引用:
|
作者HHeLiBeBCNOFNe
個人是覺得，
一堆阿貓阿狗的應用通通都上https根本沒意義，
比如看影音網站、看新聞、論壇之類的東西，
既不牽扯到私密對話、也沒牽扯到金融交易、帳號密碼傳輸，
不知道通通加密傳輸是有什麼意義？
浪費伺服器端的運算資源，也讓各用戶端的設備用電增加，
然後也防不了真正有心人的詐騙...甚至是要防政府監聽也沒辦法，
實在是真的有點過火了...
|
為了省資源才更應該走 HTTPS ( HTTP/2, SPDY )
還可以有效降低延遲跟回應時間
HTTP 只有握手階段有一點優勢
手握完，就完全被 HTTPS 輾壓
再說密碼傳送也不可能只靠 HTTPS 的通道加密
本身傳送之前就會進行加密或雜奏
只有傻瓜如 SONY PSN 才會明碼紀錄
引用:
|
作者cmwang
鵝是覺得某些搞資安的人打嘴砲打的太過火了,像是原先不接受效期超過兩年的憑證就有點誇張了,現在更搞到不接受超過13個月的,標準不知道怎麼來的,還有TLS版本也是,老實說很多弱點都是在實驗室中才可能硬幹出來的,現實環境中不太可能看到,再說加密的內容可能被窺視是網站和user之間的事,browser強行介入根本是越俎代庖吧----如果TLS1.2以下都不安全,那為何沒加密的http反而不會被一整頁警告訊息伺候啊  .... |
這個就像當初某人說的"相信台灣的老闆會自律"是一樣的
你不改，那我就逼著大家改
對方伺服器跟 user 怎麼會知道被中間人攻擊？
唯一能察覺的就只有瀏覽器而已，如果瀏覽器甚麼都不管
那今天每個網站都會繼續保持 http ，完全沒有加密的需要
因為你做了也不知道有沒有用，那為什麼要做？
HTTP 最早的時候被 Google Chrome 認定是不安全
但後來他們覺得不是每個網站都需要加密
所以就沒有繼續顯示純 HTTP 網站不安全
基本上，目前會被安全問題禁止瀏覽的網站
其使用的 TLS 協定，解密在實務上遠比你想像的簡單
其他如無線分享器的 WPA2 加密也是一樣
WPA3 的出現則是因為 WPA2 協定本身被發現有嚴重漏洞
跟 WPA2 本身演算法強度高不高無關
引用:
|
作者michelle-lai529
以我們自己家的來說吧，如果使用openssl，其實升級並不困難，比較麻煩的是使用APACHE mod_ssl，這種方式來加裝ssl雖然很簡單，但後續升級就得連同apache一併升級，而apache升級後，某些參數得一併更動，我們家的就是這裡有困難，機器上面跑太多家了，為了某幾家參數更動次數早就數不清了，一旦升級了，舊的參數檔不適用，更動又怕連帶影響一些舊系統，然後得花時間去逐一除錯。
|
這種問題我的作法是舊機器不動，全部走 HTTP 未加密流量
然後這些機器的前面再加一台 proxy 做反向代理
這樣就可以簡單快速的解決憑證跟 openssl 的問題
連編譯或者改參數都不需要