¿Existen fuertes razones técnicas para que los navegadores exijan TLS para http2?

2

Me doy cuenta de que hay preguntas similares en torno a este tema, sin embargo, creo que esto es lo suficientemente diferente / enfocado para no ser un duplicado. Espero que no suene como una caja de jabón.

HTTP / 2 obliga efectivamente a TLS, ya que no hay una implementación de navegador que admita h2c.

Si bien los objetivos del movimiento "SSL en todas partes" parecen razonables, no estoy convencido. Me preocupa que, en la práctica, haga que la web sea menos segura al tiempo que crea la ilusión de seguridad.

En muchas partes del mundo occidental, el ancho de banda existe en cantidades suficientes para que el almacenamiento en caché local se pase por alto como una preocupación, ciertamente no es universal. De hecho, la conectividad confiable es un problema en algunas ubicaciones, y un proxy de almacenamiento en caché es un solución atractiva.

Ya existen proxys TLS que pueden usarse para mitigar esto, siempre que alguien esté dispuesto a instalar una CA raíz para aceptar contenido firmado nuevamente. Algunos escritorios corporativos hacen esto como parte de una compilación estándar. Forzar el TLS en los usuarios web fomentará esta práctica.

También habrá casos en los que, en lugar de instalar una CA raíz, los usuarios se acostumbrarán a aceptar certificados autofirmados o sospechosos, posiblemente a un nivel en el que se convertirá en automático incluso para sitios que realmente no deberían tener este problema.

Hay un impacto psicológico en producir el mensaje de que "este sitio es seguro": predispone a los usuarios a pensar que si pueden ver un candado seguro / marca verde / lo que sea, no necesitan preocuparse por la información. están compartiendo, y por qué: los sitios legítimos pueden ser pirateados, los de menor reputación pueden obtener certificados SSL, y si no hay al menos una agencia de inteligencia o un cartel del crimen organizado que tenga una copia de un certificado CA de raíz real, entonces yo Soy una tetera.

Espero que puedas convencerme de que estoy equivocado; ¿Existen razones técnicas sólidas para que los navegadores exijan TLS para http2?

Pensamiento posterior Si bien aprecio plenamente las preocupaciones planteadas por la NSA y GCHQ al ser espiado en las plataformas de redes sociales y de correo electrónico populares basadas en la web, me sorprende que las plataformas administradas por corporaciones multinacionales sean consideradas más confiables, algunas, si no todas, de ellas. are está recopilando inteligencia, renombrada y justificada por publicidad dirigida.

    
pregunta Phil Lello 13.03.2016 - 20:09
fuente

1 respuesta

1

Existen algunas razones técnicas para que http2 solo use tls. Como punto de partida:

  • Velocidad de negociación: sin tls, la negociación de actualización se realiza como una solicitud http adicional, por lo que hay viajes de ida y vuelta adicionales. Con tls esto se hace como parte de la negociación de tls, desde tls 1.3 esto podría ser un solo viaje de ida y vuelta.

  • Proxies: cuando se usa texto sin formato, muchos proxies de Internet pueden interferir, los proxies mal configurados pueden causar problemas si no entienden http2. Con tls esto es evitar, nada entre el servidor y el cliente puede interferir.

Tal vez esto es más que no he recordado en este momento. Y esto evita hablar de tus puntos más generales para un uso más amplio de tls.

  • Es poco probable que el uso de tls en todas partes resulte en un mayor uso de certificados autofirmados, ningún sitio que se respete a sí mismo usará uno, siempre perderá clientes y, de todos modos, servicios como el cifrado hacen que sea trivial utilizar un certificado de confianza.

  • El almacenamiento en caché, a menudo ya está limitado a los cachés controlados por el servicio, es poco probable que el uso de más y más tls tenga un gran efecto en eso. A medida que más y más sitios hacen uso de los proxy de CDN se han vuelto menos relevantes.

respondido por el mcfedr 13.07.2017 - 12:30
fuente

Lea otras preguntas en las etiquetas