Non si tratta solo di te . Costringendo gli utenti a utilizzare TLS, creano un ambiente più sicuro per tutti.”

Senza TLS rigorosamente applicata, gli utenti sono suscettibili ad attacchi come sslstrip. In sostanza, rendere le connessioni non crittografate una opzione porta alla possibilità che gli aggressori costringano gli utenti a connessioni non crittografate .

Ma non è così tutti. La richiesta di TLS è il primo passo verso l'applicazione dell ' HSTS nel dominio google.com. Google fa già imposizione opportunistica dell'HSTS, vale a dire che non richiedono TLS, ma limita i certificati che possono essere utilizzati su Google.com (nb: questa tecnica è ora chiamato HPKP) . Si tratta di un miglioramento, ma in definitiva non è una soluzione.

Per l'applicazione completa dell'HSTS, devono garantire che la richiesta di TLS su tutti i servizi Google all'interno del dominio non interrompa le soluzioni necessariamente di terze parti. Una volta che l'applicazione è attivata, non può essere disattivata facilmente. Quindi, spostando i servizi uno per uno verso l'applicazione rigorosa di TLS, stanno aprendo la strada per rendere l'applicazione dell'HSTS in tutto il dominio una realtà.

Una volta che questa applicazione è in atto, i browser si rifiuteranno semplicemente di connettersi a Google tramite una connessione non sicura o compromessa. Inviando questa impostazione nel browser stesso, l'elusione diventerà effettivamente impossibile.

Dichiarazione di non responsabilità: lavoro per Google ora ma non lavoravo per Google quando ho scritto Questo. Questa è la mia opinione, non quella di Google (come dovrebbe essere immediatamente chiaro a chiunque abbia una conoscenza di base della cronologia).

Permettimi di riformulare la tua domanda con alcuni dettagli extra, che sono impliciti ma forse non ovvi per tutti:

"Google non è malvagio fornendomi un servizio di posta elettronica gratuito e gigabyte di spazio di archiviazione e costringendomi a una connessione sicura quando accedo a quel servizio che mi hanno generosamente concesso e che nessuno mi obbliga a usare anche se non voglio essere sicuro ? Se è solo il mio account sui loro server e mi viene dato gratuitamente, in base solo ai termini di utilizzo che ho accettato , non dovrei essere l'unico a decidere cosa dovrebbe accadere ai LORO server e se proteggermi o meno con una tecnologia i cui costi sono interamente sul lato server e senza alcun reale svantaggio per me ? "

Davvero, il coraggio che hanno con Google!

Commento: le reazioni contro Google a questo riguardo sembrano riflessi istintivi: automatici, mirati in modo imperfetto e non coinvolgendo qualsiasi cervello a tutto.

Se Google desidera che il contenuto dei suoi server venga trasferito in modo sicuro, ciò è interamente a sua discrezione, anche se quel contenuto è la tua casella di posta elettronica.

In effetti, no, Google non è male con questo, per niente.

La prima cosa importante è che l'uso della connessione sicura non è una preferenza dell'utente o un'impostazione personalizzata . Alcune persone potrebbero trovare questo aspetto confuso perché hanno familiarità con un sistema solo dalla posizione di un utente finale . Essendo io stesso uno sviluppatore di software, posso dirti che la sicurezza viene eseguita a livello di applicazione e interessa tutti gli utenti del sistema. Non è possibile imporre tecnicamente la sicurezza dell'autenticazione basata sulla scelta dell'utente senza compromettere la sicurezza dell'intero sistema e di tutti gli altri utenti, la maggior parte dei quali potrebbe fare affidamento sulla protezione dei propri dati da parte del sistema. Tuttavia, se possibile, mi piacerebbe sicuramente sapere come.

La scelta logica per Google, come fornitore di servizi pubblici, è creare un ambiente sicuro per tutti i suoi utenti. Non è solo per motivi di sicurezza per gli utenti, ma anche per l'azienda. Immagina, se qualcuno diventa vittima di una violazione della sicurezza e spara una causa contro Google e dimostra che sono loro i responsabili? Questo potrebbe essere il caso se non adottassero le misure standard per proteggere i dati degli utenti e potrebbero dover affrontare un'intera comunità di utenti arrabbiati in tribunale. Il mancato utilizzo di HTTPS è un esempio per una cosa del genere: chiunque può intercettare la tua richiesta web e vedere le informazioni come testo normale. I dati degli utenti di Google sono sensibili. Sembra un semplice indirizzo email e una password, ma questi due elementi costituiscono una chiave per tutti i tuoi contatti, la corrispondenza e i servizi Google personalizzati.

