SSLを使用するかどうか。常にSSLを使用する理由
SSLを使用することの議論は、トラフィックをスヌーピングする苦労を経験した悪意のあるユーザーがトラフィックを読み取ることができないようにすることです。したがって、銀行口座へのログオン時やクレジットカード番号の入力時にSSLを使用するために、セキュリティで保護されていないワイヤレス（非WPA2）ネットワークを使用していることは理にかなっているかもしれませんが、より一般的なビジネスケースでは必然性を理解するのは難しいと思います。
SSLに煩わされるのはなぜですか？ （クライアントがセキュリティ保護されていないワイヤレスネットワーク上にない場合）
特定のHTTP接続とその中のデータをスヌープできる唯一の方法は、ルーターへの管理者アクセス権がある場合（そしてトラフィックを監視/コピーする機能がある場合のみ）、マシンにツールをインストールすることです（もちろんキーロガー）とにかくSSLを通過します）またはISPで監視します（ほとんどの管轄区域では令状が必要です）。
更新警告一部の管轄区域は、あなたが考えるほど自由ではありません。特に、第1と第2の世界。イギリスでは、政府はすぐに令状を必要としない可能性があります： http://en.wikipedia.org/wiki/Communications_Data_Bill_2008 これはおそらく、歴史的にWebサイトを読み取る（つまり、SSLを復号化する）機能を必要とします。および米国の「愛国者法」 http://en.wikipedia.org/wiki/US_Patriot_Act#Title_II:_Surveillance_procedures
さらに：
- SSL接続を受け入れるとサーバー側に大きな負荷がかかります。これは、接続の確立にプロセッサが集中するためです（秘密鍵の生成中）。
- 公的に信頼されているSSL証明書は、定期的にサードパーティから購入する必要があります
UPDATE：私は実際にSSLを使用していますが、とにかく質問する価値があると思いました。確かに、SSLは必要ない時があると思います。たぶん、これはSSLの長所と短所のコミュニティwikiに変えることができますか？もしそうなら？
以下の回答には、よくある神話があるようです。「あなたとサーバーの間の誰もがあなたを盗聴できる」...
- 低レベルTCPルーターは、パケットを転送する必要がある場所にのみ転送し、同じセッションでさえ別のルートを介してルーティングでき、誰も見ることができないため、これはインターネットでは不可能です。極端な場合を除いて、これらのパケット-技術的または合法的。
- あなたのトラフィックを見ているISPの誰かに関しては、なぜ彼らがあなたに信号を送り、彼らにとって間違いなく退屈な「とても重要なデータ」を見ているのか疑問に思います。これもまた令状なしに違法です。
- LAN（ワイヤレスを除く）では、すべてのパケットをブロードキャストする恐竜ハブを使用していない限り、他の誰かのトラフィックをリッスンする方法はありません-ネットワークカードがあっても、ハードウェアがパケットを送信しないため、これは不可能です。無差別モードで、SnortやWiresharkなどのスニッフィングツールを使用している。
パッシブARPポイズニングはリッスンする1つの方法ですが、内部で行う必要があり、名前の競合などが発生したときにピックアップする必要があります。多くの場合、デフォルトゲートウェイは静的であるため、デフォルトゲートウェイがオンになる前にデフォルトゲートウェイがオンになるのは難しいでしょう。 。
SSLは、公開すべきではない情報を通信する場所であればどこでも使用する必要があります。コンピュータとリモートサーバー間のトラフィックを誰も聞いていないというのは非常に危険な仮定です。
誰かがトラフィックをスヌープするために行う必要があるのはあなたのネットワーク上にあるだけです-彼らはあなたのルーターへの管理者アクセスを必要としません。機密性の高い通信にSSLを使用しない場合、同僚のコンピューターにウイルスが存在する単一のマシンで、IDを盗むことができます。
また、ISPはすべてのネットワークトラフィックにアクセスできます。その技術をどれだけ信頼しますか？
ユーザーの皆様、
インターネットトラフィックを暗号化することは、重要だとは考えていないため、決定しました。インターネットトラフィックを監視するのは非常に難しいと判断しました。そのため、実際にその準備に取り掛かる準備ができていれば、手に入るすべてのデータに値するはずです。古いスタイルのルーターを使用している場合、ITスタッフや同僚が破損している場合、または誰かがあなたを嫌いでデータを盗もうと決心した場合、当社は一切の責任を負いません。
