HTTPSへの大量移行の原因となったイベントは何ですか？
数年間、GoogleやFacebookなどがHTTPSを介してコンテンツの提供を開始（さらにはリダイレクト）していることがわかりました。
安全でないHTTPでパスワードを要求するサイトにサービスを提供することは1999年でも間違っていましたが、2010年でも受け入れられると考えていました。
しかし、今日では公開ページ（Bing/Googleからのクエリなど）でもHTTPS経由で提供されます。
HTTPSへの大量移行の原因となったイベントは何ですか？ウィキリークスのスキャンダル、米国/ EUの法執行機関、SSL/TSLハンドシェイクのコストを削減し、一般にサーバー時間のコストを削減し、管理のIT文化レベルを上げましたか？
https://letsencrypt.org/ のような公共の取り組みでさえ、さほど昔ではありませんでした...
@ briantist私も趣味のサイトを維持しており、安価で楽なSSL/TLSソリューションに興味があります。 VPS（5 $ /月から開始）の場合、最近、certbot操作モードでwebroot（他のボットが利用可能）でencryptを評価しました。これにより、3か月間有効なSAN証明書が提供されます（cronジョブにあります-有効期限の1か月前に更新が実行されます）。
certbot certonly -n --expand --webroot \
-w /srv/www/base/ -d example.com \
-w /srv/www/blog/ -d blog.example.com
次のような多くの要因が入りました。
- 仮想ホストを使用したセキュリティのためのブラウザおよびサーバー技術。以前は安全なサイトごとに専用IPアドレスが必要でしたが、 SNI を使用することはもうありません。
- 低コストのセキュリティ証明書。 無料のもの もいくつかの単一ドメインの場合に利用可能です。 10年前、私はワイルドカードドメインの年間300ドルを探していましたが、今では年間70ドルで複数のドメインのワイルドカードを含む証明書を取得できます。
- HTTPSのオーバーヘッドが大幅に減少しました。以前は追加のサーバーリソースが必要でしたが、現在は オーバーヘッドは無視できる です。 HTTPをバックエンドサーバーと通信できるロードバランサーに組み込まれることもよくあります。
- 広告ネットワーク AdSenseなど HTTPSのサポートを開始しました。数年前、ほとんどの広告ネットワークでHTTPS Webサイトを収益化することはできませんでした。
- Google発表 ランキング要素としてのHTTPS。
- Facebook やGoogleのような大企業は、すべてを実践するためにHTTPSに移行しました。
- ブラウザ HTTPが安全でないことを警告し始めています。
常にHTTPSに移行する余裕があるGoogleのような大企業の場合、それらを実装することを後押ししたことがいくつかあったと思います。
- HTTPを介した競合インテリジェンスデータの漏洩。非常に多くのISPや競合他社が、ユーザーがHTTPで検索しているものを見ていたため、Googleは大部分がHTTPSに移行したと考えています。検索エンジンのクエリをラップで管理することは、Googleの大きな動機でした。
- GoogleやFacebookなどのサイトを標的とするマルウェアの増加。 HTTPSを使用すると、マルウェアがブラウザのリクエストを傍受し、広告を挿入したり、ユーザーをリダイレクトしたりすることが難しくなります。
また、両方が機能する場合にHTTPSが頻繁に表示される理由もいくつかあります。
- Googleが推奨 HTTPバージョンも機能する場合にHTTPSバージョンにインデックスを付ける
- 多くの人が HTTPS Everywhere ブラウザープラグインを使用しており、利用可能な場合に自動的にHTTPSサイトを使用します。つまり、これらのユーザーはHTTPSサイトへの新しいリンクも作成します
- セキュリティとプライバシーの問題のため、より多くのサイトがHTTPSにリダイレクトしています。
これまでの回答は、HTTPSがますます一般的になっている理由に関するさまざまなプルおよびプッシュの理由について述べています。
ただし、2010年と2011年頃から、HTTPSの実際の重要性を示す2つの大きなウェイクアップコールがあります。セッションハイジャックを許可するFiresheepと、Facebookログインをインターセプトして資格情報を盗むFiresheepです。