Inoltre, Google è un provider OpenID, il che significa che la stessa password utente (quella dell'account Google) può essere utilizzata per autenticarsi a sistemi esterni (come il siti nella rete StackExchange, incluso questo, YouTube, Disqus, Picasa e molti altri sistemi popolari). È difficile per me immaginare che si preferisca che la sua "chiave" per tanti account e servizi non sia protetta.

In generale, questa è una misura dei requisiti tecnici, piuttosto che l'applicazione delle preferenze dell'utente . Personalmente, non mi fiderei mai di un sistema che non applica le condizioni minime di sicurezza come la connessione sicura e l'autenticazione, quando si tratta di e-mail, pagamenti online e altri servizi che lavorano con i miei dati privati ​​.

Male per averti costretto a usare una connessione sicura?

No, non penso sia male. Protegge la comunità in generale senza alcun aspetto negativo per te come individuo.

Penso che sia l'unico male se ti costringono a utilizzare SSL / TLS, quindi non riesci a utilizzare la segretezza in avanti, quindi dando a te ea chiunque altro utilizzi il servizio un falso senso di sicurezza.

Senza la segretezza in avanti, la tua sessione può essere archiviata per un periodo di tempo indeterminato, il le chiavi ottenute in seguito (con qualsiasi mezzo; ingegneria sociale, furto, governo) e la sessione di tanto tempo fa decrittografata.

Con segretezza in avanti e chiavi effimere, tale preoccupazione viene seriamente mitigata.

Chi può enumerare gli svantaggi dell'utilizzo di una connessione SSL / TLS? Qualcuno? :-)

Ci possono problemi di prestazioni, ma in realtà solo se il sito web è mal progettato in modo da richiedere molte e molte nuove connessioni per servire i contenuti da una pagina. Questo tipo di progettazione avrà un grave impatto negativo anche su una normale sessione HTTP non sicura.

Il calo delle prestazioni da HTTPS è praticamente tutto nell'handshake della connessione poiché richiede più round trip e un po ' di crittografia asimmetrica ad alta intensità di calcolo per sgranare la chiave di sessione simmetrica sul server e decrittografarla sul client (la crittografia asimmetrica è molto costosa rispetto alla crittografia simmetrica).

Il costo di calcolo della crittografia e decrittografia dell'effettivo i dati di sessione con una crittografia simmetrica dopo lo scambio iniziale della chiave sono trascurabili.

Quanto costa una sessione SSL / TLS forzata? A prima vista, onestamente non credo che ci sia un costo misurabile per te.

È triste che la prima reazione delle persone sia difendere Google utilizzando l'errore "NON DEVI usarlo". Per quanto riguarda le transazioni di denaro, non pensi che le tue informazioni personali che vendono agli inserzionisti abbiano un valore di monitoraggio? Google non è gratuito, richiede comunque un pagamento che la maggior parte delle persone non si rende nemmeno conto di effettuare.

Ora, per rispondere alla domanda, non penso che stiano esagerando o "malvagi" per facendo questo. Che cosa succede se cerchi informazioni che potrebbero danneggiare gli altri se trapelate (ad esempio, cercare su Google qualcosa come "come tratto l'herpes di mia figlia"), o se stai inviando un'e-mail a un'altra persona che vuole essere protetta. Dovrebbe dipendere da te se ciò che LORO inviano è crittografato o meno? Potresti non preoccuparti della sicurezza, ma altre persone lo fanno, ed è solo end-to-end se entrambe le estremità applicano effettivamente la sicurezza. Tuttavia, preferirei che Google fornisse un metodo per utilizzare connessioni non TLS se ci sono ancora dispositivi che utilizzano Google ma che sono troppo affamati di memoria / risorse / entropia per stabilire una connessione sicura.

Google non protegge solo te e i tuoi dati, ma anche se stesso.

