【发布时间】：2011-07-13 21:19:09
【问题描述】：
我正在尝试确定我正在查看的安全风险有多大 当我让 rubycas 本身通过 https 运行时，但我的实际站点 在http下运行。我面临这个问题的原因是 站点部署在 heroku 上，这意味着 ssl 要么真的 昂贵或真的很痛苦。
除了登录详细信息，我还通过用户卷 （授权）到每个站点，然后存储在会话中。
非常感谢任何输入。
【问题讨论】：
【发布时间】：2011-07-13 21:19:09
【问题描述】：
这种方法的问题在于 sessionid（url 或 cookie）和交换的数据都没有加密。因此，数据可以在从服务器到用户的过程中以及从用户到服务器的过程中被读取和操作。
即使是被动攻击者，只能嗅探流量而无法对其进行操作，也会造成损害：攻击者只需将 sessionid 复制到他或她自己的浏览器中即可。公共无线连接通常使用透明代理，因此攻击者和受害者都拥有相同的公共 IP 地址，这使得应用程序难以区分它们。
有一个名为Firesheep 的工具可以让这种攻击非常容易。
【讨论】：
-
如果 cas 服务器有 ssl，那么到它的流量将是安全的，就像输入凭据一样。攻击者可以控制客户端的会话，但不能控制更多。
-
控制客户端的会话从应用程序的角度来看是最坏的情况，从用户的角度来看是第二个最坏的情况。不要掉以轻心。
-
我认为这取决于那个应用程序。如果您有一个简单的免费应用程序，因为搜索某些内容并且用户的需求仅限于保存搜索或收藏，那么 ssl 证书将不值得。
-
这仍然是与人相关的数据，因此值得保护。如果您所在的国家/地区的消费者保护和隐私法非常薄弱，例如美国，您可能会侥幸逃脱。我不会在德国冒险。