Chrome ve verzi alespoň 56 bude od ledna příštího roku také upozorňovat na přihlašování bez HTTPS, podobně jako Firefox 51.
Jde o první krok v označení všech nešifrovaných stránek jako potenciálně nebezpečných. Dalším krokem bude zřejmě označení všech HTTP stránek v anonymním režimu.
O tom, proč by mělo být HTTPS na všech stránkách, bylo napsáno snad milion článků (spousta z nich vyšla i zde na root.cz). Naopak se dá říct, že pro většinu webů neexistuje pádný důvod, proč HTTPS nenasadit.
@Philip Fry aka 'vain'
I na webech o pěstování bonsají, letecké modelařině (etc), kde se nepracuje s citlivýmy daty, je vhodné HTTPS nasadit minimálně z toho důvodu, abych zaručil, že se ke klientovi dostane obsah přesně v takové podobě, v jaké ho server odeslal.
Kdokoli na cestě mezi klientem a serverem může měnit obsah obsahu přenášeného přes HTTP, může měnit text stránky, přidávat reklamy (což je ještě vcelku neškodné), ale také může načítat různé malicious skripty. Jestli nevíš, jaký bordel se dá nadělat javascriptem, tak se podívej na BeEF Project.
Toto je nejzásadnější argument pro HTTPS, který platí pro všechny typy webů. Ostatní argumenty jako jistota, že komunikuji s tím pravým serverem, soukromí a možnost nasazení HTTP2 jsou už jenom takové bonusy.
Nasazení HTTPS na vlastním serveru není žádná věda a i méně zdatným adminům by nemělo trvat více než hodinu a to včetně nastudování potřebných informací a získání certifikátu. Pro někoho, kdo už HTTPS nasazoval a hodlá ho nasadit na další web jde o práci na 5 až 10 minut (pokud nemusí řešit problémy s mixed content).
A pokud jde web na hostingu (alespoň u těch slušných hostingových společností), tam by mělo být nasazení HTTPS ještě jednoduší. Buď se provede automaticky nebo jde udělat na pár kliknutí.
HTTPS, jak bylo prokázáno, nemá ve většině případů téměř žádný vliv na zatížení serverů a nebo klientských počítaců.
Ponechání defaultně zapnutého HTTP znamená bezpečnostní riziko (SSL Striping, šmírování pomocí HSTS...).
"A důvod proč nenasadit něco, co není potřeba, opravdu potřebuješ?"
Předpokládám, že v rámci domácí sítě používáš telnet, protože SSH pro tebe není potřeba ;-)
Ano, to všechno je pravda. Ale pan Vopršálek provozující vesnickou hospodu je rád, že mu loni syn jeho sousedky konečně udělal "ty internetový stránky". O https syn určitě slyšel, ale ani ho nenapadne, že by se tím měl zabývat. A i kdyby, tak "ten certifikát, pane Vopršálku, je děsně drahej a celý je to složitý". Děsně drahej = cokoliv nad 0 Kč. Let's Encrypt, o kterém se syn sousedky ještě hodně dlouho nedozví, protože o tom na místní vesnické vývěsce ještě nepsali, navíc vydává certifikáty jen s krátkou platností. A automatické žádosti - vydávání jsou zcela nad možnosti nepočítačovce.
Za vesnickou hospodu si klidně můžeš dosadit většinu malých firem nebo osobních webů. Občas by nebylo špatný sestoupit z IT piedestalu mezi prostý lid.
Ještě dodávám, že jsem u mého předchozího zaměstnavatele prosadil HTTPS téměř na všech webech včetně Ačkového hodnocení na https://www.ssllabs.com/ssltest/ a včetně dostupnosti všech webů přes IPv6. U současného zaměstnavatele mě přesvědčování ještě čeká :)
To abych snad nebyl nařčen ze zpátečnictví :)
To není IT piedestal, ale rozdíl mezi pitomým fušerem a člověkem, co alespoň trošičku něco ví.
Pokud drop HTTP pomůže zbavit se milionu děravých WP blogísků, které šíří malware, odstřihne od komunikace čínské IOT granáty a další podobný b*rdel, tak jsem pro, protože to reálně nikomu neuškodí a pročistí to dráty.
