SSL: Güvenlik ile API performansını nasıl dengeleyebilirsiniz?

Question

Korkunç güvenlikli API'lar yaygın bir yerdir. Noktadaki durum - TechCrunch'ta this story.

Sorunu yanıtlıyor, SSL söz konusu olduğunda güvenliği nasıl performans ile dengeliyorsunuz? Açıkçası, kullanıcı adları ve şifre gibi hassas bilgiler SSL üzerinden gönderilmelidir. Bir API anahtarını kullanan sonraki çağrılardan ne haber? Kimlik kanıtı gerektiren API çağrıları söz konusu olduğunda şifrelenmemiş bir bağlantının kullanılması hangi noktada tamamdır?

Answer 1

Sorun şu ki, uygulamanızın performansını anlamadan, uygulamayı metriksiz olarak denemek ve optimize etmek yanlıştır. Bu, devlerin, bir başka 10ms performans sergilediğini düşünerek şifrelenmemiş bir API bırakma kararlarına yol açar. Güvenlikle ilgili endişeleri dengelemek için en iyi yolu seçin, önce güvenlik konusunda endişelenmek, gerçek müşterilerden bazı yükler almak (bazı mimarlar tarafından takılan beyaz tahta sopa rakamları değil) ve performanstan şüpheleniyorsanız, kodunuzdan gerçek ölçüler elde edebilirsiniz. konu. Güvenlikle ilgili olmayacak garip bir his var.

Answer 2

Karışık içeriğe izin veriyorsanız, ortada bir adam, sayfada zaten bulunan hassas bilgileri çalması için karma içeriği yeniden yazdırabilir. Ücretsiz kablosuz erişim sağlayan kafeler ve benzerleriyle, ortadaki adam saldırıları bu kadar zor değildir.

https://www.eff.org/pages/how-deploy-https-correctly

iyi bir açıklama verir:

bir uygulamayı barındıran HTTPS üzerinden, hiçbir karışık içerik olamaz; , sayfadaki tüm içeriğin HTTPS aracılığıyla getirilmesi gerekir. , sitelerde ana sayfalarına aracılığıyla getirilen kısmi HTTPS desteğine bakın, ancak sayfadaki HTTPS öğeleri, biçembentler ve JavaScript öğelerinin bir kısmı veya tamamı HTTP yoluyla getirilir.

Bu ana sayfa yükleme aktif ve pasif ağ saldırısı, diğer kaynakların hiçbiri karşı korunmuş olmasına rağmen, çünkü güvenli değildir. Bir sayfası HTTP üzerinden bazı JavaScript veya CSS kodu 'u yüklüyorsa, bir saldırgan bir yanlış, zararlı kod dosyası sağlayabilir ve yüklendikten sonra sayfanın DOM'si üzerinden numaralı telefonu alabilir. Sonra, kullanıcı güvenliği olmayan bir durumuna dönecekti. Bu , tüm yaygın tarayıcıların kullanıcılarını karışık içeriğine yüklenen sayfalar hakkında uyarmalarıdır. HTTP üzerinden görüntülerine başvurmak güvenli değildir: Ne de saldırganın iletiyi kaydet ve Webmail uygulamasında İleti simgelerini sil?

Tüm uygulama etki alanını HTTPS üzerinden sunmalısınız. Eşdeğer HTTPS kaynağına HTTP 301 veya 302 yanıtlarıyla HTTP isteklerini yeniden yönlendirin.

Answer 3

Sen sıçrama önce SSL sözde performans sorunları ile ilgili bazı kanıt toplamak gerekir. Oldukça sürpriz olabilir.