¿Todavía tiene sentido cifrar los datos sobre SSL? [duplicar]

Depende principalmente de los riesgos que desee mitigar. Si puede (razonablemente) confiar en toda la infraestructura del servidor, y si no necesita proteger estos datos de un proxy corporativo de inspección profunda, puede confiar en la capa de cifrado SSL / TLS.

Normalmente, solo debe agregar otro nivel de cifrado en los siguientes casos de uso:

• está trabajando detrás de un proxy corporativo con una profunda inspección de paquetes y los datos son lo suficientemente confidenciales como para requerir que estén ocultos para el equipo de soporte de la red local
• los datos nunca deben estar en forma descifrada en el servidor. Esto se puede usar si no puede confiar en el equipo de administración del servidor

Un ejemplo de este último caso de uso es el intercambio de correos encriptados S / MIME. Aún usa TLS para proteger la comunicación (principalmente las credenciales) pero solo el destinatario final podrá leer el mensaje: el administrador del servidor de correo solo encuentra una carga cifrada.

Si el servidor y del cliente se puede autenticar y el cliente está autorizado para acceder a los datos, el cifrado de los datos no proporciona ninguna seguridad adicional.

Sin embargo, si el canal de comunicación podría verse comprometido (por ejemplo, a través de un servidor proxy que actúa como un intermediario), sus datos pueden estar en riesgo. La autenticación correcta del servidor en el lado del cliente (por ejemplo, la fijación de certificados) puede evitar esto.