Ať si http zůstane na localu, tam smysl má.
@Borek
To se holt musí pan Vopršálek rozmyslet, jestli chce zfušováné stránky od syna jeho sousedky a nebo něco na úrovni.
Nehledě na to, že syn sousedky asi nebude provozovat vlastní webserver, ale hodí to někam na placený hosting. V momentě, kdy bude HTTP v browserech defaultně vypnuté, začnou všechny hostingy automaticky klientům nastavovat HTTPS.
S Tvými argumenty rozhodně nebudu bojovat, protože dávají smysl, přesto zrušení http je věc, s kterou ještě dlouho nepochodíš. Nehledě na to, že nehezké množství stránek, i přes to, že má https, servíruje spoustu obsahu přes http, takže jsou to takové pseudozabezpečené stránky, které jsou podle mě ještě nebezpečnější, než "plain-text" http stránky.
A ano, telnet používám velmi rád na kontrolu otevřenosti portů, máš s tím nějaký konkrétní problém? :-D
Tak jaký konkrétní důvod v té spoustě článků byl například pro nějaké dokumentační, staticky generované, stránky?
Důvod je jednoduchý. Spousta dnešních útoků na HTTPS spočívá v tom, že uživatele dostanete na HTTP, aniž by si toho všiml. Jediné řešení tohohle problému spočívá v tom, že prohlížeč HTTP vůbec nebude podporovat, nebo při tom bude řvát tak, že to nepůjde přehlédnout. Takže důvod, proč mít na HTTPS nějaké dokumentační staticky generované stránky je ten, že použití HTTPS je normální a není důvod, proč kvůli nějakým dokumentačním staticky generovaným stránkám udržovat nebezpečnou anomálii.
Nehledě na to, že některé útoky vyžadují například injektování paketů do běžícího spojení, čemuž se šifrováním efektivně zabrání. Stejně jako dalším desítkám útočných vektorů.
To je jednoduché jak facka... HTTPS zažije svůj obrovský rozmach až tehdy, když web-hostingové společnosti udělají to, že v administraci webu dají tučnou červenou 48kou "Důrazně doporučujeme zapnout HTTPS na Vašich stránkách" a bude to jenom na jedno kliknutí a 10 sekund běžícího loading kolečka.
Poté vidím reálný rozmach HTTPS. Do té doby se to určitě nestane i když bude ze všech stran přicházet bububu, jak je HTTP nebezpečné :-)
Já se přiznám, že mě trochu děsí, že LE je jenom jeden. Můžou to zabalit, můžou se k vybraným lidem začít chovat divně (například vám můžou prostě jen tak neobnovit certifikát protože se špatně jmenujete) a pak už jste zase vydáni na milost komerčních CA.
Mne víc děsí, že potřebujeme obezličku v podobě LE, místo aby prohlížeče certifikáty rovnou ověřovaly přes DANE.
Nechtěl by si Google internet a web úplně zprivatizovat? Webové stránky smí na internetu zveřejnit jen ten, kd ood Google získá licenci (složí zkoušky způsobilosti + bude platit Google tisíc dolarů ročně jako licenční poplatky). Do zákonů všech zemí se dá trestný čin nepovolené provozování webových stránek bez povolení Google a bude to. Ein Volk, Ein Web, Ein Google.
Hloupý pokus o manipulaci z vaší strany. Nikomu nezakazuji šifrovat.
Jakmile začnete někomu komunisticky a totalitně přikazovat, že na webu prostě šifrovat musí - něco je špatně. Tažení proti HTTP se mi nelíbí. Nevím, proč je nutné přenášet šifrovaně každou stránku. Každý blogísek puberťačky obsahující tři růžové poníky a nic jiného. Každou blbost.
Přijde mi to stejné, jako nařídit, žekaždý musí nosit burku a roušku přes obličej, protože tak se vyhnete identifikaci neznámými lidmi.
Jednoduše je mnoho a mnoho stránek, kde není třeba šifrovat.
