क्या किसी अनएन्क्रिप्टेड वायरलेस नेटवर्क पर https ट्रैफ़िक सुरक्षित है?

21

यह एक ऐसी चीज है जिसे मैंने लंबे समय से सोचा है। अगर मैं कहूं, तो Gmail पर https का उपयोग करते हुए, यदि कोई असुरक्षित वायरलेस नेटवर्क का उपयोग करता है तो क्या कोई मेरे IM वार्तालाप और ईमेल पढ़ सकता है? मुझे लगता है कि डेटा सुरक्षित होगा, क्योंकि यह एक एन्क्रिप्टेड कनेक्शन का उपयोग कर रहा है। क्या विचार करने के लिए कुछ और है?

wireless-networking security encryption

— davidscolgan
स्रोत

3

संबंधित चाहिए पढ़ने के लिए लेख: Firesheep

— Sathyajith भट्ट

1

मुझे लगता है कि यह वह लेख था जिसने उन्हें इस विषय पर ऐसा प्रश्न पूछने के लिए प्रेरित किया।

— JFW

21

मुझे लगता है कि अगर आप असुरक्षित वाईफाई (या यहां तक कि वाईफाई को सुरक्षित कर सकते हैं, तो अगर वे ऐसा करने का कोई तरीका खोजते हैं) तो कोई भी व्यक्ति एक-के-बीच-बीच में हमला कर सकता है। यही कारण है कि आपको हमेशा यह जांचने की आवश्यकता है कि SSL कनेक्शन आपके एड्रेस बार में हरे रंग को दिखाता है और / या मैन्युअल रूप से डबल-चेक करता है कि असुरक्षित वाईफाई का उपयोग करते समय प्रमाणपत्र मान्य है। यह मानते हुए कि प्रमाणपत्र सही है, तो एसएसएल को आपके डेटा की सुरक्षा करनी चाहिए।

— डार्थ Android
स्रोत

7

अगर सही तरह से जाँच किए गए SSL प्रमाणपत्रों के साथ SSL सही तरीके से एन्क्रिप्ट किया गया है, तो MITM हमला असंभव है।

— ईवनमॉ।

@ ewanm89 यही कारण है कि मैं असुरक्षित नेटवर्क पर संवेदनशील / बैंकिंग / ईमेल / कुछ भी करते समय प्रमाण पत्र की जांच करने की आवश्यकता है। यदि आप ध्यान नहीं देते हैं कि प्रमाणपत्र मान्य करने में विफल रहता है, तो MITM संभव है। सौभाग्य से इन दिनों webbrowsers यह बहुत मुश्किल नहीं नोटिस करने के लिए बनाते हैं।

— डार्थ Android

1

@ Ewanm89 में जोड़ने के लिए, MITM और स्निफ़ पैकेट होना असंभव नहीं है - केवल उन्हें पढ़ना असंभव है क्योंकि वे एन्क्रिप्टेड हैं।

ठीक है, वह बाल काट रहा है। MITM और ऐसा पैकेट होना जो रैंडम डेटा की तरह ही दिखता है, ज्यादातर मामलों में पहले स्थान पर ऐसा नहीं करना है। लेकिन हाँ, कोई ट्रैक कर सकता है कि कंप्यूटर किस डोमेन से जुड़ रहा है, लेकिन भेजे गए / प्राप्त किए गए वास्तविक डेटा को नहीं जानता है। इसके अलावा, अगर हम पूरी तरह से ईमानदार होने जा रहे हैं, तो मैं सिद्धांत रूप में पर्याप्त कंप्यूटिंग शक्ति के साथ एईएस कुंजियों को बल दे सकता हूं (यह बहुत अधिक लगता है)।

