এসএসএল কি বেশিরভাগ ওয়েবসাইটের জন্য সত্যিই গুরুত্বপূর্ণ?


11

আমি যে সাইটটি তৈরি করছি তার জন্য "সুরক্ষা সঠিকভাবে করতে" শেখার বিষয়ে আমি খুব অসতর্ক হয়ে পড়েছি (আমি তৈরি প্রথম অ-তুচ্ছ সাইট) এবং আমি এমন কিছু লক্ষ্য করেছি যা আমাকে বিরক্ত করে: এসএসএল।

আমি স্ট্যাকওভারফ্লোতে এবং অন্য কোথাও প্রচুর পরিমাণে সুরক্ষা থ্রেড পড়েছি এবং এটি এন ব্যবহারের পরে সেশন আইডির পুনঃজন্ম সম্পর্কে এবং আপনার পাসওয়ার্ডগুলিকে কীভাবে সল্ট করা, হ্যাশ করা যায় এবং কখনই সরল পাঠ্যে সংরক্ষণ করা যায় না। আইপি অ্যাড্রেস, ব্যবহারকারী এজেন্ট এবং ট্র্যাকিং কুকিজ ব্যবহার করে একটি সেশন হাইজ্যাক হওয়ার সময় কীভাবে সনাক্ত করতে হয় সে সম্পর্কে আমি প্রচুর পড়েছি।

আমি যেটা বুঝতে পারি না তা হ'ল ওয়েবসাইট যখন আপনাকে একটি সাধারণ এইচটিটিপি পোস্টের মাধ্যমে লগ ইন করে এবং আপনার পাসওয়ার্ডটি তারের উপর দিয়ে সরল পাঠ্যে প্রেরণ করে?

আমি বুঝতে পেরেছি যে আমি তালিকাভুক্ত অন্যান্য সমস্ত পদ্ধতিগুলি আপনার সামগ্রিক এক্সপোজার হ্রাস করার জন্য প্রয়োজন এবং সম্ভবত এমন কিছু সাইট রয়েছে যা কেবলমাত্র এতটা সুরক্ষার প্রয়োজন হয় না, তবে আমি অনুমান করি যে আমি যা জিজ্ঞাসা করছি তা হ'ল:

  • এসএসএল নিয়ে বিরক্ত না করা কখন ঠিক হবে?

জিমেইল, আপনার ব্যাংক এবং লিংকডইন এর মতো সাইটগুলি এসএসএল ব্যবহারের কারণ রয়েছে তা আমি দেখতে পাচ্ছি, তবে এটি কী ঠিক করে তোলে যে ফেসবুক এবং রেডডিটের মতো সাইটগুলি বিরক্ত করে না (নরক, প্লেইনঅফফিশ এমনকি আপনার পাসওয়ার্ডটিকে সরল পাঠ্যে এমনকি ইমেল করেও রাখে আপনার কাছে সাপ্তাহিক অনুস্মারক হিসাবে!?!)?

এসএসএল সেটআপ হয়েছে কিনা তা নিশ্চিত করার সাথে আমার কতটা উদ্বিগ্ন হওয়া উচিত (বিশেষত যেহেতু আমি একটি ভাগাভাগী হোস্টের সাথে শুরু করছিলাম, এবং আমি শুরু করতে বেশ সস্তা হচ্ছি)? আমার সাইট কোনও বিশেষ ব্যক্তিগত তথ্য রাখবে না, যদি তা সাহায্য করে। যদি সাইটটি সাফল্য হয়, আমি যুক্ত সুরক্ষার জন্য অতিরিক্ত অর্থ প্রদানের বিষয়টি গুরুত্ব সহকারে দেখব।

উত্তর:


