Найдена единственная польза от SSL сертификата.

Самые популярные товары с Али по лучшей цене здесь

Кожаный мужской кошелёк 330 руб.
Зарядное устройство USB Quick Charge3, 4 порта 144 руб.
Мужские носки, 5 пар за 318 руб.

01 апреля 2020, 14:00

Найдена единственная польза от SSL сертификата.

Найдена единственная польза от SSL сертификата.

Лишь партизаны
Избежали одежды
С жёлтой звездой.

Каждый владелец сайта рано или поздно должен принять решение, ставить свой сайт под SSL сертификат, или нет. Оно совершенно не очевидно, потому как вот сходу целый ряд соображений:

Доводы в пользу применения SSL сертификата.

  1. Последние несколько лет все хостеры выдают SSL сертификат нижнего уровня бесплатно и безвозмездно, то есть даром. Перевод сайта с http на https протокол ничего не стоит. Буквально.

  2. Поисковики индексируют сайты преимущественно в https протоколе, если сайты в состоянии работать и так, и этак, в обоих протоколах одновременно. Это вполне прозрачный намёк.

  3. Производители браузеров тоже третируют сайты в http протоколе всякими обидными значками в адресной строке.

  4. Вроде как пока https пользовательский трафик не вскрывается в массовом порядке спецаппаратурой на входной магистрали провайдера (аппаратуру ещё не всюду завезли), и чего-то от кого-то действительно шифрует, а потому от https протокола польза есть.

Недостатки применения SSL сертификата на сайте.

  1. Установление «защищённого» соединения с сайтом у браузера многоэтапное, и в реальных условиях провинции довольно медленное. Сайт отзывается не сразу, и не так быстро, как по «незащищённому» соединению.

  2. Вариантов шифрования много, так что некоторые пользователи не смогут открыть Ваш сайт в https протоколе в принципе. К примеру, Хром в XP Винде не зайдёт на сайт qsl.net напрямую, ему потребуется прокладка в виде анонимайзера типа noblockme.ru, чтобы обойти факт неразумения используемого сайтом варианта шифрования.

  3. Скорее всего, сайт придётся кардинально перетрясать, чтобы не возникло смешанного содержимого, когда на страницах используются элементы (картинки, скрипты, фреймы) подтягиваемые одновременно через http и https протоколы.

    Иначе лавина предупреждений браузера не даст спокойно смотреть содержимое сайта - пользователь просто заматерится, и уйдёт прочь.

Грядущая бесполезность SSL сертификата.

  1. Кто внимательно читал опус про суть закона об изоляции Рунета, тот поймёт смысл кавычек вокруг термина «защищённость соединения» в предыдущих пунктах. По факту её нет, и больше никогда не будет. Это профанация.

  2. В условиях чебурнета, который рано или поздно непременно накроет Страну, все зарубежные удостоверяющие центры станут тупо недоступны, а SSL сертификаты бесполезны (сайты в https протоколе не смогут даже открыться).

    Пример с qsl.net и Виндой XP макетирует грядущую ситуацию.

  3. Останется только «отечественная криптография», которую нам навяжут по-любому. Никакой «безопасности» от неё не стоит ждать по определению.

Так нужен SSL сертификат или нет?

Местный автор до последнего времени полагал, что не нужен. Он ничего не даёт, но, с другой стороны, и ничего не стоит. Поэтому все сайты местного автора были настроены для одновременной работы как по http, так и https протоколу.

Без насильственной переадресации в один из них.

Но теперь возникло другое мнение? Почему?

Грядущий чебурнет не сможет наступить без переподчинения единому оператору всей магистральной инфраструктуры, владельцем которой назначен Ростелеком. Весь трафик теперь проходит через него. Особенно трансграничный.

Естественно, когда кому-то в руки попадает какой-то ресурс, у этого кого-то возникает непреодолимое желание тем ресурсом воспользоваться. Чуть позднее таким ресурсом станет вскрытый «зашифрованный» трафик, а так же архивы Яровой. Но это в перспективе.

Пока же мы наблюдаем детские шалости с http трафиком, но вполне тянущие на статью 272 УК РФ, а именно: «Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации», а так же созвучные статьи 273 и 274 того же Кодекса.

Потому как вот что происходит на практике в массовом порядке.

Любой сайт, выстроенный по идеологии WEB 2.0, то есть использующий сторонние ресурсы в виде скриптов и библиотек, динамически подгружаемых извне, у абонентов Ростелекома с некоторых пор начал показывать рекламу, не предусмотренную кодом самого сайта.

