HTTPS対応サーバーでデモデータを保護することはどのくらい重要ですか？
アプリケーションがプロダクションモードではない場合、顧客との商業契約はまだ締結されておらず、顧客にリンクを提供する（またはデモを自分で提供する）だけで、顧客が自分でアプリを体験できるようにする場合、どの程度重要であるかHTTPS対応サーバーを使用するには？
SSL証明書にはコストがかかるため、デモサーバーまたは運用前サーバーのみにSSL証明書を展開することは、ほとんどのソリューションプロバイダーにとって商業的に実現できない場合があります。そのため、データがデモデータのみであり、契約が署名されていない場合でも、HTTPS対応サーバーを使用することの重要性を教えてください。
編集：アプリケーションにはログインが必要なため、ログインしないと誰もデータを表示できません
your特定のケースに依存します。デモデータの価値、製品のセキュリティクリティカル度、デモ中の攻撃の可能性。だから私はあなたに私の個人的な意見をあげます。
過去数年間で、一般の人々はSSLについてより多くの情報を得てきました。 「S」のチェックや南京錠のチェックについては誰もが知っているため、顧客がHTTPSについてすでに知っている可能性があります。お客様は、「南京錠を使用していないのはなぜですか？この製品は安全ではないということですか？」と考えるかもしれません。自己署名証明書を使用すると、大きな恐ろしい警告が表示され、専門家ではないように見えます。
これらの理由から、HTTPSを使用してください。さらに、 StartCom はfreeSSL証明書を提供し、 Comodo は90日間無料試用版。
SSLでテストアプリケーションを保護し、「公式」CAからの証明書を使用することをお勧めします。
これは、ほとんどの顧客がアプリケーションとアプリケーションへのアクセスに使用されるプロトコルを区別しないためです。彼らは単に「それはすばらしいアプリケーションですが、私のデータは保護されていません」と考えています。
IT担当者はこれを区別できるため、「これは素晴らしいアプリケーションであり、SSLの切り替えは簡単です」のように見えます。
したがって、顧客がITのバックグラウンドを持っていない場合は、デモアプリケーションでも証明書を使用してください。
@Gurzoに同意しないといけないと思います。
これはかなり重要です。必ずしもセキュリティの観点自体ではありませんが、セキュリティに対する正しい態度を持つという評判が高いためです。あなたのサイトは、あらゆる状況で、物事を安全に保つことに関心を示すことによって模範を示します。データがデモのみであることは特に問題ではありません。誰かが他の誰かのデータ（認証情報を含む）を盗み、この情報を公開した場合、これは容赦なくあなたのサイト/会社の評判に影響します。
そうは言っても、結局のところ、すべてがお金と諸経費にかかっていることはわかっていますし、SSL証明書を実装したくない気がしますが、この時点で、@ Adnanは「デモサイトにHTTPSを実装することがいかに重要か」は、状況によって異なります。無料の証明書を使用してください。あるいは、自己署名入りの証明書はあなたのサイトを専門外のように見せるかもしれませんが、それは良いセキュリティポリシーのためであり、セキュリティに対する成熟した態度を示し、醜いエラーメッセージの専門家ではない外観。この議論をさらに強化するために、この answer で、信頼性に疑いの余地のない@Thomas Porninを引用します。
「[...]多くの状況で、自己署名証明書を使用したSSLは、SSLを使用しないよりもはるかに優れています。」
私は彼の答えが別の状況であったことを知っています。しかし、肝心なのは、SSLを有効にして特別な評判を得ていない場合であれば、間違いなく悪い評価を得ていないセキュリティを意識していない。
まず、HTTPSがWebサーバーにauthenticationを提供し、クライアントとサーバー間で送信されるデータにencryptionを提供することを思い出してください。
公開されたアプリケーションはデモバージョンであるため、おそらくデモの資格情報が必要であり、デモ情報が含まれています。したがって、重要なデータはユーザーアクティビティ中のどの時点でもクライアントとサーバー間で交換されないため、HTTPSを使用する必要はありません。
従業員がHTTPSを使用する理由はたくさんあります。
- 練習は完璧になります。
- 展開するようなトレーニング
- グリーンロックに気付かない人は、セキュリティの欠如に気付く人よりもはるかに優れています
- 実際のアプリケーションで使用される安全な/ベストプラクティスをデモしたい
- デプロイメントと同じ環境でのアプリケーションのデモ
- 細部への注意を示す
デモアカウント、デモデータなど...データはおそらく保護する価値はありませんが、アプリケーション、スキル、労働倫理などを披露します。
Vince Boudreau: If a man builds a thousand bridges and sucks one dick, they don't call him a bridge-builder... they call him a cocksucker.