7

এটি আপনার এবং আপনার ব্যবহারকারীরা যতটা গুরুত্বপূর্ণ বলে মনে করেন তত গুরুত্বপূর্ণ। সাধারণ পাঠ্য হিসাবে HTTP- তে পাসওয়ার্ড প্রেরণ প্যাকেট স্নিফিংয়ের জন্য তাদের দুর্বল করে দেয়। এখন কেউ those প্যাকেটগুলিকে স্নিগ্ধ করতে আসলে বিরক্ত করছে কিনা তা সম্পূর্ণ অন্য গল্প। আপনি যদি আপনার ব্যবহারকারীদের সবচেয়ে নিরাপদ অভিজ্ঞতা নিশ্চিত করতে চান তবে তাদের লগইন জমা দেওয়ার জন্য SSL ব্যবহার করুন use আপনি যদি মনে করেন যে আপনার ব্যবহারকারীরা আরও সুখী এবং আপনার ওয়েবসাইটের সাথে ইতিবাচক উপায়ে (যেমন জিনিস কিনে, জিনিসপত্র ইত্যাদি) নিয়ে ইন্টারঅ্যাক্ট করার সম্ভাবনা বেশি থাকে তবে তাদের লগইন জমা দেওয়ার জন্য SSL ব্যবহার করুন use আপনার যদি চুরির মূল্যবান (যেমন ব্যবহারকারীর তথ্য) থাকে তবে এসএসএল ব্যবহার করুন।

আপনার যদি চুরি করার মতো কোনও মূল্য না থাকে তবে এসএসএল সুরক্ষা বাড়িয়ে তুলবে বেশি বা আদৌ বা আপনার ব্যবহারকারীরা এটি কোনও কার্যকর বৈশিষ্ট্য হিসাবে দেখবেন না তবে আপনি এসএসএল না ব্যবহারের বিষয়টি বিবেচনা করতে পারেন।

কোনও এসএসএল শংসাপত্র ইনস্টল করতে যেটির জন্য ব্যয় হয় তার জন্য, আপনি যদি একটি ঝোলা বাজেটে না থাকেন তবে কোনও সাইটের লগইন সুরক্ষিত করা কখনই খারাপ জিনিস নয়। এবং অন্যান্য সাইটগুলি আপনাকে প্রভাবিত করছে না যেহেতু অনেক বড় সাইটগুলি সর্বোত্তম অনুশীলনগুলি অনুসরণ করে না কারণ এটি সম্ভবত কোনওরকমভাবে আপস করা হচ্ছে এমন এক সংবাদ গল্পের অবিচলিত ধারা।


1
+1 "অনেক বড় সাইট সেরা অনুশীলনগুলি অনুসরণ করে না" - আমি নিশ্চিত যে যখন নাইজেরিয়ান 419''র চুরি করা ডেটিং সাইটের প্রোফাইলগুলি নগদীকরণের উপায় খুঁজে বের করে তখন কিছু হাস্যকর শিরোনাম হবে :)
ড্যানলেফ্রি

"যদি না আপনি ঝোলা বাজেটে থাকেন" - তবে আমি আছি। আমি সত্যিই, আমি এই পর্যায়ে এসেছি যে আমি এক বছরের সামনের জন্য অর্থ প্রদানের জন্য প্রতি মাসে যথেষ্ট কম প্রদানের পরিবর্তে একটি সস্তা শেয়ার্ড হোস্টে মি + মি যাওয়ার কথা বিবেচনা করছি। এইভাবে, সাইটটি যদি অপেক্ষাকৃত দ্রুত নিজের জন্য অর্থ প্রদান শুরু না করে তবে আমি প্লাগটি টানতে পারি। আমি মনে করি আপাতত আমি ন-এসএসএলের দিকে ঝুঁকছি যেহেতু কেবলমাত্র স্ট্যাটিক আইপি পাওয়া একা প্রয়োজন আমার মাসিক ব্যয়ের প্রায় দ্বিগুণ হয়ে যাবে, নিজেই সার্টের ব্যয় উল্লেখ না করে। সাইটটি একটি ফোরাম হওয়ার খুব কাছাকাছি, এবং বেশিরভাগ ডেটা পাবলিক, সুতরাং লগইনের বাইরে এনক্রিপশনের প্রয়োজন নেই।
এজেন্টকনুন্ড্রাম

@ উদ্যানলেফ্রি, এটি সহজ। ব্যবহারকারীদের ইমেল এবং ব্যাংকিং সাইটের জন্য পাসওয়ার্ড পুনরুদ্ধারের প্রশ্নের উত্তর দিতে ডেটিং সাইটগুলিতে ব্যক্তিগত বিবরণ ব্যবহার করুন। বা কেবল পাসওয়ার্ড ক্যাপচার করুন, যেহেতু লোকেরা তাদের পাসওয়ার্ডগুলি পুনরায় ব্যবহার করে অনেক বেশি।
জোরডাচে

@ এজেন্টকনড্রাম স্টার্টসল বিনামূল্যে একটি এসএসএল শংসাপত্র সরবরাহ করে। আপনি যদি একটি শক্ত বাজেটে থাকেন তবে একটি স্ট্যাটিক আইপি রাখেন, আপনি এটির জন্য যেতে পারেন।
রানা প্রতাপ

