No ona stačí i
bota v
konkrétní verzi prohlížeče a taky si
https neotevřete. I když v
jiném ano.
HTTPS every where v firefoxu má podstatný rozdíl v chování při volbě tuším nazvané "all sites Eligible Encryption on", což je to bezpečnější chování, které ale asi není defaultní. To znamená že :
- na port 80 to nikdy nejde bez explicitního potvrzení.
- A automaticky to taky nahrazuje http za https.
- dialog pro port 80 to nabídne ?
jen ? v případech, že na portu 443 to neběží a nebo že na portu 443 je nějaká chyba - takových webů je dost (špatná konfigurace apache, že to vrací 404 a jiné)
-poslední bod právě trochu dělá návštěvu takových webů obtížnější, protože se musí dát vyjímka pro tuto doménu a znovu otevřít s HTTP
* trochu jsem zjednodušil frázi "na portu 443", ale pokud vše běží na portech 80 a 443, tak vlastně je poznámka bezpředmětná
A myslí to tazatel obecně, nebo pro své projekty? taky se tady spojují 2 věci a to ten redirect z 80/HTTP na 443/S a druhá vůbec provozovat po 80/HTTP
Za mě to má smysl (ten redirect, webový server nepošle nikdy obsah stránky ale jen Location:), protože hacker stejně může udělat MITM v variantně HTTPS-HTTPS nebo HTTPS:HTTP. S jedinou vyjímkou, že může dojít k odposlechu domény a User Agenta, ale to první taky
omezeně jde i přes odposlech SNI na portu 443.
11 Odpovědí
5199 Zhlédnutí