Il ne s'agit pas seulement de vous . En forçant les utilisateurs à utiliser TLS, ils créent un environnement plus sécurisé pour tout le monde .^

Sans que TLS soit strictement appliquée, les utilisateurs sont vulnérables aux attaques telles que sslstrip. Essentiellement, faire des connexions non chiffrées une option conduit à la possibilité que les attaquants forcent les utilisateurs à des connexions non chiffrées .

Mais ce n'est pas le cas tout. L'exigence de TLS est la première étape vers l'application de la HSTS sur le domaine google.com. Google fait déjà une application opportuniste du HSTS - c'est-à-dire qu'ils ne nécessitent TLS, mais ils limitent les certificats autorisés à être utilisés sur Google.com (nb: cette technique s'appelle désormais HPKP) . C'est une amélioration, mais ce n'est pas en fin de compte une solution.

Pour une application complète du HSTS, ils doivent s'assurer que l'exigence de TLS sur tous les services Google du domaine ne cassera pas nécessairement les solutions tierces. Une fois que l'application est activée, elle ne peut pas être facilement désactivée. Ainsi, en déplaçant les services un par un vers une application TLS stricte, ils ouvrent la voie à la réalisation de l'application du HSTS dans tout le domaine.

Une fois cette application en place, les navigateurs refuseront simplement de se connecter à Google via une connexion non sécurisée ou compromise. En envoyant ce paramètre dans le navigateur lui-même, le contournement deviendra effectivement impossible.

Clause de non-responsabilité: Je travaille pour Google maintenant, mais je ne travaillais pas pour Google lorsque j'ai écrit ce. Ceci est mon opinion, pas celle de Google (comme cela devrait être immédiatement clair pour toute personne ayant une compréhension de base de la chronologie).

Permettez-moi de reformuler votre question avec quelques détails supplémentaires, qui sont implicites mais peut-être pas évidents pour tout le monde:

"Google n'est-il pas maléfique en me fournissant un service de messagerie gratuit et gigaoctets de stockage et me forçant à une connexion sécurisée lorsque j'accède à ce service qu'ils m'ont généreusement accordé et que personne ne m'oblige à utiliser même si je ne veux pas être sécurisé ? S'il ne s'agit que de mon propre compte sur leurs serveurs et qui m'est offert gratuitement, en fonction uniquement de leurs conditions d'utilisation que j'ai acceptées , ne devrais-je pas être le seul à décider que doit-il se passer avec LEURS serveurs et me sécuriser ou non avec une technologie dont les coûts sont entièrement du côté serveur et sans réel inconvénient pour moi ? "

Vraiment, le courage qu'ils ont à Google!

Commentaire: les réactions contre Google à cet égard ressemblent à des réflexes instinctifs: automatiques, imparfaitement ciblés et non impliquant n'importe quel cerveau un t tout.

Si Google souhaite que le contenu de ses serveurs soit transféré en toute sécurité, cela est entièrement à sa discrétion, même si ce contenu est votre boîte e-mail.

En fait, non, Google n'est pas mauvais avec ça, pas du tout.

La première chose importante à ce sujet est que l'utilisation d'une connexion sécurisée n'est pas une préférence de l'utilisateur ou un paramètre personnalisé . Certaines personnes peuvent trouver cela déroutant car elles ne connaissent un système qu'à partir de la position d'un utilisateur final . Étant moi-même développeur de logiciels, je peux vous dire que la sécurité se fait au niveau de l'application et concerne tous les utilisateurs du système. Il n'y a aucun moyen d'appliquer techniquement la sécurité d'authentification basée sur le choix de l'utilisateur sans compromettre la sécurité de l'ensemble du système et de tous les autres utilisateurs, dont la plupart pourraient s'appuyer sur la protection de leurs données par le système. Pourtant, si c'est possible, j'aimerais sûrement savoir comment.

Le choix logique pour Google, en tant que fournisseur de services publics, est d'établir un environnement sécurisé pour tous ses utilisateurs. Ce n'est pas uniquement pour la sécurité des utilisateurs, mais aussi pour l'entreprise. Imaginez, si quelqu'un devient victime d'une faille de sécurité, lance un procès contre Google et prouve que ce sont eux qui sont responsables? Cela pourrait être le cas s'ils ne prenaient pas les mesures standard pour protéger les données des utilisateurs, et pourraient devoir faire face à toute une communauté d'utilisateurs en colère devant les tribunaux. Ne pas utiliser HTTPS est un exemple d'une telle chose - n'importe qui peut intercepter votre requête Web et voir les informations sous forme de texte brut. Les données utilisateur de Google sont sensibles. Cela ressemble à une simple adresse e-mail et un mot de passe, mais ces deux éléments constituent une clé pour tous vos contacts, votre correspondance et vos services Google personnalisés.