Jinak bych fanatikům za only HTTPS doporučil spíše taktiku, že každý tvůrce webu, který používá HTTP - a nikoli HTTPS by byl předhozem Kimovi v Severní Koreje, aby ho zprovodil ze světa mučivou smrtí. Pokud by Kim nebyl ochotem, mohl by se některý z fanatiků za přikazování HTTPS ujmout toho, že by dané uživatele HTTP třeba uvařil pomalu v rozpáleném oleje, či zaživa stáhl z kůže nebo tak nějak. Když už fanatismus za HTTPS, tak netroškařte.
Šifrování nikdo nenařizuje. Nic vám nebrání používat HTTP, Gopher, Veronicu nebo jiný pokrokový protokol.
Proč má být přenášen šifrovaně i blogísek puberťačky už bylo napsáno mnohokrát, dokonce i v této diskusi. Je zvláštní, že chcete diskutovat o něčem, o čem toho moc nevíte.
Manipulaci tady předvádíte akorát vy. Nikdo nikomu nepřikazuje, že musí šifrovat, ani že musí nosit roušku nebo burku, ani tu není žádný HTTPS only fanatik.
Aha, takže tu není žádný HTTPS fanatik, pouze by tu rádi vymýtili HTTP - na základě svého fanatismu.
To, že bylo někde něco napsáno ještě neznamená, že je to desatero a slovo boží, ani že je to pravda. Papír snese všechno, stejně jako internetový text. Ani to, že by se všechno mělo řešit fanaticky stylem EU - tu zákazem žárovek, tu zákazem křivých banánů, tu tvrdou represí proti HTTP.
Manipulaci tady předvádí ten člověk, na kterého jsem reagoval - který mě obvinil z toho, že jsem jakkoli napsal, že šifrování je špatné. Proč pravdivě rovnou nenapsat, že ten člověk zkouší manipulační úskok, neb mi vkládá něco, co jsem nenapsal a nikde netvrdil. Zkuste si příště přečíst vlákno, na které reagujete - než začnete reagovat vy, já chápu vaše nedostatky s chápáním psaného textu a kontextu, ale to je váš problém, ne můj.
@Cenzury se bojíte, diktatury Google naivně ne
"To, že bylo někde něco napsáno ještě neznamená, že je to desatero a slovo boží, ani že je to pravda."
Takže chceš rozporovat tvrzení, že HTTP protokol je bezpečnostní riziko, jelikož do něj může útočník cokoli přidat, třeba i nějaký zákeřný skript. Nebo jak to mám chápat?
Mozilla i Google jsou vývojáři a tudíž mohou svobodně rozhodovat, jaké protokoly budou podporovat. Pokud se ti to nelíbí, najdi si browser podle vlastního gusta a nebo si nějaký naprogramuj. Nikdo tě nenutí Chrome nebo Firefox používat. Jediný, kdo se chová totalitně jsi ty, jelikož bys chtěl něco přikazovat vývojářům.
Pamatuju, že když začal z distribucí mizet telnet server, protože ho nahrazovalo SSH, tak někteří zpátečníci taky prskali... Že prý nepotřebují šifrovat, když se připujují na stroj na lokální síti... Dnes už ale každému přijde normální, že se na stroje, byť ve stejném subnetu připojují přes SSH a ne telnetem.
Chci napsat, že HTTP i HTTPS může existovat vedle sebe. Není třeba hned vyvolávat svaté války za zrušení HTTP. Šifrování každého růzového poníka při cestě internet opravdu nezajistí světový mír, pečené holuby každémnu do úst na požádání.
Google jsou vývojáři, ale zároveň je to velká korporace. Stejně jako se Google blbě povedlo zaplavelit internet vzkazy "Tento web používá cookies, bez kliknutí vám budeme zobrazovat tento otravný nápis.", podaří se mu téměř jakákoli další blbost.
Rád bych znal váš názor, zda byste mluvil stejně, až by se Google rozhodl podpořit třeba cenzuru internetu podle Evropských hodnot a Jakuba Jandy. Proč by svobodně nemohl? Proč upírat svobodu vývojářům? Proč vůbec na rootu někdo brojí proti internetové cenzuře či síťové neutralitě - nechápete že tím upíráte řadě subjektů jejich svobodu udělat si to po svém? A pokud významný poskytovatel - firma s velkým vlivem, téměř klíčovým jako je Google we www - se rozhodne pro cenzuru, budete to také obhajovat svobodou té firmy?
