任何时候,使用用户名/密码身份验证时,常识是要使用加密(SSL、HTTPS等)来保护数据的传输。但这样可能会使端点面临潜在的漏洞。
从实际情况来看,哪个更容易遭受入侵?
传输层:通过无线数据包嗅探、恶意窃听等方式进行攻击。
传输设备:风险包括ISP和互联网骨干运营商嗅探数据。
终端用户设备:容易受到间谍软件、键盘记录器、肩部冲浪等攻击。
远程服务器:许多不可控制的漏洞,包括恶意操作员、被入侵导致数据被盗、物理抢劫服务器、备份保存在不安全的地方等等。
我的直觉反应是,虽然传输层相对容易通过SSL来保护,但其他领域的风险要大得多,特别是在终端点上。例如,在家里,我的计算机直接连接到路由器;从那里,它直接连接到我的ISP路由器,然后进入互联网。我估计传输层(包括软件和硬件)的风险很低或不存在。但我所连接的服务器有什么安全性?它们是否被黑客攻击?操作员是否收集用户名和密码,因为大多数人在其他网站上使用相同的信息?同样,我的计算机是否受到恶意软件的攻击?这些似乎是更大的风险。
我的问题是:如果我正在使用或开发的服务不使用SSL,我应该担心吗?当然,这是低垂果实,但还有很多更高的果实。
从实际情况来看,哪个更容易遭受入侵?
传输层:通过无线数据包嗅探、恶意窃听等方式进行攻击。
传输设备:风险包括ISP和互联网骨干运营商嗅探数据。
终端用户设备:容易受到间谍软件、键盘记录器、肩部冲浪等攻击。
远程服务器:许多不可控制的漏洞,包括恶意操作员、被入侵导致数据被盗、物理抢劫服务器、备份保存在不安全的地方等等。
我的直觉反应是,虽然传输层相对容易通过SSL来保护,但其他领域的风险要大得多,特别是在终端点上。例如,在家里,我的计算机直接连接到路由器;从那里,它直接连接到我的ISP路由器,然后进入互联网。我估计传输层(包括软件和硬件)的风险很低或不存在。但我所连接的服务器有什么安全性?它们是否被黑客攻击?操作员是否收集用户名和密码,因为大多数人在其他网站上使用相同的信息?同样,我的计算机是否受到恶意软件的攻击?这些似乎是更大的风险。
我的问题是:如果我正在使用或开发的服务不使用SSL,我应该担心吗?当然,这是低垂果实,但还有很多更高的果实。