ssl و بررسی دو پروتکل HTTP ، HTTPS

گواهینامه SSL چیست؟

معمولا بیشتر  وب سایت ها از پروتکل معروف HTTP استفاده می کنند. برای استفاده از پروتکل HTTPS به جای HTTP باید گواهینامه ی SSLTSL را بر روی هاست و دامنه خود  نصب کرده اند

SSL/TSL یک پروتکل مخفی است  که برای رمزگذاری داده ها زمانی که در شبکه اینترنت بین سیستم ها و سرور ها در حال انتقال میباشند استفاده می شود.

 

Downloads , Uploads ,  ارسال اطلاعات در صفحات وب به وسیله فرم ها  و بازدید از  یک وب سایت این انتقال داده ها شامل میشود.

به تازگی، در برخی موارد مشاهده شده است که فقط زمانی که   SSL را بر روی روی وب سایت فعال سازی میکنیم، Google اقدام به برداشتن صفحه هشدار محتوای فریبنده میکند.

از نظر بیشتر کاربران وب سایت ها، SSL یک  آیکن قفل سبز رنگ در گوشه نوار آدرس مرورگر است. این آیکن بر وجود یک ارتباط ایمن و رمزگذاری شده بین بازدید کننده و وب سرور اشاره میکند .

در واقع وب سایتی که فاقد SSL باشد اطلاعات را در مقابل دید همگان انتقال میدهد. در این حالت بعضی از  هکر ها  پیدا می شوند که در ترافیک شبکه جاسوسی می کنند و اطلاعات حساس کاربران از قبیل پسورد ها و شماره کارت های اعتباری را می دزدند.

مشکل این است که اکثر بازدید کنندگان اصلا متوجه عدم استفاده ی وب سایت ها از SSL نمی شوند.

Google از HTTP به سوی HTTPS حرکت می کند

Google بر روی SSL به عنوان یکی از بهترین روش های استاندارد در سطح وب تاکید دارد. Google در حال  تشویق و پاداش دادن به وب سایت هایی که از HTTPS استفاده می کنند است  و در اکثر مواقع در حال مسدود کردن وب سایت های HTTP است و آنها را مجبور به استفاده از HTTPS می کند.

در سال ۲۰۱۴ Google اعلام  کرد که استفاده از HTTPS به وب سایت ها کمک می کند تا در نتایج موتور جستجوی Google در رتبه بهتری قرار گیرند.

در ژانویه سال ۲۰۱۷، Google تغییر جدیدی را معرفی کرد، برای هر وب سایت بدون HTTPS زمان که برای قرار گرفتن اطلاعات مانند  پسورد کاربران ،برچسب “غیر ایمن” در Google Chrome نقش بسته می شود.

 

همچنین شرکت Google عنوان کرد، این برچسب “غیرایمن” را برای همه وب سایت های HTTP در کروم اعمال می کند و حتی آن را صریح تر از قبل به بازدید کنندگان نمایش میدهد.

 

بحث های زیادی درمورد چگونگی رایج شدن SSL و هشدار دادن به بازدید کنندگان زمانی که که از وب سایت های HTTP بازدید می کنند وجود دارد.

 

راهکار Google برای آگاه کردن کاربران و جلب توجه آنها به ایمن بودن وب سایت ها چیست؟

Google قصد دارد به طور کاملا صریح و دقیق وب سایت های HTTP را “غیر ایمن” برچسب بزند.

به احتمال زیاد مثلث هشدار قرمز رنگ به قدر کافی کاربران را تحت تاثیر قرار نداده است  و Google  را به این فکر انداخته است که از برچسب هایی بهتر تر در لایه های تشخیص امنیت مرورگر خوداستفاده کند.

Bluck کردن ورودی های HTTP خطرناک

به تازگی مواردی مشاهده شده است که در آن Google طی ۲ روز ، ۲ بار یک وب سایت پاکسازی شده را  بررسی میکند اما هر ۲ بار نتیجه منفی بوده و هشدار محتوای فریبنده از روی وب سایت حذف نشده است.

اما زمانی که همان وب سایت SSL را فعال کرده و مجددا به Google درخواست داده است، Google هشدار  محتوای فریبنده را حذف کرده است.

و صاحبان وب سایت ها هیچ تغییری در کد و محتوای وب سایت ایجاد نکردند و فقط SSL را به آن اضافه کرده اند.

پس در نتیجه  این وب سایت ها شامل صفحات ورود یا فیلد های وارد کردن کلمه عبور هستند که بر روی پروتکل HTTPS طراحی نشده اند.

این موضوع نشان می دهد که Google تعریف خود از فیشینگ(Phishing) و فریب دادن را گسترش می دهد ، بااین تعریف وب سایت هایی که بازدید کنندگان را مجبور به وارد کردن اطلاعات مهم خود در صفحات HTTP می کنند، فریبکار تلقی شده و به نوعی فیشینگ(Phishing)انجام می دهند.

مشخص نیست Google برای تعیین اهدافش دقیقا چه چیز را دنبال می کند، اما می توان این طور فرض کرد که آنها به دنبال فرم هایی هستند که در آنها پسورد کاربران فقط با کد input type=”password” در متن کد سایت از کاربر گرفته می شود و آن صفحه با پروتکل HTTPS سرویس دهی نشده است.

در اینجا یک مثال از بخش مشکلات امنیتی کنسول جستجوی Google که پیام های مرتبط با محتوای آسیب زننده را نمایش می دهد میبینید:

Security_SSL_shiraz_host

 

در تصویر بالا  صفحه ورود به پنل مدیریتی وردپرس و همچنین صفحه password-protected بلاک شده است. هر دو آدرس  با HTTP آغاز می شوند که نشان میدهد از ز SSL استفاده نشده است.

معمولا این سایت ها قبلا  یک بار مورد حمله هکر ها  قرار گرفته اند، و این هشدار Google بعد از اتمام پاکسازی وب سایت همچنان باقی می ماند ، تنها راه حذف این هدار فعال کردن SSL میباشد و تقریبا هیچ سازشی از جانب Google در برخورد با  وب سایت های هک شده  وجود ندارد .

Google به عنوان بزرگترین موتور جستجو در جهان این قدرت را دارد تا بازدید وب سایت شما را با هشدار های Black List خود تا ۹۰ درصد کاهش دهد.

با Block کردن این گونه وب سایت ها که از HTTP استفاده می کنند، Google از بازدید کنندگان خود محافظت می کند و پیغام واضحی را به مدیران وب سایت ها ابلاغ می کند.

سن دامنه یک عامل مهم است

به نظر می رسد عامل مشترک دیگری بر روی بیشتر وب سایت هایی که با هشدار Google مواجه شده اند وجود دارد.
بعضی این وب سایت ها، دومین هایی بودند که به تازگی ثبت شده اند و بنابراین زمان کافی برای ایجاد شهرت و اعتبار نزد Google نداشتند.

این گزینه می تواند عامل دیگری باشد که Google از آن در ارزیابی سطح خطر یک وب سایت خاص استفاده می کند.

برخی وب سایت ها حتی یک ماه هم از راه اندازی آنها نگذشته است، هیچ نرم افزار مخربی هم در آنها به کار گرفته نشده است اما در Google Black Listقرار می گیرند تا زمانی که SSL را فعال کنند.

 

By | ۱۳۹۶-۵-۲۵ ۱۴:۲۶:۲۶ +۰۴:۳۰ مرداد ۲۵ام, ۱۳۹۶|Categories: دامنه, شیرازهاست, هاست|Tags: , , , , , , , , , , |