Perdóneme por una pregunta potencialmente obvia, y sé que la respuesta segura es "¡Use siempre https!", pero estoy tratando de comprender qué tan necesario es usar https para cualquier persona que acceda al backend. CMS como Drupal, WP, etc. Me preguntaba si alguien podría aclarar algunas cosas.
-
Mi comprensión de los ataques de hombre en el medio es que son relativamente un comunes a las redes con medidas de seguridad básicas (como redes domésticas, redes Wi-Fi con contraseña) , redes de oficinas). Básicamente, no hay puntos de acceso fáciles entre, por ejemplo, mi casa y mi ISP, donde alguien puede configurar un sistema para interceptar el tráfico.
-
Por supuesto, las redes abiertas de wi-fi proporcionan un punto de entrada fácil para interceptar el tráfico, pero incluso las redes grandes protegidas por contraseña, como las conexiones a internet de hoteles, etc., proporcionan otro punto de acceso fácil para interceptar el tráfico de cualquier persona. de lo contrario, acceda a Internet a través de la misma red.
Suponiendo que estas dos cosas son correctas, haría las siguientes deducciones:
-
Me parece que iniciar sesión en un CMS a través de http en cualquier tipo de cuenta administrativa es generalmente seguro (aunque quizás no sea una buena práctica) desde su hogar y desde la oficina, ya que siempre que no haya wi-fi abierto y, por supuesto, no haya usuarios malintencionados que utilicen sistemas dentro de dicho hogar u oficina.
-
Esto también significaría que si está iniciando sesión en un CMS con esa capacidad a través de una conexión de hotel, conexión en vuelo o algo por el estilo, debe siempre usar https. Estoy bastante seguro de que esto es obvio, pero solo quiero aclarar, ya que la seguridad no es mi especialidad.
¿Alguien puede decirme si básicamente estoy en el camino correcto aquí, o si alguno de mis entendimientos o suposiciones son erróneos de alguna manera? Básicamente, lo que estoy tratando de determinar es si es bastante necesario siempre tener una configuración de sitios web basada en CMS usando https, o si el http antiguo es, en general, lo suficientemente seguro para los sitios en los que los administradores inicie sesión solo desde redes en las que todos los usuarios sean de confianza.