Wbrew temu, co myślisz, w rzeczywistości używałeś protokołu HTTPS. Jest to być może nadmierne uproszczenie, ale mniej więcej to, co się stało:
Po wejściu na stronę internetową z protokołem http: // na pasku adresu, skutecznie Powiedział swojemu komputerowi „Utwórz żądanie dotyczące tej strony internetowej z tego serwera i wyślij to żądanie do portu 80 na serwerze”. Jeśli serwer jest skonfigurowany do zezwalania na dostęp przez zwykły HTTP (najwyraźniej był), serwer odpowie, a Twoja sesja (o ile nie zostanie przekierowana) będzie kontynuowana przez HTTP.
Zmieniając protokół na https: // , zamiast tego skierowałeś swój komputer do próby uzgadniania SSL / TLS przez port 443 na serwerze, a następnie wysłał żądania HTTP przez ten tunel. Oczywiście to zadziałało lub nie byłbyś w stanie uzyskać dostępu do strony. Ponieważ połączenie SSL / TLS powiodło się, oznaczało to, że wszystkie kolejne żądania HTTP wysyłane przez ten tunel były zabezpieczone przed przypadkowym podsłuchiwaniem (np. Przez Wireshark).
Ale teraz zapytaj, co z tym okropnym czerwony ukośnik https i znak „x” na kłódce? Wskaźniki te nie oznaczają, że połączenie SSL / TLS nie powiodło się lub że komunikacja z witryną nie jest szyfrowana. Wszystkie te negatywne wskaźniki oznaczają, że witryna nie jest podpisana przez organ uznawany przez Twoją przeglądarkę. Dzieje się tak często w przypadku interfejsów internetowych na urządzeniach sieciowych SOHO, aplikacjach biznesowych lub witrynach internetowych, w których administrator zdecydował się użyć certyfikatu z podpisem własnym zamiast kupować go od uznanego organu (np. VeriSign).
Pod pewnymi względami jest to analogiczne do sprzedaży alkoholu w jurysdykcji, w której obowiązuje ograniczenie wiekowe. Ponieważ nie znam wszystkich zawiłości praw obowiązujących w świecie rzeczywistym, powiedzmy na potrzeby argumentacji, że prawo tylko posuwa się do stwierdzenia, że sprzedaż alkoholu osobie, która jest młodszy niż określony wiek. To, czego prawo w tym hipotetycznym przypadku nie określa , to czy masz obowiązek sprawdzić dowód tożsamości. przed sprzedażą lub jakie formy dowodu osobistego są uważane za ważne dokumenty potwierdzające wiek w momencie sprzedaży. Autorytatywny dowód wieku kupującego jest ostatecznie wymagany w sądzie tylko wtedy, gdy legalność sprzedaży zostanie kiedykolwiek zakwestionowana. Jednak dla bezpieczeństwa nadal dobrym pomysłem jest sprawdzanie identyfikatorów przy każdej sprzedaży.
Tutaj jesteś sprzedawcą w sklepie wielobranżowym w doskonałym stanie Comodo. Większość twoich klientów to koledzy Comodoans, więc naturalnie będziesz w stanie łatwo rozpoznać i zweryfikować ich identyfikatory wydane przez rząd Comodo.
Jednak pewnego dnia otrzymasz klienta z odległego stanu VeriSign. Co teraz robisz? Na szczęście w Twoim sklepie jest książka o nazwie Trusted Root Certificates, która zawiera zdjęcia i wskazówki, jak weryfikować dokumenty tożsamości wydane w różnych stanach w Twoim kraju. Sprawdzasz książkę, porównujesz identyfikator klienta. do odpowiedniego zdjęcia i notatek i ocenić, że identyfikator I.D. jest rzeczywiście wydany przez organ zaufany w Twoim sklepie. Biorąc to pod uwagę, możesz teraz ufać, że informacje zawarte w ID. (w szczególności podając tożsamość i wiek klienta) jest dokładna i dlatego nie obawiaj się, wiedząc, że dokonujesz legalnej sprzedaży.
Innego dnia klient przyjeżdża z zagranicy. Nazywa się Drupal i pochodzi z krainy DigiNotar. Mówi, że jest na tyle dorosły, by kupować alkohol, a jego identyfikator DigiNotarian Government ID. zgadza się z jego stwierdzeniem. Jednak w Twojej książce Zaufane certyfikaty główne nie ma żadnych informacji, które pomogłyby Ci zweryfikować dowód tożsamości. ze swojego kraju. Co tutaj robisz?
Ściśle mówiąc, zgodnie z literą prawa w tym hipotetycznym kraju, Twoja sprzedaż byłaby nadal legalna, gdyby klient faktycznie był tak stary, jak mówi. Możesz założyć, że mówi prawdę, a jeśli rzeczywiście tak jest, kontynuuj swoje życie, nigdy nie będąc skazanym za jakiekolwiek przestępstwo związane z tym działaniem.
Ale bez dokumentów od organu zdaj sobie sprawę, wciąż ryzykujesz, że nie mówi prawdy. Bardzo możliwe, że nie jest w odpowiednim wieku, pomimo tego, co on i jego dowód osobisty. może żądać. W takim przypadku sprzedaż nadal będzie zakończona. Produkt nadal będzie przekazywany tylko między Tobą a Twoim klientem (nie będzie dostępny od razu dla nikogo innego, chyba że Twój klient zdecyduje się go dystrybuować), ale teraz problem polega na tym, że alkohol został przekazany komuś, kto zgodnie z prawem nie powinien go mieć - i możesz mieć przez to kłopoty.
TL; DR: tak długo, jak Twoja przeglądarka wyświetla jako protokół https: // , możesz mieć pewność, że dane w Twojej komunikacji są zabezpieczone między Twoim komputerem i jakiś punkt końcowy. Jeśli jednak wokół tego obszaru https: // są jakieś znaki ostrzegawcze, oznacza to, że przeglądarka nie ufa temu punktowi końcowemu za to, za co się podaje. To od Ciebie zależy, czy Ty ufasz oświadczeniom punktu końcowego o tożsamości wystarczającej do przesłania poufnych danych przez połączenie. Połączenie jest nadal bezpieczne w tym sensie, że nikt między tobą a drugim końcem połączenia HTTPS nie może podsłuchiwać danych, ale ryzykujesz, że drugi koniec nie jest tym, za kogo się podaje.
AKTUALIZACJA: Niektóre przeglądarki zaczynają teraz włączać kontrolę mechanizmów szyfrowania i innych właściwości połączenia HTTPS i odpowiednio ostrzegać. W takich przypadkach powyższe nadal ma zastosowanie, ale należy mieć świadomość, że podsłuchiwaczowi lub pośrednikowi będzie łatwiej złamać to zabezpieczenie, niż gdyby witryna używała silniejszych protokołów szyfrowania.