performance - 您应该在哪里启用 SSL？

Question

我最近的几个项目涉及销售产品/服务并需要用户输入信用卡信息等的“结帐”流程的网站。显然，我们获得 SSL 证书是为了它的安全性，同时让客户安心。然而，我对它的微妙之处有点一无所知，最重要的是网站的哪些部分应该“使用”证书。

例如，我去过一些网站，在您访问主页的那一刻，您就进入了 https - 主要是银行网站 - 还有一些网站只有在您最终结帐时才会进入 https。如果不处理银行层面的事情，让整个网站通过 https 运行是不是有点过分了？我应该只将结帐页面设置为 https 吗？全力以赴对性能有何影响？

Answer 1

我个人选择“SSL from go to woe”。

如果您的用户从不输入信用卡号，当然，没有 SSL。

但是 cookie 重放可能存在固有的安全漏洞。

1. 用户访问网站并获得一个 cookie。
2. 用户浏览网站并将数据添加到购物车(使用 cookie)
3. 用户使用 cookie 进入支付页面。

这里有一个问题，特别是如果您必须自己处理付款谈判。

您必须将信息从非安全域传输到安全域，然后再返回，并且没有任何保护保证。

如果您做了一些愚蠢的事情，比如在不安全的情况下与安全的情况下共享相同的 cookie，您可能会发现某些浏览器(正确地)为了安全起见将完全删除 cookie(Safari) ，因为如果有人在公开场合嗅探该 cookie，他们可以伪造它并在安全模式下使用它，将您出色的 SSL 安全性降级为 0，并且如果卡的详细信息甚至临时存储在 session 中，您就有危险泄漏等待发生。

如果您不能确定您的软件不容易出现这些弱点，我建议从一开始就使用 SSL，这样他们的初始 cookie 就会以安全的方式传输。