it-swarm-tr.com

Uygulama indirmeleri neden HTTPS üzerinden rutin olarak yapılmıyor?

Parolaları veya diğer hassas bilgileri her topladığımızda SSL kullanmamız gerektiğini hepimiz biliyoruz. SSL iki ana avantaj sağlar:

  • Şifreleme: Veri aktarım sırasında bir arabulucu tarafından okunamıyor.
  • MITM saldırılarına karşı koruma: Ortadaki bir adam sunucu gibi davranamaz, çünkü sunucu için CA imzalı bir sertifika üretemez.

Bir uygulamayı indiriyorsam, muhtemelen bir noktada, belki de kök olarak çalıştıracağım. Bazı programlar imzalanacak, ancak bazıları imzalanmayacak. Aktarım sırasında değiştirilmediğini ( bilmem için SSL üzerinden indirmeler yapılmamalı mı?

Birisi şifremi çalarsa, bu kötü. Ama eğer birisi bilgisayarıma bir keylogger yerleştirirse, bu çok daha kötü.

58
Tom Marthenal

Çünkü HTTPS, büyük genel dosyaların indirilmesini sağlamak için çok uygun değildir. Bu kullanım durumunda yavaş ve kullanışlı değil. HTTPS'yi yetersizlik veya farkındalığın ötesinde kullanmamanın nedenleri vardır.

HTTPS sorunu tam olarak çözmüyor . Bu, başvurunuzu doğrudan satıcının web sitesinden alıyorsanız, HTTPS uygulamanın gerçekliğini garanti eder. Ancak uygulamanızı üçüncü bir taraftan alıyorsanız (örn. Özgür yazılımın aynaları) HTTPS yalnızca üçüncü tarafla olan bağlantıyı korur. Bir paket imza şeması daha iyi çalışır: tüm zinciri satıcıdan koruyabilir. Uygulama dağıtımı uçtan uca koruma gerektirir ve HTTPS bunu sağlamaz .

HTTPS daha fazla bant genişliği kullanır . Önbelleğe almayı hesaba katmazsanız indirme başına ek yük minimumdur. Bu “HTTPS daha pahalı değildir” küresel ineği: SSL kullanıyorsanız, SSL uç noktaları dışında verileri önbelleğe alamazsınız. Uygulama indirmeleri aşırı derecede ulaşılabilir: birçok insanın indirdiği büyük dosyalardır.

HTTPS aşırı yüklü . Bir uygulama indirmesinin gizliliği nadiren bir sorundur, tek ihtiyacımız olan özgünlüktür. Ne yazık ki, HTTPS de gizlilik sağlamadan özgünlük sağlamaz. Özgünlük önbellekleme ile uyumludur, ancak gizlilik değildir.

HTTPS, sunucuda daha fazla kaynak gerektirir. Google posta % 1 ek yük ve% 2 bant genişliği ek yükü indirdi, ancak bu çok farklı bir kullanım durumu içindir. Gmail ön uç sunucuları, dosyaları dikkatsizce sunmaktan daha fazlasını yapar; bir dosya sunucusunun ilk etapta güçlü bir CPU'ya ihtiyacı yoktur (çok güçlü bir şekilde IO'ya bağlıdır), bu nedenle ek yükün önemli ölçüde daha büyük olması muhtemeldir. Aynı şey bellek yükü için de geçerlidir: bir dosya sunucusunun her oturumda çok az belleğe ihtiyacı vardır, neredeyse tüm belleği bir disk önbelleğidir. Kaynak kullanımını azaltmak ciddi miktarda çalışma gerektirir.

HTTPS pek çok kişiye yardımcı olmaz . Güvenlik bilinci, satıcı tarafından sağlanan karmayı kontrol edecektir ( that, HTTPS üzerinden olmalıdır). Güvenlik bilincine sahip olmayan, "bu bağlantı güvensizdir" mesajını kasıtlı olarak tıklayacaktır (birçok kullanıcının HTTPS hatalarını yoksaymak üzere eğitildiği çok kötü yapılandırılmış sunucular vardır). Ve bu, yapmamaları gereken sertifikalar veren tehlikeli CA'lardan bahsetmiyor.


Orijinal uygulamayı aldığınızdan emin olmak istiyorsanız, imzasını kontrol edin veya bir imzayla (örneğin HTTPS üzerinden) elde ettiğiniz referans değerine göre karmasını kontrol edin.

