ssl – HTTP sur le port 443 vs HTTPS sur le port 80 – Bien choisir son serveur d impression

http et https se référer au protocole utilisé.

http est utilisé pour la communication en clair en clair, ce qui signifie que les données transférées peuvent être interceptées et lues en clair par un humain. Les champs nom d'utilisateur / mot de passe peuvent par exemple être capturés et lus.

https fait référence à la communication cryptée SSL / TLS. Il doit être déchiffré pour être lu. Normalement / idéalement, seuls les ordinateurs d'extrémité sont capables de chiffrer / déchiffrer les données, bien qu'il s'agisse d'une déclaration avec des mises en garde (voir éditer ci-dessous).

Par conséquent, https peut être considéré comme plus sécurisé que http.

: 80 et: 443 ne font référence qu'au port du serveur utilisé (c'est-à-dire qu'il ne s'agit "que d'un nombre") et n'a aucune signification en ce qui concerne la sécurité.

Cependant, il existe une forte convention pour envoyer http sur le port 80 et https sur le port 443, ce qui rend les combinaisons de la question plus qu'un peu peu orthodoxes. Ils sont cependant parfaitement utilisables sur le plan technique, à condition que les points d'extrémité soient en accord et qu'aucun objet de filtre intermédiaire ne soit filtré.

Alors pour répondre, http://example.com:443 est moins sécurisé que https://example.com:80 et la différence est pratique (même si elle peut être compensée de nombreuses façons) et pas simplement théorique.

Vous pouvez facilement tester la validité de ces instructions à l'aide d'un serveur Web et d'un client sur lesquels vous manipulez le port du serveur et le statut de chiffrement, tout en capturant et en comparant chaque session avec un décodeur de protocole tel que wirehark.

[[[[MODIFIER – mises en garde concernant la sécurité du chemin client / serveur]

Ce qui équivaut essentiellement à une attaque de type homme du milieu https peut être effectué à des fins d’espionnage ou d’emprunt d’identité. Cela peut être fait comme un acte de malveillance, de bienveillance ou même s’il s’avère même par ignorance, selon les circonstances.

L'attaque peut être réalisée soit en exploitant une faiblesse de protocole telle que le bogue heartbleed ou la vulnérabilité Poodle, soit en instanciant un proxy https entre le client et le serveur dans le chemin d'accès réseau ou directement sur le client.

L'utilisation malveillante n'a pas besoin de beaucoup d'explications, je pense. Une utilisation bienveillante serait, par exemple, une organisation mettant en proxy les connexions https entrantes à des fins de journalisation / ids, ou des connexions https sortantes pour le filtrage des applications autorisées / refusées. Un exemple d'utilisation ignorante serait l'exemple de Lenovo Superfish, mentionné ci-dessus, ou la récente version de Dell du même problème.

EDIT 2

Avez-vous déjà remarqué comment le monde garde les surprises à venir?
Un scandale vient de faire son apparition en Suède, où trois organisations de santé des conseils de comté ont utilisé la même chaîne d'approvisionnement pour enregistrer des événements de soins de santé par le biais d'appels téléphoniques de patients.

Pour ainsi dire, la question obtient ainsi une réponse à grande échelle. Si seulement c'était une blague et pas un événement réel …

Je vais simplement coller deux extraits traduits du texte d'actualité dans Computer Sweden:

«Computer Sweden peut aujourd'hui révéler l'une des plus grandes catastrophes de tous les temps
  en ce qui concerne la sécurité des patients et l’intégrité personnelle. Sur un
  serveur Web ouvert sans aucune forme de protection par mot de passe ou autre méthode
  sécurité, nous avons trouvé 2,7 millions d'appels enregistrés de patients en
  les soins de santé par le numéro d'avis médical 1177. Les appels vont
  retour à 2013 et contient 170.000 heures de fichiers d'appels vocaux sensibles
  que tout le monde peut télécharger et écouter.

[…]

Les appels ont été enregistrés sur le serveur de stockage Voice Integrated Nordics.
  à l'adresse IP http://188.92.248.19:443/medicall/. Port TCP 443
  indique que le trafic a été passé sur https, mais que la session est
  non crypté.

Je ne peux pas décider s'il s'agit d'un autre exemple d'ignorance ou si nous voyons une catégorie entièrement nouvelle. S'il vous plaît des conseils.