@ এজেন্টকনুন্ড্রাম আপনার আর এসএসএলের জন্য ডেডিকেটেড আইপি লাগবে না, যতক্ষণ না আপনার হোস্ট এসএনআই সমর্থন করে (এবং যদি তারা না করে তবে একটি নতুন হোস্ট সন্ধান করুন কারণ তারা জানেন না যে তারা কী করছেন)। আপনি নিখরচায় একটি শংসাপত্র পেতে পারেন, তাই এটি কোনও অতিরিক্ত
মূল্যও

3

জন এর জবাবের বিপরীত পন্থা অবলম্বন করে, আমি মনে করি আপনি ব্যক্তিগতভাবে সনাক্তযোগ্য কোনও তথ্য হ্যান্ডেল করলে আপনার এসএসএলকে গুরুত্ব সহকারে বিবেচনা করা উচিত - এতে অন্তর্ভুক্ত রয়েছে: শারীরিক ঠিকানা, ইমেল ঠিকানা, আর্থিক তথ্য এবং যোগাযোগগুলির নাম যা ব্যবহারকারীরা ব্যক্তিগতভাবে ব্যক্তিগত হিসাবে প্রত্যাশা করবে ।

যদি না আপনার সাইট ব্যবহারকারীদের নিজের সম্পর্কে তথ্য প্রকাশের জন্য কোনও উপায় সরবরাহ করে, আপনার সাইটের গোপনীয়তা নীতি যদি অন্যথায় আপনার ব্যবহারকারীদের অবহিত না করে তবে আপনার নিজের ব্যবহারকারীদের দ্বারা সরবরাহিত কোনও ব্যক্তিগতভাবে সনাক্তযোগ্য তথ্য বিবেচনা করা উচিত এবং আপনি কেবল কঠোর আত্মবিশ্বাসের মধ্যে থাকতে পারেন।

অননুমোদিত তৃতীয় পক্ষগুলিকে আপনার দর্শকদের তথ্য দেখে বাধা দিন এবং আপনার দর্শকদের আস্থা বজায় রাখতে আপনি কীভাবে তাদের তথ্য ব্যবহার করেন সে সম্পর্কে আপনার ব্যবহারকারীদের অবহিত করুন।

এমনকি ফেসবুক এটি করে, যতদূর আমি বলতে পারি।

<form method="POST" action="https://login.facebook.com/login.php?login_attempt=1" id="login_form" onsubmit=";var d=document.documentElement;if (d.onsubmit) { return d.onsubmit(event); }else { return Event.fire(d, &quot;submit&quot;, event); }">

(ফেসবুক ডটকম লগইন এইচটিএমএল উত্স)


অস্বাভাবিক. আমি জানি না যে আমি কীভাবে এটি ফেসবুকের জন্য লক্ষ্য করিনি। আমি এটি HTTPFox থেকে দেখছিলাম এবং কোনওভাবে প্রাথমিক অনুরোধে 'গুলি' মিস করেছি। আমি এটি মুছে ফেলার জন্য সম্পাদনা করব। সত্য এখনও রয়ে গেছে যে প্রচুর সাইট এটি করে (রেডডিট, হ্যাকার নিউজ, টিডিডব্লিউটিএফ, ইত্যাদি), তাই সবচেয়ে খারাপভাবে আমি তাদের চেয়ে ভাল হতে পারি না। বাজেট আমার এক বিরাট উদ্বেগ, সুতরাং একটি স্ট্যাটিক আইপি ($ 8 / mo হোস্টে ...) পাশাপাশি একটি শালীন শংসাপত্র কেনার জন্য অতিরিক্ত $ 5 / mo ব্যয় করার জন্য .. আমি প্রায় বিবেচনা করব শুধু জালিয়াতি তৈরি না করা সাইট।
এজেন্টকনুন্ড্রাম

@ এজেন্টকনুন্ড্রাম - কড়া কথায় বলতে গেলে, যদি পাসওয়ার্ডটি সল্ট হয় তবে এইচটিটিপি-র মাধ্যমে ওয়ান-ওয়ে হ্যাশিং অ্যালগরিদমের মাধ্যমে পাসওয়ার্ডটি পাস করা ঠিক আছে , সুতরাং যে সাইটগুলি ব্যবহার করছে না সেগুলিতে MD5 হ্যাশ বাস্তবায়ন দেখে আমি খুব অবাক হব না would এসএসএল: pajhome.org.uk/crypt/md5
ড্যান্লেফ্রি