De plus, Google est un fournisseur OpenID, ce qui signifie que le même mot de passe utilisateur (celui du compte Google) peut être utilisé pour s'authentifier auprès de systèmes externes (comme le sites du réseau StackExchange, y compris celui-ci, YouTube, Disqus, Picasa et de nombreux autres systèmes populaires). Il m'est difficile d'imaginer que l'on préférerait avoir sa "clé" pour que tant de comptes et de services ne soient pas garantis.

En général, il s'agit d'une mesure des exigences techniques, plutôt que de l'application des préférences de l'utilisateur . Personnellement, je ne ferais jamais confiance à un système qui n'applique pas les conditions de sécurité minimales telles que la connexion sécurisée et l'authentification, en ce qui concerne les e-mails, les paiements en ligne et d'autres services fonctionnant avec mes données privées .

Le mal de vous forcer à utiliser une connexion sécurisée?

Non, je ne pense pas que ce soit le mal. Cela protège la communauté dans son ensemble sans aucun inconvénient pour vous en tant qu'individu.

Je pense que c'est le seul mal de vous obliger à utiliser SSL / TLS, puis de ne pas utiliser le secret de transmission, donc vous donnant, ainsi qu'à tous les autres utilisateurs du service, un faux sentiment de sécurité.

Sans le secret de transmission, votre session peut être archivée pour une durée indéterminée, le privé clé obtenue plus tard (par quelque moyen que ce soit; ingénierie sociale, vol, gouvernement) et votre session de longue date décryptée.

Avec la confidentialité et les clés éphémères, ce problème est sérieusement atténué.

Qui peut énumérer les inconvénients de l'utilisation d'une connexion SSL / TLS? N'importe qui? :-)

Il peut y avoir des problèmes de performances, mais en réalité seulement si le site Web est mal conçu, de sorte qu'il nécessite beaucoup, beaucoup de nouvelles connexions pour diffuser le contenu d'une page. Ce type de conception aura également un impact négatif sérieux sur une session HTTP non sécurisée régulière.

Les performances de HTTPS sont pratiquement toutes liées à la connexion car cela prend plus d'allers-retours et un peu du chiffrement asymétrique intensif en calcul pour obtenir la clé de session symétrique sur le serveur et la déchiffrer sur le client (le chiffrement asymétrique est vraiment cher par rapport au chiffrement symétrique).

Le coût de calcul du chiffrement et du déchiffrement de la les données de session avec un chiffrement symétrique après l'échange de clé initial sont négligeables.

Combien coûte une session SSL / TLS appliquée vous ? De façon désinvolte, je ne crois honnêtement pas qu'il y ait un coût mesurable pour vous.

Il est triste que la première réaction des gens soit de défendre Google en utilisant le sophisme "vous ne devez pas l'utiliser". En ce qui concerne les transactions d'argent, ne pensez-vous pas que vos propres informations personnelles qu'ils vendent aux annonceurs ont une valeur monétaire? Google n'est pas gratuit, il nécessite toujours un paiement que la plupart des gens ne réalisent même pas qu'ils effectuent.

Maintenant, pour répondre à la question, je ne pense pas qu'ils soient exagérés ou «mauvais» Ce faisant. Que faire si vous recherchez des informations qui pourraient nuire à autrui en cas de fuite (par exemple, rechercher sur Google quelque chose comme «comment traiter l'herpès de ma fille») ou que faire si vous envoyez un e-mail à une autre personne qui souhaite être sécurisée Doit-il être libre de décider si ce qu'ils envoient est crypté de votre côté? Vous ne vous souciez peut-être pas de la sécurité, mais d'autres personnes le font, et ce n'est de bout en bout que si les deux extrémités appliquent réellement la sécurité. Cependant, je préférerais que Google donne une méthode pour utiliser des connexions non-TLS s'il y a encore des appareils qui utilisent Google mais qui manquent trop de mémoire / ressources / entropie pour établir une connexion sécurisée.

Google vous protège non seulement, vous et vos données, mais aussi eux-mêmes.

