Edward SnowdenがNSA監視について明らかにしたおかげで、今ではWebサイトを安全に表示するための標準的な方法としてSSLを使用し始めているWebサイトの大部分を目にし始めています。
すべてのWebサイトでセキュリティ、表示、支払い、その他すべてにSSLを使用することをWeb標準にする必要がありますか？
私はシンプルな個人ブログを所有していますが、NSAの主題に関する意見、懸念、アイデアを表明しているため、使用する必要があると言う人がいます。
回答:
興味深い質問。ただし、ブラウザでWebサイトを取得できれば、NSAもそれを取得できます。私はこれについて賢いパンツになろうとはしていません。SSLは、アカウントのログイン、支払いなどに使用する必要があります。通常の作業として、SSLは必要ありません。
そうは言っても、私はこの答えが示唆する以上にSSLをサポートしています。あなたがブロガーなら、私はSSLを使用しません。特定の状況下でもプライベートにしたいことを言っている場合、それを投稿したり、ログインの背後に置いて、誰がそれを見るかをよりよく制御するべきではありません。
ウェブはオープンなコミュニケーション手段であることを忘れないでください。これは設計であり、これを対象としています。プライベートな通信手段は、安全な通信を確保するために、多くのセキュリティスキームに接続し、情報を共有する人と無差別ではありません。Webは、任意のクライアントと簡単かつ匿名で接続し、すべての情報またはほぼすべての情報を共有するように設計されています。はい、ウェブ通信をある程度まで保護するためのオプションがありますが、その性質から常に制限されます。
HTTPSは次の3つのことを実現できます。
おそらく誰もが、秘密（パスワード、銀行データなど）を送信する際にHTTPSが必須であるべきことに同意します。
ただし、HTTPSの使用が有益な場合とその理由は他にもいくつかあります。
HTTPを使用すると、盗聴者はWebサイトで訪問者が見るコンテンツを操作できます。例えば：
もちろん、これはユーザーが送信したコンテンツ、たとえばwikiの編集にも適用されます。ただし、ユーザーが匿名の場合、攻撃者はとにかくユーザーであることを「シミュレート」できます（攻撃者がボットであり、効果的なCAPTCHAバリアがない限り）。
HTTPを使用すると、盗聴者は訪問者がアクセスするホスト上のページ/コンテンツを知ることができます。コンテンツ自体は公開されている場合もありますが、特定の人がそれを消費するという知識には問題があります。
もちろん、これは、連絡先フォームを介したメールなど、ユーザーが送信したコンテンツにも適用されます。
つまり、HTTPに加えて HTTPS を提供するだけでは、それを使用していることを確認する（またはHSTSなどでローカルに強制する）ユーザーのみが保護されます。攻撃者は、他のすべての訪問者に（脆弱な）HTTPバリアントの使用を強制する可能性があります。
そのため、HTTPSを提供するという結論に至った場合、それを強制することを検討する必要があります（HTTPからHTTPSへのサーバー側リダイレクト、HSTSヘッダーの送信）。
コンテンツは公開されているため、HTTPSは明らかにそれを隠しませんが、サイトの性質によってはいくつかの利点が得られる場合があります。
誰かがHTTPS経由でページをリクエストすると、リクエストは暗号化されるため、誰かがあなたの訪問者を見ている場合、リクエストしたページがわかりません。残念ながら、DNS（Webサイトのドメイン名に基づいてIPアドレスを取得するシステム）は暗号化されていないため、オブザーバーはWebサイトにアクセスしたユーザーを特定できます。暗号化されていたとしても、ほとんどの場合、インターネットの現在のデザインに隠されていないIPアドレスに基づいて、誰かがアクセスしているWebサイトを特定できます。
ウィキペディアはHTTPSを提供しますが、コンテンツは公開されているので無意味だと思うかもしれませんが、これを行うことでユーザーを保護します。読んでいるだけで、彼らはウィキペディアに載っています。Twitterはコンテンツ自体が公開されている別のケースですが、人々は必ずしも他の人に自分が何をしているかを知ってほしくありません。
HTTPSを検討する必要があるもう1つの主な理由は、ログインページ、またはユーザー（自分を含む）からプライベートデータを受け入れる他の場所がある場合です。HTTPSをまったくサポートしていない場合、パスワードやその他の情報は「平文で」送信され、ネットワークデータを読み取れる人は誰でもそれらを見ることができます（同じWi-Fiネットワーク上の他の人が使用する恐ろしいケースです。現在、脅迫資料を探しているさまざまな政府機関も含まれています）。
ログインページでHTTPSのみをサポートし、他のどこでもサポートしていない場合、巧妙な攻撃者はログインページを除くすべてのページをインターセプトし、「ログイン」リンクをHTTPSを使用しないように変更してから通信をインターセプトします（そのページを強制する場合HTTPSに対しては、トラフィックを傍受し、機能する偽バージョンを提供するだけです。これを防ぐには、ログインする前に常にURLバーのロックアイコンを確認しますが、毎回そのことを覚えている人はほとんどいません。
Closetnocのポイントにはほぼ同意しますが、見落とされているもう1つのポイントがあります。Tor ユーザーは、出口ノードが盗聴するのを防ぐためにSSLバージョンが必要です。
読者のいずれかがTorを使用している疑いがある場合は、練習問題としてSSLを有効にする必要があります。
また、Max Reidのポイントで+1：少なくとも、重要ではないトラフィックの暗号化の使用を正規化するのに役立ちます。したがって、情報機関が望ましいパケットを識別するために必要な労力が増えます。
SSL自体のコストを除いて、実際にそうしない理由はありません。
以下のために、一般的な Webサーバの展開SSLは、わずかなオーバーヘッドが追加されます。
暗号化を必須にするhttp 2.0標準についての講演があります：http : //beta.slashdot.org/story/194289