By: mk 
on 17 August 2014 - 09:56
Tags:
ข่าวใหญ่ในวงการ Search เมื่อสัปดาห์ที่แล้วคือ กูเกิลเริ่มเพิ่มอันดับค้นหาให้เว็บที่ใช้ HTTPS ทำให้การใช้งาน HTTPS เริ่มมีประโยชน์ในแง่ SEO ด้วย
อย่างไรก็ตาม ในประกาศฉบับแรกของกูเกิลกลับไม่ให้รายละเอียดมากนักว่ามองปัจจัยเรื่อง HTTPS อย่างไร ซึ่งทีมงานกูเกิลได้อธิบายประเด็นเหล่านี้ในภายหลัง
- กูเกิลนับปัจจัย HTTPS เป็นราย URL ไม่ใช่รายโดเมนเนม ดังนั้นถ้าเว็บไซต์มีส่วนที่ใช้ HTTP อยู่ก็จะคิดแยกกัน
- กูเกิลนับปัจจัย HTTPS แยกขาดจากปัจจัยอื่นๆ ในอัลกอริทึม PageRank อันล่าสุดคือ Panda
- อัลกอริทึมของกูเกิลจะพิจารณาปัจจัย HTTP/HTTPS แบบเรียลไทม์ เปลี่ยนปั๊บปรับค่าให้เลย ต่างจากอัลกอริทึม PageRank ที่กูเกิลจะปรับค่าเป็นระยะ
- เนื่องจาก URL ที่เป็น HTTP กับ HTTPS ถือว่าเป็นคนละ URL กัน กูเกิลแนะนำให้เว็บมาสเตอร์แจ้งเตือนบ็อตของกูเกิลด้วย 301 redirect เพราะตอนนี้เครื่องมือแจ้งย้าย URL ของกูเกิลยังไม่รองรับการเปลี่ยน HTTP เป็น HTTPS
ที่มา - Search Engine Land
Get latest news from Blognone
Follow @twitterapi
Comments
ไม่เห็นมีคอมเมนต์เลยแฮะ
มันเป็นนโยบายเชิงจิตวิทยาว่าด้วยการพยายามเปลี่ยนแปลงวิธีการส่งผ่านข้อมูลแบบ HTTP ซึ่งมีความปลอดภัยต่ำ ไปสู่การส่งผ่านข้อมูลแบบ HTTPS ซึ่งมีความปลอดภัยมากกว่า โดยที่โปรแกรมแฮกไวไฟทั่วไปที่มีอยู่ใน Back Track ยังดักจับรหัสผ่านได้ไม่มากนัก (ยกเว้นแต่มีฝีมือ)
ดังนั้นเพื่อเป็นการผลักดันนโยบายการใช้งานโปรโตคอลแบบ HTTPS มิได้มีแต่โปรแกรมค้นหาที่มีอัลกอริทึมอันชาญฉลาดของค่ายกูเกิลอย่างเดียวเท่านั้น แม้แต่โปรแกรมเบาร์เซอร์ของค่ายกูเกิลก็สนับสนุนการใช้งานเว็บแบบ HTTPS เหมือนกัน เพื่อเป็นการเปิดทางให้ NSA ดักจับข้อมูลต่าง ๆ ได้ ก่อนเปิดเผยบั๊กของ HTTPS ในภายหลัง (ทั้งหมดนี้คือการเดาเท่านั้น กรุณาใช้คีย์บอร์ดในการวิจารณ์อย่างเหมาะสม)
เอิ่ม คือยังไม่มีคน Hack HTTPS แบบตรงๆได้เลยนะครับ
แล้วจะให้ใช้อะไรแทน HTTPS ครับ
ถูกแล้วครับใบประกาศรับรองแบบ HTTPS มันแฮกยากอยู่ในระดับ บุคคล หรือ องกรค์ แต่ถ้าใช้ Super Computer ระดับประเทศ ที่ติด TOP 10 มันก็น่าจะไม่ยากใช่ไหมครับ (ความหมายของผมก็คือ หน่วยงานด้านความมั่นคงอาจจะทำได้ แต่ยังไม่ถูกเปิดเผย เหมือนเมื่อสมัยก่อนที่ HTTP เองก็เคยคิดว่าไม่มีใครสามารถแฮกได้นั่นเองครับ แต่ทุกวันเป็นอย่างไร) (อันนี้ผมเดาเอาน่ะครับ ใช้วิจรณญาณในการอ่านด้วยครับ)