これは私たちのIPトラフィックに不要な注意を向けるため、私たちの決定について誰かに話すことはお勧めしません。
どうぞよろしくお願いいたします。
良い十分なプログラミング
免責事項：あなたがハッカーであり、IPトラフィックの監視中にこのメッセージに遭遇した場合、私たちはあなたがしていることが違法であることを丁寧に指摘し、あなたがそれを見たことがないふりをするように要求します。
問題は、たとえばWPA2を使用すると、コンピューターとルーターの間の接続のみが保護されることです。ルーターと宛先の間には、セキュリティで保護されていない大きなネットワークがあります。これがインターネットの設計です。あなたは誰が道に沿っているのかわからないし、そこには悪意のある（または単にノシー）リスナーがいくつも存在する可能性があります。彼らはあなたの管轄内にないかもしれないので、盗聴を防ぐことは十分に不可能かもしれません。
SSLを使用すると、暗号化されたトンネルが相手側に到達します。
トラフィックが内部ネットワークを出ない小さな会社のLANについて話している場合は、SSLを気にしないでください。しかし、機密情報がインターネット全体に行き渡る場合は、SSLを使用して、誰にも見られないようにする必要があります。情報がいかに重要であるかがすべてです。
注意すべき点の1つは、多くのWebサイトがCookieを使用してログイン情報を記憶していることです。それらのCookieが平文でインターネットを経由する場合、セッションをハイジャックすることはかなり簡単です-FireSheepを考えてください。したがって、「機密」情報であると考えるものについては非常に注意する必要があります。多くのビジネスアプリケーションがリモートサーバーに移動していることを考えると（これを "クラウド"と呼びます）、これは小さな問題ではありません。
要するに、完全に制御できないネットワークを通過することを他人に見られたくない場合は、SSLを使用します。
SSLは認証と暗号化を提供します。
暗号化されていない接続をMITMするのはです少し難しいですが、例として挙げた暗号化されていないワイヤレスネットワークではそれほど難しくありません。 ARPスプーフィングを可能にするすべてのネットワーク（多くの有線スイッチネットワーク）では、MITMも可能です。しかし、あなたは途中ですべてのルーターについて忘れています。中国の（うまくいけば）構成が不十分なルーターが、インターネットトラフィックの一部を、比較的小さいながらも重要な部分にルーティングした数か月前を思い出してください。彼らはあなたの平文を見たかもしれない。ケーブルネットワーク上の他の顧客も同様です。
ただし、SSLは認証も提供します。有効なSSL証明書への秘密鍵を入手した場合、あなたが本人であることは間違いありません。適切なCAである場合は、間違いなくそうなります。
しかし、もっと大きな懸念は-あなたはSSLを完全に理解していないように思われるので、少なくとも詳細を読むまでは、どちらか一方の方法で自分で決定しないことをお勧めします。 SSLはnotを行うので、リクエストごとに新しいキーを生成する必要がありますが、実際には機能しません。さらに、合理的に最近のコンピュータは何千ものSSLリクエストを同時に処理できます-アルゴリズムは非常に高速です。さらに、専用のハードウェアに作業をオフロードする暗号化アクセラレータを使用できます。
mightを使用して一部のデータを保護するためにSSLを使用する必要があると思われる場合は、SSLを使用しない場合は、それを回避する理由はほとんどありません。はい、ある程度の支出はありますが、結果のデータは年間300ドルの価値があります。
[〜＃〜] edit [〜＃〜]コメントを読みました-これはクライアントアプリですか？あなたの場合の解決策はおそらく自己署名鍵を使用することであり、あなたはアプリで公開鍵を配布することができます。これにより、暗号化して、自分が誰であるかを話していることを確認できます。
すべてのWebサイトがSSLを必要とするとは限りませんが、SSLを使用する場合、SSLを使用せずにユーザーを認証できるようにしたい場合があります。
私はこの目的のために（javascript-> Perl）使い捨てランダムハッシュ認証を作成しました。
一般的な理解は、おそらく過去8年間で進んでいます。このサイトは良い答えを提供します：
https://doesmysiteneedhttps.com/
「機密」データが転送されない場合でも、SSLはページコンテンツの挿入を防止します。