La grande majorité des internautes ne connaissent pas la sécurité et ne s'en soucient pas. Lorsqu'il propose un chemin non sécurisé comme solution de secours, l'utilisateur l'utilisera, et s'il s'agit d'un homme du milieu qui brise tout le reste.

Si votre compte est compromis, ce n'est pas seulement un problème pour vous et vos données, mais aussi pour Google :

• Des spams peuvent être envoyés à l'aide de leurs services
• La crédibilité de Google pour l'authentification (connexion unique) en souffrira
• Un attaquant pourrait abuser des services, entraînant des coûts (pour Google) pour lesquels il pourrait ne pas être en mesure d'obtenir une compensation
• La récupération du compte à votre place sera nécessitent une interaction manuelle, ce qui implique des coûts

La sécurité peut aussi être une question d’économies.

Google était-il maléfique de vous avoir demandé d'utiliser le protocole HTTP au lieu du protocole Gopher? Je ne pense pas que la plupart des gens diraient que c'était le cas. Mais si exiger l'utilisation d'un protocole par rapport à un autre n'est pas mal, alors pourquoi serait-ce mal dans ce cas particulier: envelopper SSL autour de HTTP?

Les mains de Google sont liées. Google ne le fait pas seulement pour vous protéger. Ils le font pour se protéger. Ils ne veulent pas que d'autres personnes gâchent vos affaires parce qu'ils les portent pour vous, et ils ont beaucoup d'obligations légales liées à l'hébergement des affaires d'autres personnes. Ils sont tenus d'empêcher l'utilisation de tout compte d'une manière qui pose problème aux autres.

Comme d'autres le disent, normalement vous n'avez rien à perdre en utilisant le cryptage au lieu du non-cryptage, même si vous pensez que vous n'avez pas besoin de cryptage.

Mais si vous voulez vraiment y accéder non- crypté (peut-être pour prouver à quelqu'un qui observe votre ligne que vous ne faites rien de mal), vous pouvez configurer un serveur HTTP, qui se connecte lui-même à Google par HTTPS, et transmettre toutes les requêtes et réponses (convenablement adaptées).

Vous devez modifier le logo et une partie du texte afin qu'il ne semble pas que vous utilisiez directement Google. Et vous devriez penser à utiliser HTTPS au moins pour la procédure de connexion.

Cela devrait fonctionner pour tous les serveurs "diaboliques" qui ne prennent en charge que HTTPS.

TL; DR: C'est mieux, mais ce n'est pas assez bon.

Les chances d'avoir une connexion taraudée par rapport aux coûts de ce type de sécurité sont évidentes et ne nécessitent aucune autre considération que «oui c'est requis ".

Il est essentiel de se rappeler que SSL n'est peut-être pas parfait et que les implémentations sont très peu susceptibles d'être étanches. De plus, en particulier dans un cas comme Google, votre vie privée et votre lettre secrète ne sont pas préservées en utilisant SSL.

En fait, le seul risque que Google prévient est les formes d'espionnage par des acteurs pas assez puissants pour subvertir votre ordinateur, Google ou SSL. Cela pourrait également augmenter l'effort pour d'autres acteurs.

Cela n'empêche pas toutes sortes de SSLStrip, comme SSLstrip peut le faire lors de retouches de transit ou même de redirections. Un utilisateur ordinaire ne remarquera pas l'absence d'un petit verrou SSL. Un peu de magie supplémentaire pourrait même ramener un nouveau cadenas de sécurité.

Ils devraient peut-être offrir une option pour désactiver SSL si nécessaire. Il existe peut-être des restrictions de chiffrement dans certains pays ou des exigences réseau qui empêcheraient les utilisateurs d'accéder au service. Je peux voir une certaine valeur pour les entreprises et les utilisateurs à fournir des options non sécurisées, mais les valeurs par défaut doivent être sécurisées.

Cependant, Google a probablement pris cela comme une décision commerciale et vous êtes lié par les conditions de son service. Google crypte toujours d'autres informations, comme les résultats de recherche lorsque vous êtes connecté, de sorte que les serveurs de journaux et les statistiques ne peuvent pas lire les mots-clés de votre recherche. Si vous n'êtes pas satisfait du service fourni (sécurité insuffisante ou trop élevée), vous pouvez toujours changer de fournisseur. Dans le cas du courrier électronique, il est trivial d'utiliser IMAP pour extraire et importer vos données ailleurs.

Je ne pense pas qu'ils aient autorisé l'accès IMAP / POP sans cryptage depuis un certain temps non plus.