ตอนนี้ยังไม่มีระบบอะไรที่จะดีไปกว่า HTTPS แล้วครับ คงต้องใช้ไปอีกนานครับ กว่าจะโดนเจาะได้ โดยประมวลโปรแกรมทดสอบระบบช่องโหว่อย่าง Back Track ที่แสนจะธรรมดา ๆ นี้เอง
ขอบคุณในคำติชม
http ไม่เคยมีคนบอกว่ามัน hack ไม่ได้เลยครับ ตัว protocol ตั้งแต่ตอนออกแบบก็ไม่ได้สนใจเรื่องการดักข้อมูลระหว่างทาง (สมัยนั้นยังไม่มีใครสนใจเรื่องการเข้ารหัสข้อมูลด้วยซ้ำ) และช่องโหว่ของการส่งข้อความแบบ plain text ก็เป็นที่รู้กันในวงกว้างตั้งแต่ต้นแล้วครับ
http ถูกร่างขึ้นมาตั้งแต่ปี 1989 อายุตอนนี้ก็ 25 ปีแล้ว ตัว protocol ก็คงความเข้ากันได้ไว้ค่อนข้างมาก (http/1.1) จนช่วงที่กำลังร่าง http/2.0 ถึงได้มีการพิจารณาว่าจะบังคับใช้ ssl รึเปล่าเองครับ
+1 ทั้งสองย่อหน้าครับ
จริงๆ มันไม่ใช่ช่องโหว่ เพราะ HTTP ออกแบบมาเพื่อเผยแพร่งานวิจัย (ทำให้มันมีโครงการแปลกๆ เช่น header 1 - 6 เหมือนเอกสารงานวิจัย)
เหมือน DOS ที่ไม่ได้ออกแบบไว้ให้รองรับผู้ใช้หลายคน ไม่มีระบบล็อกอิน การที่ผู้ใช้สามารถเข้าถึงไฟล์ของคนอื่นบน DOS ได้ เลยไม่ถือว่าเป็นช่องโหว่ของระบบ
lewcpe.com, @wasonliw
"Super Computer ระดับประเทศ ที่ติด TOP 10 มันก็น่าจะไม่ยากใช่ไหมครับ"
ไม่ใช่ครับ คุณขาดความเข้าใจว่าเลข 2^128 มันเป็นตัวเลขใหญ่ขนาดไหน (AES-128 ทนทานประมาณ 126 บิต ไม่ได้เล็กกว่าสเปคมาก) ซีพียูรุ่นใหม่ๆ ประมาณปี 2012 มีความสามารถในการทดสอบกุญแจ AES ประมาณ 670 ล้านชุดต่อวินาที
หากใช้คอมพิวเตอร์ที่เร็วที่สุดในโลก คือ Tianhe-2 มีจำนวนคอร์สามล้านกว่าคอร์ สมมมติว่าให้มันเร็วเท่ากันหมด (ซึ่งไม่จริงหรอกคอร์ในการ์ด Phi มันช้ากว่าเยอะ) จะใช้เวลาทั้งหมด 1.3 พันล้านล้านปี
lewcpe.com, @wasonliw
ตอนนี้นั่งรอ Cloudflare เปิดฟรี HTTPS อยู่
ถึงเปิดที่ cloudflare แต่ถ้า link ระหว่าง cloudflare กับ server เราเป็น plain text ก้ไม่ปลอดภัยอยู่ดีครับ
ใน comment บน HN มีตัวแทนของคลาวแฟลร์บอกว่าทางคลาวแฟลร์จะออก cloudflare-issued cert ที่ pin ไว้กับเซิร์ฟเวอร์ของเราเลย และมี howto ให้เซ็ต nginx/apache อย่างง่ายไว้ด้วยครับ ถ้าอย่างนี้พอไหวไหม?
ถ้า pin cert เลยก็สบายฮะ ;)
+1 รอเหมือนกันเลย เดือนตุลานู้นอ่า รอๆ ต่อไป
ปัจจุบัน เปลี่ยนไปใช้แบบ https เหมือนอันดับจะขยับดีขึ้นครับ