Telnet/ssh je zcela jiný spor. Telnet existuje, ssh existuje - ale běžný uživatel je mimo tuto oblast. Tady se bavíme o základní obálce komunikace mezi serverem a klientem pro webové stránky.
Chci napsat, že HTTP i HTTPS může existovat vedle sebe. Není třeba hned vyvolávat svaté války za zrušení HTTP. Šifrování každého růzového poníka při cestě internet opravdu nezajistí světový mír, pečené holuby každémnu do úst na požádání.
Znovu opakovat něco, co již bylo vyvráceno, to je ohromně nápadité. To se pak čtenář nemůže rozhodnout, zda jste tak nevzdělaný nebo tak zabedněný.
@Cenzury se bojíte, diktatury Google naivně ne
Pokud budou HTTP a HTTPS koexistovat, budou hrozit útoky jako SSL Striping a budou problémy ohledně anonymity (kvůli HSTS).
Otravné bannery ohledně cookies nevznikly kvůli Googlu, ale kvůli EU. Pláčeš na špatném hrobě.
Pokud by se Google rozhodl zavést cenzuru (technicky vzato to už dělá), tak by to sice bylo nemorální, ale jelikož jde o soukromou firmy, tak by s tím nikdo nemohl nic dělat. Stejně tak někteří naši největší ISP, ti také cenzurují. Je to sice nemorální, ale právně v pořádku (snad jen s tím rozdílem, źe taková služba by se neměla jmenovat připojení k internetu).
Cenzura vs podporované a nepodporované protokoly, to je ale docela nefér srovnání. Oproti tomu SSH a Telnet přesně vystihuje situaci HTTPS a HTTP. Ano, Telnet sice existuje, ale telnet server není ve většině distribucí standardně nainstalován. Stejně tak bude HTTP bude i nadále existovat, jenom už nebude standardně podporované v browserech (ve skutečnosti tam musí být implementováno kvůli stahování CRL a OCSP dotazům, ale nebude ho moci používat přímo uživatel).
Nevím jak vy, ale HTTP(S) vám nic takového nepřikazuje. Můžete si klidně stvořit web, který bude posílat třeba pouze PDF dokumenty - a nemusíte o HTML ani zavadit, a bude to perfektně fungovat. Stejně tak můžete vymyslet řadu dalších formátů.
Použít vlastní značkovací jazyk, třeba XML, nadefinovat značkám vlastní význam a vzhled - lze také.
@Cenzury se bojíte, diktatury Google naivně ne
Sice si tam můžeš posílat textově co chceš, ale jaksi nedosáhneš toho, aby tagy <odstavec></odstavec> byly interpretovány jako z HTML. A můžeš se vztekat, že to je komunizmus a totalita, že Chrome podporuje HTML a ne tvůj jazyk. A stejně tak se můžeš rozčilovat, že Chrome nepodporuje třeba zmiňovaný Gopher a místo toho akceptuje jen HTTP, HTTPS, atd.Problém je opačně. HTML je ten, kdo měl být zničen, a celý web měl být opanován pomocí XHTML. I tento spor existoval, a jako nyní je fanatismus "HTTP musí být zničeno a zakopáno sto sáhů pod zem", tak tehdy byl fanatismus "HTML musí být zlikvidováno".
Problém je, že fanatismus není dobrý rádce - ani v případě prosazování HTTPS.
Možná by bylo dobré, kdybyste se vrátil do tématu - a ne do vašich vlhkých fantazií. Já se nevztekám, že chci, aby Chrome podporovalo můj jazyk, stejně jako nikdo další. Např. v PDF si udělám odstavce zcela podle mé potřeby - jakékoli.
Znovu, přestaňte fantazírovat, téma je HTTP/HTTPS, a ne vaše ptákoviny s HTML. Přestaňte s tím off topic.
@Cenzury se bojíte, diktatury Google naivně ne
O jakém fanatismu to pořád mluvíš? Jde jen o to, aby se přestal používat nebezpečný protokol, který nijak nechrání integritu přenašené zprávy a nepodporuje autentizaci.