— ईवानमॉ।

इसके अलावा, मुझे लगता है कि CA से समझौता नहीं किया गया है, एक जाँच करता है कि जिस साइट के एडमिनिस्ट्रेटर ने वास्तव में किया था, वह उस CA के पास गया और उसने एडमिनिस्ट्रेटर से पूछा कि सर्टिफिकेट फिंगरप्रिंट किसी दूसरे चैनल का होना चाहिए। जैसा कि कोई देख सकता है, एसएसएल प्रमाणपत्र की ठीक से जाँच करना दुर्लभ है (हालाँकि ओपनवपन जैसे अनुप्रयोगों में किया जाता है जहाँ व्यवस्थापक कनेक्शन से पहले सेर वितरित करता है, क्लाइंट भी इसे पूरी तरह से सत्यापित करने के लिए)।

— इवानमो e e

2

मुझे लगता है कि आपका तर्क सही है; आपकी जानकारी को पढ़ने के लिए उन्हें SSL को डिक्रिप्ट करना होगा। एन्क्रिप्ट किए गए डेटा तक पहुंचने के लिए, उन्हें तोड़ने के लिए बस एक कम स्तर का एन्क्रिप्शन होगा।

— PeterT
स्रोत

2

जब तक आपके DNS और आपके ब्राउज़र का SSL रूटकी सर्वर वैध हैं, तब तक एक असुरक्षित वायरलेस नेटवर्क पर एक हमलावर जब तक आप सर्वर के साथ अपने SSL पाइप में नहीं जा सकते।

इस क्षेत्र में DNS बड़ी भेद्यता है - यदि आपके DNS सर्वर की एक हमलावर से संक्रमित हो जाती है, तो सभी तरह की चीजें सुरक्षित दिखाई दे सकती हैं, लेकिन वास्तव में असुरक्षित हो सकती हैं।

लेकिन अगर आपका सवाल यह है कि क्या हवाई अड्डे या कॉफी की दुकान पर एक बेतरतीब हैकर आपके एसएसपी पाइप को आपके बैंक में हैक करने में सक्षम होने जा रहा है, तो इसका जवाब लगभग निश्चित रूप से नहीं है।

— stevemidgley
स्रोत

1

वैसे भी ध्यान रखें कि केवल http स्ट्रीम के अंदर का डेटा एन्क्रिप्ट किया गया है, लेकिन URL नहीं हैं, इसलिए हो सकता है कि कोई आपको प्रतिरूपित कर सके।

— इग्नासियो सोलर गार्सिया
स्रोत

2

यह बिल्कुल सही नहीं है। सुरक्षित कनेक्शन के माध्यम से भेजे जाने से पहले डोमेन नाम को छोड़कर अनुरोधित URL में सब कुछ एन्क्रिप्ट किया गया है। इसमें GET का अनुरोध शामिल है।

— एंड्रयू

1

आपको यह भी विचार करना होगा कि प्रारंभिक गैर-एसएसएल पृष्ठ संरक्षित नहीं हैं।

आपके द्वारा देखी जाने वाली अधिकांश सुरक्षित साइटें आपको लॉगिन पृष्ठ पर जाने के लिए http से एक https url से पुनर्निर्देशित करेंगी, लेकिन एक अविश्वसनीय नेटवर्क पर, आपको इसके बजाय किसी अन्य व्यक्ति द्वारा बीच में भेजा जा सकता है।

गौर करें कि आप http://firstoverflowbank.com पर जा सकते हैं , जो आमतौर पर आपको https://login.firstoverflowbank.com पर पुनर्निर्देशित करेगा, लेकिन असुरक्षित नेटवर्क पर आपको https://login.flrstoverflowbank.com के बजाय भेजने के लिए सेट किया गया है । आप संभावना नहीं देखेंगे, भले ही आप समय की जाँच करें और ब्राउज़र सुरक्षित होने के नाते सब कुछ दिखाएगा।

इस तरह की चीज़ से बचने के लिए, बुकमार्क या सीधे https टाइप करें: // url, कभी भी उस रीडायरेक्ट पर भरोसा न करें।

— एंड्रयू
स्रोत