এবং কীভাবে ক্লায়েন্টের পাশে একটি হ্যাশ তৈরি করা কোনও কিছুকে সহায়তা করবে? সেক্ষেত্রে মূলত হ্যাশ হ'ল পাসওয়ার্ড । আমার যেমন পাসওয়ার্ড ক্যাপচার করা যায় তত সহজেই হ্যাশ ক্যাপচার করতে এবং এটিকে পুনরায় খেলতে সক্ষম হওয়া উচিত।
জোড়াদেচি

1
@ জোরেদাছে এজন্যই হ্যাশ লবণাক্ত হতে হবে । এটি কীভাবে কাজ করে তা এখানে: আমি আপনাকে প্রাক-জনবহুল টোকেন সহ লগইন পৃষ্ঠাটি প্রেরণ করি যার মধ্যে microtime()সার্ভারের একটি কল রয়েছে । আপনার প্রেরণ করা হ্যাশটি আপনার পাসওয়ার্ডের + এর সংমিশ্রণ microtime()এবং, আমি একবার আপনার হ্যাশটি পেয়ে গেলে, আমি microtime()+ পাসওয়ার্ড চ্যালেঞ্জ / প্রতিক্রিয়া জুটিটি বাতিল করি (এটি আবার ব্যবহার করা যাবে না)।
ড্যান্লেফ্রি

3

আগস্ট ২০১৪ পর্যন্ত গুগল আনুষ্ঠানিকভাবে নির্দেশ করেছে যে এইচটিটিপিএস একটি র‌্যাঙ্কিং সিগন্যাল হিসাবে ব্যবহৃত হবে।

এর অর্থ হ'ল যদি আপনার ওয়েবসাইটটি সম্পূর্ণ স্ট্যাটিক ওয়েবসাইট হয় তবে এসইও সম্পর্কে আপনার যদি যত্ন থাকে তবে আপনাকে কমপক্ষে একটি এসএসএল শংসাপত্র স্থাপনের বিষয়টি বিবেচনা করা উচিত।

অবশ্যই এইচটিটিপিএস হ'ল শতগুলির মধ্যে একটি মাত্র র‌্যাঙ্কিং সিগন্যাল, সুতরাং এসইওর জন্য সম্ভবত আপনি আরও কিছু গুরুত্বপূর্ণ কাজ করতে পারেন।


গুগল আরও ঘোষণা করে যে কোনও এসএসএল শংসাপত্র স্থাপনের জন্য সংস্থানগুলি গ্রহণ করে, আপনার ওয়েবসাইটটি এটির দাবি করলেই আপনার এটি করা দরকার। সংক্ষেপে, তারা উল্লেখ করেছে যে কেবলমাত্র আপনার ব্যক্তিগত ব্লগে কোনও এসএসএল শংসাপত্র সেট আপ না করায় আপনার র‌্যাঙ্কিংগুলি প্রভাবিত হবে না।
রানা প্রতাপ

1

এখানে এমন একটি কোণ যা আপনি বিবেচনা করেছেন না: এসএসএল / টিএলএস ব্যবহার না করা আপনার ব্যবহারকারীদের নিষ্ক্রিয় পর্যবেক্ষণে প্রকাশ করতে পারে এমনকি আপনার সাইটের কোনও লগইন না থাকলেও।

কোনও হুমকি অভিনেতা আপনার ব্যবহারকারী এবং আপনার ব্যবহারকারীর দেখা সামগ্রীর বিন্যাসগুলি তৈরি করার জন্য আপনার ব্যবহারকারীদের অনুরোধ করা সমস্ত ইউআরএল এবং আপনার ইন্টারনেটের বাকি অংশগুলির মধ্যে বসে থাকতে পারে। তথ্য পৃথক বিট প্রকৃতপক্ষে বিচ্ছিন্নতা মধ্যে তুচ্ছ হতে পারে, কিন্তু তথ্যের অল্প বিট প্রচুর সংমিশ্রণ একটি বড় চিত্র তৈরি করতে পারে।

এই কারণে আমি নিজের সাইটে এইচটিটিপিএস দিচ্ছি, যা কেবল স্থির সামগ্রী সরবরাহ করে।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.