Разбирательство показало, что виновной обычно оказывается какая-нибудь библиотека, но творчески дополненная Ростелекомом. С обфускацией кода и рандомом, всё, как положено.

Одно из наблюдений зафиксировано инструментально на примере jquery от Гугла. Но возможен совершенно любой .JS файл, и не только. Как показали эксперименты, достаточно даже пустого контейнера script, вставленного на статичную html страницу, запущенную на локалхосте. Тем не менее, баннер Ростелекома там нарисуется.

То есть трафик через Ростелеком модифицируется, с впердоливанием в него рекламы. Чем, кстати, занимались мобильные операторы последние лет пять.

Это всего лишь один из законов Мерфи в действии: «Если куда-то можно засунуть рекламу, рано или поздно найдется ретивый идиот из отдела маркетинга, который решит ее туда засунуть»

Понятно, что в любой цивилизованной стране, к которым наша с очевидностью не принадлежит, оператора, внаглую модифицирующего пользовательский трафик в своих интересах, разорили бы штрафами. В нашем же случае Ростелеком предлагает пользователю написать заявление на отключение такой «услуги».

Чем это опасно?

Сегодня серферу покажут на Вашем сайте баннер Ростелекома, которого там не должно быть. Серфер или ничего не поймёт, и подумает лишь, что владелец сайта просто денег хочет, понавесив на сайт всякого дерьма. Если вообще то дерьмо узреет сквозь адблоки.

Завтра вместо баннера, проявляющего себя визуально, серферу может подгружаться вообще никак не проявляющий себя код непонятного назначения, но выполняющий какую-то функцию в рамках концепции «цифрового Гулага». Это обязательно случится, если уже не.

Как с этим безобразием бороться?

Пока что вмешательство Ростелекома производится лишь в скрипты, подгружаемые по http протоколу. Поэтому пока достаточно перевести сам сайт на https протокол. Чтобы не возникло «смешанного содержимого», вынужденно придётся и все подгружаемые скрипты прописать через https, иначе страничка будет ругаться. Что не существует в https протоколе, то придётся выкинуть нафиг, и заменить чем-то другим.

Ежели такое невозможно, пока помогает дописывание к URL-у стороннего скрипта произвольного параметра в конце:

<script src="/path/to/script.js?abcdef"></script>

Однако учитывая, что обычно сторонний скрипт вызывается уже с параметрами, это не всегда годится. Фиктивность параметра API стороннего сервиса может и не понять.

Заметим, что Ростелекому всё равно, куда пихать вызов своей рекламы, он её легко подошьёт и к собственно html документу, даже если тот не оперирует никакими скриптами, подгружаемыми извне. Так что поможет только шифрование и грамотно настроенные CSP политики.

Здравствуй, HTTPS?

Да, видимо.

В условиях чебурнета это не спасёт (мы будем затроянены Ростелекомом чем угодно и без всякой надежды от этого отбиться), но пока есть возможность жить без левых баннеров.

Для пользователей Наны документ про SSL обновлён.

Другие статьи категории «Крамольные мысли вслух»

Смысл закона о предустановке приложений.

Смысл закона о предустановке приложений. Давайте сегодня поговорим о том, что «могут не только лишь все, мало кто может это делать». Например, догадываться об истинных намерениях законодателя, регулярно повергающего население в состояние глубочайшего изумления, в полном соответствии с рецептом Салтыкова-Щедрина. Крайняя инициатива была про принудительную установку неких православных «приложений», насильственно внедряемых в любое продаваемое населению устройство класса «компьютер» или «смартфон».

О сути закона об изоляции Рунета кратко и доходчиво.

О сути закона об изоляции Рунета кратко и доходчиво. Как многие из нас в курсе, с 1 ноября 2019 года вступил в силу закон об изоляции Рунета. Называется он как-то по-другому, но важна не форма, а суть. Суть сводится к обязательству операторов связи устанавливать специальные технические средства, ограничивающие распространение запрещенных в Стране данных.

Про выжившие доменные зоны грядущего Чебурнета.

Про выжившие доменные зоны грядущего Чебурнета. Местный автор уже предъявлял миру своё видение того, что прямо сейчас происходит в отечественном сегменте интернета, куда и к чему всё это потихоньку и неспешно движется, и что в итоге должно получиться. Почитайте сперва небольшой материал про рубильник и жёлудь. С течением времени становится понятнее, как именно процесс закукливания Страны будет проистекать.
Все заметки категории «Крамольные мысли вслух»