5

Considerando um sistema no qual possua os tratamentos corretos do lado do servidor, validações e protegido contra ataques de injeção SQL, XSS e força bruta, seria suficiente apenas encaminhar a área de login para o protocolo HTTPS ou deveria alterar algo no código para que eu possa usar os recursos do HTTPS?

Minha intenção é proteger contra uma possível interceptação de senha, pois só é gerada o hash dela no lado do servidor.

7
  • 1
    A maior parte dos defesas eficazes contra MITM só pode ser encontrada no roteador ou do lado do servidor.
    – durtto
    23/12/2015 às 12:12
  • 1
    Qual exatamente sua dúvida? Você diz que o sistema tem os tratamentos corretos, depois pergunta se deve encaminhar a área de login para o protocolo HTTPS ou alterar algo no código. Exemplifique o que deseja. Qual linguagem, qual ecossistema é esse login?
    – durtto
    23/12/2015 às 12:20
  • Minha intenção é proteger contra uma possível interceptação de senha, pois só é gerada o hash dela no lado do servidor.
    – user35937
    23/12/2015 às 12:22
  • Qual linguagem você está usando
    – durtto
    23/12/2015 às 12:23
  • 1
    Veja essa excelente resposta de @jsbueno para uma pergunta tão interessante quanto à sua.
    – durtto
    23/12/2015 às 12:54

1 Resposta 1

10

O HTTPS é o protocolo HTTP sobre o protocolo SSL/TLS. A função do SSL/TLS é criar um canal de comunicações seguro pelo qual toda comunicação cliente/servidor será feita. Isso significa que:

  • Independentemente do servidor utilizado, linguagem, etc, se o canal for estabelecido com sucesso a comunicação será confidencial (ninguém no meio poderá lê-la), íntegra (ninguém no meio poderá alterá-la) e autêntica (na outra ponta estará o servidor certo, e não um servidor fake).
    • Ou seja, não é preciso alterar nada no código pra usar os recursos HTTPS, pois a proteção ocorre na camada de transporte e não na camada de aplicação.
  • Somente os dados em trânsito estão protegidos - se houver por exemplo malware no cliente ou no servidor, ou ainda um ou outro for invadido por atacantes, eles poderiam potencialmente ler/alterar os dados, pois eles partem/chegam em formato plano.

Em particular pro HTTPS, temos que alguns dados são públicos por necessidade do próprio protocolo (ex.: a URL/IP, pois é preciso saber pra onde enviar cada pacote), mas todos os demais são privados (inclusive as query strings, os dados passados via POST, e todo o conteúdo do corpo da resposta).

Para uma visão geral do protocolo, sugiro a pergunta "Como o HTTPS (SSL) funciona?". No início da resposta eu falei que "se o canal for estabelecido com sucesso..." e de fato é muito importante estar atento às precondições para que isso ocorra, o que pode sim exigir certa configuração adicional no seu servidor. Em particular:

  • Use sempre um certificado de segurança válido: adquirido de uma Autoridade Certificadora confiável pelos browsers, dentro da validade, e cuja chave privada foi gerada por você e mantida sempre em sigilo. Sem isso, a autenticidade da comunicação poderia ficar comprometida.

  • Somente habilite no seu servidor suites de criptografia seguros. É muito comum a configuração default de vários servidores aceitarem algoritmos fracos caso o cliente não dê suporte aos mais fortes. E um protocolo fraco poderia potencialmente ser explorado e comprometer a confidencialidade e integridade da comunicação.

    Como configurar corretamente varia de servidor para servidor, mas o site SSL Labs possui ferramentas úteis para ajudar a avaliar a qualidade da criptografia no seu servidor (e também no seu browser, mas o foco aqui é o servidor). Ele não só detecta potenciais problemas no seu certificado, como verifica quais protocolos estão habilitados no seu servidor e que não deveriam estar, e dá instruções de como desabilitá-los.

    (veja por exemplo o resultado da análise pro meu site pessoal - que é só um blog comum, nada de muito sensível - eu ganhei um C rsrs)

2
  • Muito obrigado pela informação @mgibsonbr, usei o site que me passou pra testar um blog que eu tenho também, deu grade A, mas eu acho que é por causa do Cloudflare, se for testar o certificado diretamente ao meu site sem passar pelo CF também dá "C".
    – user35937
    23/12/2015 às 13:28
  • 2
    Provavelmente o Cloudfare é mais restrito nos protocolos que aceita (note que o teste não é só - nem principalmente - sobre o certificado, os protocolos aceitos é que são o elo mais fraco), e isso é uma boa coisa. Mas desabilitar protocolos inseguros é relativamente fácil, na primeira vez que usei essa ferramenta no meu site ganhei foi um F... :P
    – mgibsonbr
    23/12/2015 às 13:42

Você deve fazer log-in para responder a esta pergunta.