La stragrande maggioranza degli utenti di Internet non conosce la sicurezza e non se ne cura. Quando si offre qualsiasi percorso insicuro come riserva, l'utente lo userebbe e se si tratta di un man-in-the-middle che rompe tutto il resto.

Se il tuo account è compromessi, non è solo un problema per te e i tuoi dati, ma anche per Google :

• I messaggi di spam potrebbero essere inviati utilizzando i loro servizi
• la credibilità di Google per l'autenticazione (single sign-on) ne risentirà
• Un utente malintenzionato potrebbe utilizzare in modo improprio i servizi, comportando costi (per Google) per cui potrebbe non essere in grado di ottenere un risarcimento per
• Il ripristino dell'account richiedono l'interazione manuale, che comporta dei costi

La sicurezza può anche essere una questione di risparmio di denaro.

Google ha fatto male a chiederti di utilizzare il protocollo HTTP invece del protocollo Gopher? Non credo che la maggior parte delle persone sosterrebbe che lo fosse. Ma se richiedere l'uso di un protocollo rispetto a un altro non è un male, allora perché dovrebbe essere un male in questo caso particolare: avvolgere SSL attorno a HTTP?

Le mani di Google sono legate. Google non lo fa solo per proteggerti. Lo stanno facendo per proteggersi. Non vogliono che altre persone pasticciano con le tue cose perché le stanno portando per te e hanno un sacco di obblighi legali che derivano dall'ospitare cose di altre persone. Sono obbligati a impedire che qualsiasi account venga utilizzato in un modo che crei un problema per gli altri.

Come dicono altri, normalmente non hai nulla da perdere utilizzando la crittografia invece della non crittografia, anche se pensi di non aver bisogno della crittografia.

Ma se vuoi davvero accedervi non criptato (forse per dimostrare a qualcuno che osserva la tua linea che non stai facendo nulla di male), potresti configurare qualche server HTTP, che si connette a Google tramite HTTPS, e inoltrare tutte le richieste e le risposte (opportunamente adattate).

Dovresti modificare il logo e parte del testo in modo che non sembri che tu stia utilizzando direttamente Google. E dovresti pensare di utilizzare HTTPS almeno per la procedura di accesso.

Questo dovrebbe funzionare per ogni server "malvagio" che supporta solo HTTPS.

TL; DR: È migliore, ma non è abbastanza buono.

La possibilità di avere una connessione intercettata rispetto ai costi di questo tipo di sicurezza è ovvia e non richiede ulteriori considerazioni se non "sì, questo è required ".

È fondamentale ricordare che SSL potrebbe non essere perfetto ed è molto improbabile che le implementazioni siano impermeabili. Inoltre, soprattutto in un caso come Google, la tua privacy e il segreto delle lettere non vengono preservati utilizzando SSL.

In effetti l'unico rischio che Google previene sono forme di spionaggio da parte di attori non abbastanza potenti da sovvertire il tuo computer, Google o SSL. Potrebbe anche aumentare lo sforzo per altri attori.

Non impedisce tutti i tipi di SSLStrip, come SSLstrip può fare nella rielaborazione del transito o persino nei reindirizzamenti. Un utente comune non noterà la mancanza di un piccolo blocco SSL. Un po 'di magia in più potrebbe persino riportare un nuovo lucchetto di sicurezza.

Forse dovrebbero offrire un'opzione per disabilitare SSL, se necessario. Forse ci sono alcune limitazioni di crittografia in alcuni paesi o requisiti di rete che impedirebbero agli utenti di accedere al servizio. Vedo un valore commerciale e per gli utenti nel fornire opzioni non sicure, ma le impostazioni predefinite dovrebbero essere sicure.

Tuttavia, Google probabilmente l'ha presa come decisione aziendale e tu sei vincolato dai termini del loro servizio. Google crittografa sempre altre informazioni, come i risultati di ricerca quando sei connesso, in modo che i server di log e le statistiche non possano leggere le parole chiave della tua ricerca. Se non sei soddisfatto del servizio fornito (troppo poca o troppa sicurezza) puoi sempre cambiare fornitore. Nel caso della posta elettronica, è banale utilizzare IMAP per trasferire i dati e importarli altrove.

Non credo nemmeno che da un po 'di tempo sia consentito l'accesso IMAP / POP senza crittografia.