입니다. 게다가, 모든 단일 페이지에서 SSL을 사용하지 않을 이유가 없습니다.

그 외에도 주소 표시 줄의 'SSL 아이콘'이 표시되고 페이지 변경시 사라지는 경우가 있습니다.

출처

2011-05-06 09:50:49 ThiefMaster

하지만이 일이 느려지지 않습니까? 제품 이미지 및 기타 모든 세부 정보를 캐시없이로드하고 모든 데이터를 암호화하여 전송할 수 있습니까? – morandi3

aggressive caching headers에서 직접 확인할 수 있습니다. 그런 다음 브라우저는 SSL을 통해로드 된 경우에도 해당 이미지를 캐싱해야합니다. 서버가 실제로 느리고 사이트의로드가 크지 않으면 암호화가 눈에 띄는 방식으로 느려지지 않습니다. – ThiefMaster

괜찮지 만 검색 엔진 https 페이지는 어떻게 처리할까요?! 이게 또 다른 문제가 아닌가? – morandi3

모든 페이지에 SSL을 사용해야합니다. SSL은 도청으로부터 보호 할뿐만 아니라 콘텐츠가 유선상에서 변경 될 수 없도록합니다. SSL을 사용하지 않으면 원하는 사람이 바뀔 수 있습니다. 비밀 내용없이 꽤 재미 사이트 :

페이지 A (없음 SSL) : 다음과 같은 시나리오를 상상해보십시오. 에 로그인하면 로그인 페이지가 열립니다 (페이지 B).
Page B (ssl) : 로그인 페이지.

사용자가 요청한 페이지 A. 중간 공격자는 페이지 A에서 링크를 변경하여 제어하는 서버에서 고급 피싱 공격을 수행 할 수 있습니다. 사용자가 페이지 A에서 온 것처럼 보이기 때문에 사용자는 조작 된 링크를 신뢰하고 따르게됩니다. SSL이 없으면 사용자는 서버 출력이 변조되었음을 알 수 없습니다. 두 페이지 모두에서 SSL을 사용하면 사용자가 브라우저 경고를 걱정하는 한 공격을 할 수 없습니다 (불행히도 거의 아무도하지 않습니다).

출처

2011-05-06 10:45:48 Demento

SSL 인증서. 어떤 페이지?

답변

관련 문제