-Play it to the Bone（1999）、Woody Harrelson
あなたは百万のことを正しく行うことができます...しかし、あなたはあなたが間違ったことをする一つのことで知られるでしょう。クリントン大統領を見てください。ある時点での自由世界のリーダーであり、彼が本当に知られているのは一撃の仕事だけです。
ロックの欠如は世界の終わりではありませんが、安全でない製品で知られることは望ましくありません。
無料の証明書を入手できる場所もたくさんあります。 Startssl.comは、私が引き続き使用しているものです。
命令的！開発者であるあなたと同じように、早い段階でクライアントのプロジェクトに参加したいと思うでしょうし、潜在的な攻撃者もそうです。さらに、セキュリティが重要であるという能力と認識を将来のクライアントに伝えるのに便利な手段です。理想的には、本番環境で使用されるのと同じ数の保護メカニズムをバックエンドに配置することをお勧めします。トランスポート層のセキュリティ（HTTPS）を確保するだけでなく、詳細なアクセスログを保持したり、Webアプリケーションファイアウォール（または同様のテクノロジー）を実行したり、誰が何にアクセスしたりするかを厳密に制御したりします。他の部分については後で説明しますが、最初にSSL/TLS証明書の必要性について説明しましょう。
WebサーバーのHTTPSを有効にするには、主に2つのポイントがあります。
1つ目は、実際に適切なWebサーバーに接続しているエンドユーザーの信頼を確保することであり、攻撃者があなたの部分的または完全なコピーを実行しているスプーフィング（またはフィッシング）の場所をステージングする攻撃者によるソーシャルエンジニアリング攻撃の被害者ではありません。ユーザーの資格情報やその他の機密性の高いユーザーデータを収集するためのデモウェブサイト。フィッシングの場所は完全である必要はありませんが、たとえば、偽のユーザーサインインページの表示、入力されたデータの記録、実際のWebサーバーへのHTTP
POSTサインイン要求の繰り返しなど、機能を制限するだけです。被害者は何かを疑っていません。2つ目は、送受信されたHTTPS要求と応答データを暗号化することによりトランスポート層のセキュリティを有効にし、交換されるデータパケットとその内容をスヌーピングすることで中間者（MiTM）攻撃を効果的に防止することです。クライアントとサーバーの間。攻撃者は、この通信（たとえば、デモクライアントがパブリックアクセスポイントまたはその他の信頼できない接続を介して接続している）を傍受し、交換された機密情報を記録して、ユーザーの資格情報を収集できる立場にいます。攻撃者は交換されたデータパケットの内容を変更することもできますが、それがなければ十分なトラブルを引き起こす必要はないので、ここではそれを無関係にします。
もちろん、クライアントがGET HTTPヘッダーフィールドで別のWebサーバーへのリクエストrefererデータ（URL）を繰り返さないなど、HTTPSの使用にはそれほど重要ではないメリットがありますが、簡潔にするために、HTTPSの使用に関する最初の2つの利点と、HTTPSなしでデモセットアップを実行する場合の危険性に限定します。
そのため、攻撃者はデモクライアントの資格情報を取得する可能性があります。あなたは今自然に尋ねるでしょう、大したことは何ですか？これは、これらのデモクライアントを作成する方法（サインインに使用できるランダムなユーザー資格情報を送信するか、デモユーザーが自分のパスワードを選択できるようにするか）と、そのようなデモユーザーに付与されるアクセス権に大きく依存します。サインイン時に。