我应该在所有网页上使用SSL还是仅在某些帐户页面上使用SSL？

我的用户帐户和登录页面是SSL，但我网站的其余部分不是。有什么比较好的做法来切换两者，因为我正在做整个站点SSL？我应该在所有网页上使用SSL还是仅在某些帐户页面上使用SSL？

2010-03-01 zsharp

我经常想知道SSL开销是否真的超过了好处。我一直认为，对于几乎所有的互联网流量，为什么*不会*你（你是你的用户，而不是像一个政府机构谁愿意能够阅读sl terror的恐怖分子的信息以及我们的）想要它加密端到端？如果一切都被加密了，会不会更好？我们不应该期望吗？ – 2010-03-01 21:41:59

使用SSL存在开销，但实际上它可能不会引起担忧 - 正如this SO question中指出的那样。

您可以通过仅对那些增加了价值的交易使用SSL来降低哪些开销 - 即您希望确保传输中数据的机密性和完整性。在许多情况下，只有用户名和密码的详细信息才是这种情况，但也可能存在其他您希望使用这些功能的交易。

来源

2010-03-01 21:33:45 Brabster

另一件需要考虑的事情是，当使用SSL时，页面并没有被缓存，所以你失去了缓存本地HTML的能力等。 – meme 2010-03-01 21:54:49

没有想到这一点，好点！ – Brabster 2010-03-01 22:38:48

例如，在要求用户提交信用卡号的页面上使用ssl。不要没有足够的理由过度使用它。

来源

2010-03-01 21:35:49 Roman

为什么？正如Brabster所写，在大多数情况下，开销可能并不显着。只要登录提供对用户相关数据的访问（并且可能只是以前购买的列表），就应该使用加密，除非有强烈的理由反对它。 – FRotthowe 2010-03-01 21:43:42

但是什么构成过度使用？它真的用尽了很多CPU周期吗？让一个网站和它的用户之间的所有通信加密是不是很好？现在我们没有足够的计算能力来做到这一点吗？ – 2010-03-01 21:44:10

如果您不需要保密性和完整性，那么它可能被称为过度使用。如果开发人员更容易加密所有流量，那么这是一个需要考虑的因素，但是在所有情况下加密所有流量更好是因为我们看起来不正确。所以我登录到我的Wikipedia帐户。当然，您可能认为它对我的编辑事务加密是有效的，但为什么任何人都可以执行的视图操作？ – Brabster 2010-03-01 22:37:52

一般而言，一旦登录，会话ID就会在客户端和服务器之间传递。如果此cookie以明文形式发送（与非SSL请求/响应一样），则可以嗅探并用于输入用户的帐户而无需登录（session hijacking attack）。这是why google recently enabled 'always on https' for gmail。

来源

2010-03-02 07:01:24 futtta

我一直想知道为什么有些网站只需要SSL登录，因为不使用SSL的其他网页暴露您的会话密钥与网站。我猜这些网站不需要很高的安全性。 – allyourcode 2010-03-02 07:13:34

我应该在所有网页上使用SSL还是仅在某些帐户页面上使用SSL？

回答

相关问题