HTTPS/SSL 在本地网络上有意义吗？

Question

我想知道我是否应该在 LAN 中的 Web 服务器上启用 HTTPS/SSL。

在通常由交换机连接设备的局域网中，嗅探器/中间人有哪些机会？

通过局域网以纯文本形式发送密码是否存在疏忽？

我也想摆脱警告自签名证书。

Answer 1

取决于您的威胁模型。如果您认为您的网络上可能存在坏人，那么您绝对需要对流量进行加密。

当两台机器在同一个子网上（即它们之间没有路由器）时，ARP Poisoning成为一种可行的攻击。这需要攻击者告诉一台机器“嘿，我是你正在与之交谈的服务器，我的 MAC 地址现在是attacker's MAC”，然后告诉另一台机器“嘿，我是你正在与之交谈的客户端，我的 MAC 地址现在是attacker's MAC.” 完成后，攻击者可以监听所有流量（或更改它！），然后再将其转发给真正的接收者。

当可能存在攻击者时，删除有关自签名证书的警告是一个坏主意，因为这样做首先破坏了拥有证书的全部意义，特别是，不是任何人都可以制作证书然后让其他计算机相信他们是正确的服务器。如果我可以创建一个证书，说我是谷歌并且你相信我，我可以拦截你到谷歌的流量并摆弄它，你不会知道，因为你认为我的证书是合法的。TLS（和所有公钥基础设施，真的）需要有值得信赖的证书颁发机构。

如果您确定没有攻击者将永远能够连接到网络（例如，两台服务器直接连接并在物理上受到保护），那么您可以以明文方式发送您想要的任何内容。否则，安全是一个很好的计划。