Firesheepは、2010年10月にEric Butlerによって作成されたFirefoxプラグインであり、プラグインをインストールしたすべてのユーザーが、パブリックWiFiチャネル上の他のリクエストをインターセプトし、それらのリクエストからのCookieを使用して、それらのリクエストを行うユーザーになりすますことができました。無料で使いやすく、何より専門的な知識は必要ありませんでした。ボタンをクリックしてCookieを収集し、次に別のボタンをクリックして、収集したCookieのいずれかを使用して新しいセッションを開始します。
数日のうちに、より柔軟な模倣が登場し、数週間のうちに、多くの主要なサイトがHTTPSのサポートを開始しました。それから数か月後、2番目のイベントが発生し、インターネットを介して別の認識の波紋が送られました。
2010年12月、アラブの春がチュニジアで始まりました。 チュニジア政府は、地域の他の多くの人々と同様に、反乱を抑圧しようとしました。彼らがこれを試みた方法の1つは、Facebookを含むソーシャルメディアを妨害することでした。反乱の間、チュニジア政府によって大部分が管理されていたチュニジアのISPが、Facebookのログインページにパスワード収集コードを密かに注入していることが明らかになりました。 Facebookは、何が起きているのかに気づくとすぐにこれに対応し、国全体をHTTPSに切り替え、影響を受ける人々に身元の確認を求めました。
Operation Aurora と呼ばれるようになったものがありました。これは（おそらく）Googleのようなアメリカのコンピューターに侵入した中国のクラッカーでした。
Googleは2010年にOperation Auroraで公開されました。製品を保護する取り組みを示すことで、損失を価値に変換することにしたようです。敗者の代わりに彼らはリーダーとして現れます。そうでなければ彼らは理解する人々によって公にpublic笑されたであろう本当の努力を必要としていました。
Googleはインターネット企業であるため、通信に関するユーザーの信頼を再インストールすることが重要でした。計画は機能し、他の軍団はユーザーをフォローするか、ユーザーに直面する必要があり、Googleに移行しました。
2013年と呼ばれるようになったもの グローバル監視開示 スノーデンによる目立った出来事が起こりました。人々は軍団への信頼を失いました。
多くの人にインディーズに行ってHTTPSを使用することを検討させ、最近の移行を引き起こしました。彼と一緒に仕事をした人は、明示的な呼び出しを使用して、暗号化を使用して、生存率が高くなる必要があることを説明しました。
強力な暗号化*非常に大量のユーザー=高価な生存。
それは2013年でした。最近では、スノーデンはこれではもう十分ではないだろうと言っていました。
それにもかかわらず、Avarage Joeのウェブマスターにとって、HTTPSの長年の問題は、証明書の取得にお金がかかることでした。ただし、HTTPSには証明書が必要です。 Let's Encrypt betaが一般に公開された2015年後半に解決しました。 ACMEプロトコル を介してHTTPSの無料証明書を自動的に提供します。 ACMEは、インターネットのドラフトであり、人々にそれを頼りにできることを意味します。
インターネットを介した送信の暗号化は、このデータを傍受またはスキャンし、真ん中に自分自身を挿入する悪意のあるエージェントに対してより安全です。このようなインターセプトが成功すると、他のユーザーがフォローするようになります。
より手頃な価格で、テクノロジーがよりアクセスしやすくなった今、私たち全員を保護するより安全なことを誰もがプッシュできるようになりました。セキュリティを強化することで、データ侵害の影響を受ける人のコストと費用を削減できます。
暗号化の解除に関連する作業が困難で費用がかかるようになると、アクティビティのレベルを下げ、関係する時間とお金を投資したい人だけに制限します。あなたの家のドアの鍵のように、それはほとんどの人を締め出し、より高いレベルの犯罪行為に集中するために警察を解放します。
私が言及していなかったもう1つのこと、2014年9月29日、CloudFlare（中規模のほとんどのサイトは簡単なDNS変更で無料で効果的に使用できるため、非常に人気のあるプロキシCDN）、 無料の提供を発表プロキシするすべてのサイトのSSL 。
基本的に、それらを介してプロキシする誰もがhttps://でサイトを自動的かつ即座にヒットすることができ、それは機能しました。バックエンドでの変更は不要で、支払いも更新も必要ありません。
私個人にとっても、同じボートに乗っている他の多くの人々にとっても、これは私にとってスケールのヒントです。私のサイトは基本的に個人用/趣味用のサイトで、SSLを使用したいと考えていましたが、コストとメンテナンス時間を正当化できませんでした。多くの場合、コストは、証明書自体のコストとは対照的に、より高価なホスティングプランを使用する（または無料オプションを使用する代わりに支払いを開始する）ことに関するものでした。