了解非SSL登录表单的风险

Question

作为Web应用程序的用户,我倾向于只注册使用SSL安全登录表单的服务.作为开发人员,我知道风险是非SSL表单以纯文本形式传输,不道德的个人可以"嗅探"HTTP流量并确定我的登录名和密码.

但是,如果我在国内,我的DSL或有线互联网连接上说,这种情况发生的真正风险或可能性是什么？数据包嗅探器需要在哪里运行？可以在任何时候将数据包嗅回到服务器吗？是否更容易在拥有更大局域网的公司网络中"嗅探数据包",而不是在家？

我已经开发了很长一段时间的Web应用程序,但我从来没有真正理解这一点.我想对此有所澄清.

谢谢.

Answer 1

在您的ISP和目的地之间的节点上嗅探您的流量的风险是远程的.您将成为百万之一,并且在该级别上需要非常小的处理能力来执行数据包检查以识别携带登录信息的数据包.

正如已经指出的那样,真正的风险在于本地网络.最常见的两种情况是:

1. 受感染的计算机或恶意用户使用ARP中毒等技巧来嗅探所有未加密的流量.在低流量网络上,ARP中毒相当不明显.在高流量网络上,它将导致显着的性能下降并且检测概率增加.通过勤奋的网络划分可以减少ARP中毒的有效性.

2. 有人控制了网关.这可能是最糟糕的情况,因为所有互联网流量都通过网关.根据攻击者的聪明程度,这可能非常难以检测.

SSL可以防止嗅探,它还有另一个你可能不知道的优点:SSL可以让你确定接收你的密码和其他细节的实体是你认为的那个.

如果说你是DNS中毒的受害者,有人将你重定向到一个看起来与合法网站完全相同的恶意网站,你将无从得知.使用SSL,您将收到一条警告/错误,指出该站点没有有效的证书,该证书会提醒您所有证据都不是应该的.

我个人定制我的密码,以确定信息是否通过HTTPS传播.我这样做是因为最终我需要在不受信任的网络上通过HTTP登录是不可避免的.

Answer 2

数据包可以在客户端和服务器之间的路径上绝对嗅探.攻击者只需要对其中一个网络进行物理访问即可.

显然,你越接近'主干'(ISP)而不是'叶子'(家用路由器,家用电脑),你可以嗅到的东西越多.

使用DNS欺骗,攻击者可以修改该路由,使其通过他们控制的系统.

可能最简单的方法是亲自尝试.安装Wireshark,看看看过去的东西是多么容易.

Answer 3

由于它是共享的广播媒体,因此电缆很容易嗅探数据包.工作网络,而不是.通常切换时,有人必须专门针对您(或执行常规端口监控设置)来嗅探您的流量.DSL直接连接到ISP,所以没有那么多.一旦它上网,有人窃取它的现实机会非常低.帐户几乎总是被黑客入侵数据库或窃取不安全无线信息.在这些中,直接黑客攻击数据库具有最佳的风险/回报率,因此它是最受欢迎的.