https 和安全问题

lihlii

本文通过一路BBS站telnet客户端发布

【 以下文字转载自 China_News 讨论区 】
【 原文由 lihlii 于 Fri Jan 16 18:14:27 2009 发表 】

: Bridged网友提示：这个bbs没有买SSL套层，大家也没有用ssh和https的加密习惯。

我试验过可以用 https 访问的呀？只是有证书过期的安全警告。

潜在可能的安全问题有：

1. 脚本不安全可能被嵌入木马
2. 如果引入广告，可能被狗特务利用广告客户代码插入代码跟踪用户身份，比如利用 cookie
3. 即便可以通过 https 访问，要注意页面可能有部分内容不经过 https 加密。一般出现这种不完全加密的情形（比如有些帧，隐藏帧，广告层不一定通过加密访问），浏览器会有提醒。

所以，从对用户安全负责的角度，提醒注意安全的基础上，才可以有限度地谈可能招致迫害的话题。

【 在 bridged 的大作中提到: 】
: 我这儿是没啥关系，我在国内都不怕他们，在国外了人怎么还能越活越回去呢？
: 这个bbs没有买SSL套层，大家也没有用ssh和https的加密习惯。一个稍懂技术的网监要通过监视出口路由搞到国内某人的密码不是难事。
: 【 在 posteriori (post) 的大作中提到: 】
: : 如果他们要说话，那当然自有安全性的考量。考量过安
: (以下引言省略...)
※ 修改:．lihlii 于 Jan 16 18:19:08 修改本文．[FROM: 82.210.0.0]

--
※ 来源:．一路BBS http://yilubbs.com [FROM: 82.210.0.0]

※ 修改:．lihlii 于 Jan 16 18:19:53 修改本文．[FROM: 82.210.0.0]

lihlii

本文通过一路BBS站telnet客户端发布

建议用 firefox 浏览器并安装 noscript 扩展模块(addon)，可以防范非常普遍的 XSS 跨站脚本攻击。
BBS 等网站，包括 gmail 这样大公司的网站，都难以彻底避免被植入恶意代码的漏洞。现在的网络软件技术太复杂了，
所以漏洞也非常难以避免。

【 在 lihlii 的大作中提到: 】
: 【 以下文字转载自 China_News 讨论区 】
: 【 原文由 lihlii 于 Fri Jan 16 18:14:27 2009 发表 】
: : Bridged网友提示：这个bbs没有买SSL套层，大家也没有用ssh和https的加密习惯。
: 我试验过可以用 https 访问的呀？只是有证书过期的安
: (以下引言省略...)

--