İyi satıcılar bunu otomatik yapar. Örneğin, Ubuntu kurulum ortamının GPG imzalarını sağlar. Ayrıca HTTPS üzerinden karmalar (ne yazık ki indirme sayfasının yakınındaki herhangi bir yerden görebildiğim kadar bağlı değil) sağlar. Bundan sonra, yazılım yükleme aracı paketlerin geçerli bir imza ile geldiğini otomatik olarak kontrol eder. Bkz. https apt-get ile nasıl kullanılır?

Not: Uygulamayı doğrudan satıcıdan alıyorsanız (bazı paket depoları veya uygulama pazarları yerine), HTTPS koruma sağlar. Dolayısıyla, uygulamanızı doğrudan web sitenize indirmek için sunan bir satıcıysanız, HTTPS ile koruyun!

Tüm giriş istemlerinin henüz https kullanmamasının nedeni aynıdır: insanlar çok tembeldir, bir sertifikanın çok pahalı olduğunu düşünür veya https kullanmak için daha fazla ücret ödeyen barındırma hizmetine sahiptir.

Gerçek soru, indirmelerin neden giriş formlarından daha sık basit bir bağlantı üzerinden sunulduğudur. Ve bunun çoğunlukla farkındalıktan kaynaklandığını düşünüyorum. Sağlama toplamları genellikle sağlanır, ancak http üzerinden gönderilirse güvenli değildir. Gördüğüm sağlama toplamlarının iyi bir uygulaması, Twitter'da nerede yayınlandıklarıdır (https kullanan ve makul bir şekilde ele geçirildiği varsayılabilir). Ancak, sadece yazılım çalışmadığında, sağlama toplamını kontrol eden kimseyi tanımıyorum. Genellikle TCP makul hata kontrolü yaptığı varsayılır.

Tabii ki, https sunucuda http'den daha ağırdır. Yüksek trafiğe sahip web siteleri için bu bir neden olabilir. Ancak, yine, yüksek trafikli web siteleri de finanse etmek için 'yüksek para' üretebilir.

19
Luc

Tartışmalı olarak, kullanıcılar web üzerinden bir uygulama indirdiklerinde, uygulama indirme HTTPS üzerinden olmalıdır, çünkü güvenlik sağlayan kullanıcılar için en temiz kullanıcı deneyimi kavrayabilirler. Birçok kullanıcının indirmeden önce adres çubuğunda yeşil bir parıltı olup olmadığını kontrol etmesini beklemek gerçekçi olmakla birlikte, (örneğin) karmaları hesaplamasını ve güvenli bir şekilde kontrol etmelerini beklemek mantıklı değildir.

Bununla birlikte, bu uygulama indirmeleri çeşitli nedenlerden dolayı HTTPS üzerinden sunulmaz:

  • İyi nedenler: HTTPS ağda önbelleğe almayı önler. Bu, ağ trafiğini artırabilir, sunucuya yükleyebilir ve istemci tarafı ağa yükleyebilir.

  • Kötü nedenler: İnsanların "HTTPS yavaş" olduğuna dair yanlış bir inancı var (bu bir efsane ), çünkü aynalar ve yansıtma sitelerine güvendikleri için SSL ile bir sunucu kurmak ekstra iş gerektiriyor HTTPS kullanmayın veya insanlar bunu düşünmedikleri veya risk altında olduklarını düşünmedikleri için. Yaygın olarak kullanılan yazılımlar için bu inançlar muhtemelen kısa görüşlüdür. Görünüşe göre, bazı siteler de beyin ölümü olan ve HTTPS'yi düzgün anlamayan yük dengeleyicileri veya hızlandırıcıları kullanabilir ve HTTPS'yi düzgün bir şekilde konuşabilen düzgün bir dağıtım yapmak istemez veya göze alamaz.

Bazı uygulama dağıtım siteleri HTTPS kullanır . Ama çoğu değil.

Firefox, uygulamayı indirirken varsayılan olarak HTTPS kullanmayan HTTPS kullanmayan bir uygulamanın yüksek profilli bir örneğidir (bkz. Kopyalar ne kadar güvenli? Mozilla yansıtma sitelerinde bulunan Firefox’un? ).

Windows Update'in tamamı güvenli bir kanal üzerinden yapılır (HTTPS'ye benzer). Linux paket yöneticileri HTTPS'nin kendisi olmasa da indirdikleri yazılımı korumak için şifreleme kullanır.

9
D.W.

Çoğu zaman uygulama için MD5sums ve SHA1 toplamları olacaktır. İndirdikten sonra, bunu web sitesinde görüntülenene kontrol etmeniz gerekir. Hesapladığınız hesap aynıysa, sorun yoktur.

4
Lucas Kauffman