Btw, ještě jsi neodpověděl, jestli považuješ za totalitu to, že Chrome podporuje HTTP a ne Gopher.
Tak to byl spis vtip. Nicmene kdyz jste se rozhodl to brat vazne, tak utocnik, ktery dokaze traumatizovat ctenarky blogisku pomoci zelenych poniku a slimaku muze samozrejme delat jakekoliv jine akce, ktere lze delat zmenou/pridanim kodu stranky a nevim, proc by obrazek nahrazoval skriptem, kdyz ho muze zcela nenapadne nekam pridat. To ale muze delat i pres https. Necekal bych, ze zrovna ctenari a ctenarky blogisku patri do skupiny lidi, kteri si vsimnou, ze se jim zmenil certifikat a jsou tim padem asi pod MITM utokem. Misto blogisku na https dokonce muze podstrcit blogisek na http a nikdo si toho take nevsimne a pokud ano, nebude o tom premyslet.
Nicmene si vsimnete, ze zpravicka je o tom, ze Chromy bude upozornovat na prihlasovani a odesilani cisel kreditek bez sifrovani. Ne o tom, ze bude upozornovat na nesifrovane spojeni obecne. Zrovna u blogisku, pokud se prihlasim sifrovane, bude nasledujici komunikace bez sifrovani mit za nasledek asi leda tak to, ze se NSA nedozvi, ze se koukam na ruzove poniky. A utocnik by treba mohl snaze modifikovat me komentare o krase poniku, ale jak jsem napsal vyse, pokud si nehlidam certifikaty, muze totez delat i pres https.
Takze jediny rozdil mezi http a https je v tom, ze NSA se hure smiruje, co kdo cte. Predpokladam, ze zajem NSA v ruzovych ponicich je dosti omezeny.
Rekl bych, ze to, ze se nekde jeste pouziva http, je mnohem mensi problem, nez to, ze tam kde se pouziva https, se zaroven casto pouziva zastarale SSL/stare verze TLS nebo se pouziva i nove TLS, ale umoznuje se Poodle Attack. Take si nejsem jisty tim, v jakem stavu jsou defaultni nastaveni sifer pro TLS. I u TLS 1.2 by nektere sifry nemely byt pouzivany. Jsou vyrazeny ve vsech aktualnich browserech? A kolik lidi pouziva neupdatovany browser, zejmena IE, ktery treba na XP uz updatovat nemuzou? Idealne by byly takove sifry byly vybourany na strane webovych serveru, ale nejsou, protoze pri tom, jaky panuje bordel, by to spouste lidi rozbilo web a jsou i borci, kteri se nenamahaji do takove miry, ze nove TLS na serveru nepouzivaji, protoze jim stare SSL/TLS prece funguje a kdo by se s tim updatoval. Takze za soucasne situace moc nezalezi na tom, jestli se nekde pouzije http nebo https. Pro vas to znamena rozdil leda tak v tom, ze na wifi v internetove kavarne si soused nezjisti, ze se divate na ruzove poniky a neodposlechne si vas mail. Pokud ten mail neni kriticky tajny, tak je to od nej sice vlezlost, ale nepolozi vas to. Pokud kriticky tajny je, nemate ho co posilat bez sifrovani.
Certifikáty si nemá hlídat uživatel, má je hlídat prohlížeč. A všechny rozšířené prohlížeče to také dělají.
Ne. Pokud nesouhlasí jméno serveru se jménem na certifikátu, místo stránky zobrazí informaci o chybě a pokud se chce uživatel dostat na cílová web, musí se k němu proklikat. Změna certifikátu je nezajímavá, protože nevypovídá vůbec o ničem. Web klidně může používat víc certifikátů a je to v pořádku.
Aha, tohle. Tak na takove proklikavani jsou lidi celkem zvykli - spousta webu ma v certifikatech pekny hokej a bez proklikavani se tam clovek nedostane. Nejsem si jisty, jestli BFU umi posoudit, kdy je to dulezite a kdy ne.