とにかく、攻撃者はWebアプリケーションの内部動作（機密情報、データ構造、Webサイト構造、CMSの場所にアクセスする手段、さらにはユーザーデータを編集する手段さえも）について多くを学び、潜在的な脅威に対する阻止の進捗状況を追跡することができます、無意識のうちにオープンにしておいた可能性のある脆弱性を検査し、契約を結ぶ可能性のあるすべての本番サーバーで、後でそれを有利に利用します。そして、天国は禁止します。デモユーザーに自分のパスワードの使用を許可すると、これらの一部は実稼働サーバーでも繰り返されるか、ユーザーが他のアカウントにアクセスするためにそれらを使用する可能性があります。言うまでもなく、これはあなたとあなたの潜在的なクライアントの両方に災いをもたらす可能性があります。
このような脅威を防ぐには、デモサーバーを運用サーバーと同じくらい安全にする必要があります。これはまた、デモクライアントがソリューションの適合性をテストし、それに必要な変更を伝達し、一般にソリューションプロバイダー/開発者として選択される確率を向上させる機会を提供します。これは特に当てはまります。たとえば、金融やヘルスケアの分野などで、セキュリティ関連の認証が展開前に必要です。明らかな推奨事項のいくつかを繰り返し、さらにいくつか追加していきます。
デモアカウントを自分で作成し、ランダムでまったく意味のないパスワードを割り当てていることを確認してください。また、デモユーザーが自分でデモアカウントを選択できないようにしてください。ユーザーが誤って本番パスワードを入力しないようにするために、彼はデモWebアプリケーションを使用していることをユーザーに明確に視覚的に通知しています。誰がどのサインイン資格情報を受け取るかを厳重に管理し、デモパスワードは安全なチャネルを介して（できれば直接）のみ送信してください。これらのデモ資格情報を裏にして数十枚の名刺を印刷し、見込み客に直接渡して、誰がどのデモアカウントを受け取ったかを書き留めることができます。ユーザーの最初のサインイン時にパスワードの変更を要求し、新しく選択したパスワードが他のサービスで使用するものと同じであってはならないなど、明確に書かれたセキュリティ警告を表示します。
詳細なログを有効にしてユーザーアクティビティを追跡し、適切に構成されたWAFを投入して適切な対策を講じ、疑わしいユーザーアクティビティ（ネットワークスキャナー、ファザー、ブルートフォース試行、不正なサインイン資格情報の使用など）がないか定期的にログを確認します。必要に応じて、問題のあるIPを即座にブロックするか、デモユーザーアカウントを無効にして、新しい資格情報を送信します。リモートおよびローカルの両方で、不正アクセスからアクセスログやその他の統計データを保護します。個人情報やユーザーの資格情報をログに記録しないでください。また、必要に応じて暗号化やパスワードハッシュを使用してください。
デモサーバーへのアクセスを適切に保護し、潜在的な顧客にとっても有利であることを確認してください。このデモへのアクセスは便利ではないかもしれませんが、正当な理由で存在し、両方の投資を保護するために、あなたが何をしているのかを知っているという信頼を築きます。それに応じて営業担当者をトレーニングします。
つまり、攻撃者になる可能性のある人にテストプラットフォームや組み込みの保護メカニズムの便利な概要を提供しないでください。セットアップした各デモサーバーにSSL証明書を用意する余裕がない場合（無料で入手できる場合でも、サーバーをセットアップする作業が必要になります）、同じ場所でホストし、以下に基づいてデモクライアントを区別します。資格。自己署名証明書を使用しないでください。潜在的な顧客に、使いやすさやエンドユーザーの利便性を無視しているという誤った印象を与えたり、他の脅威ベクトルを回避したりしないでください。セールスの最中、クライアントを保護することに真剣に取り組んでいるという事実を利用してください。 Webアプリケーションとサーバーのセキュリティを常にテストし、ITセキュリティの分野における最新の開発に従ってください。