To by browsery musely natvrdo zakazat pristup na weby s rozbitymi certifikaty. To by ale bylo problemu, ze si to nikdo nedovoli.
Provozuji webové servery v lokální síti na hardware, které HTTPS šifrování nezvládne (například Arduino, ale i jiné). Bude velmi mrzuté, pokud budou webové prohlížeče otravovat život při přístupu na takové weby.
Kdybych tu kontrolu do prohlížeče implementoval já, asi bych tam vřadil podmínku na to, jestli je server i prohlížeč v jedné síti (na jednom switchi) a pokud ano, tak bych uživatele tak moc neprudil. Samozřejmě se dá měnit obsah http spojení i v jedné LAN (když člověk přepne switch do hubu atd.), ale dá rozum, že člověk nejspíš pracuje v uzavřené hlídané síti a není nutné kvůli "bezpečnosti" tak vyšilovat, jako když paket cestuje cizími routery přes půlku světa.
Předpokládám že jsi tam chtěl mít "přikážeme HTTPS" nebo "zakážeme HTTP". Nicméně vidím ale rozdíl v tom, pokud stát prodává cigarety ale v soukromích provozovnách je zakazuje kouřit a mezi tím, že vydavetelé browserů budou varovat před nezabezpečeným spojením, minimálně už jenom proto, protože zabezpečení přenosu souvisí s jejich browsery. Zvlášť v době, kdy skoro každý hosting ti https zařídí a nebo je zdarma možnost použít Lets encrypt.
Ona by ta situace se spíš dala srovnávat, kdyby si hospodští sami zvolili, že před vstupem do kuřácké hospody musíš odsouhlait u dveří že o tom, že se tam kouří a škodí to, víš.
Nevidím velký rozdíl, jestli stát dělá to či ono, nebo významná korporace a významný výrobce browseru činí nátlak.Vliv korporací je tak silný, že často předčí i vliv a moc států - a proto je stejně nebezpečný, ne-li nebezpečnější.
Google už internet zmrvil dost. Nejdříve zničil přirozené odkazování, a udělal z něho obchodní artikl. Protože z odkazování udělal významný obchodní nástroj, který mnoho ovlivňuje pozice. Velice dobře si vzpomínám, na čistotu a přirozenost odkazů před Googlem, a nyní.
Později začal plevelit HTML značkami a atributy jako rel="nofollow".
Atd.
Nevidím důvodu v nátlaku na HTTPS, který se činí. Je to prostě proto, že pár lidí se nudí a chce si vyzkoušet svou moc, a protože jejich osobnost je v jádru fanatická a diktátorská. Cokoli jiného, včetně dalších argumentů jsou jen zástupné argumenty, prvotní je fanatismus v těch lidech.
Vždycky najdete argumenty proto zavést jakoukoli kravinu - a cesty do pekla jsou dlážděny vždy dobrými úmysly. Tak je to i s myšlenkou "jedině HTTPS". Pokud je někdo technoidní fanatik, bude to považovat za dobrý nápad. Naštěstí, velké naštěstí - tito lidé nemají moc to prosadit. Velice nerad bych viděl lidi jako pana Krčmáře, nebo pana Jirsáka na místech, kde by něco kolem sítí a webu mohli celosvětově rozhodovat. To i ten Google je méně fanatický, nedokáži si představit, kolik nesmyslných volovin, příkazů a zákazů by v sítťovém světě bylo, kdyby tito měli možnost ovlivňovat svět tam mocně, jako Google.
Podle toho, že IP adresa webserveru a některá z IP adres počítače patří do stejné sítě (po vymaskování dostane stejnou IP adresu). Nicméně si nemyslím, že by to byl dobrý nápad.
Proč by se k němu nedostal? Na Windows i na Linuxu je to údaj, který je běžně uživateli přístupný.
Tak ono je krasne, ze na me browsery budou hulakat, ze nejsem na sifrovanem spojeni. Akorat nevim, k cemu mi to bude, kdyz 96 % webu porad podporuje Poodle Attack, pricemz zakazat stare SSL v browseru je docela problem. Si to zkuste a schvalne jak dlouho bude trvat, nez narazite na web nejakeho kretena, na ktery se bez SSL nedostanete.
