<div dir="ltr"><div class="gmail_extra"><br><div class="gmail_quote">2014-07-31 18:47 GMT+02:00 Tony Arcieri <span dir="ltr"><<a href="mailto:bascule@gmail.com" target="_blank">bascule@gmail.com</a>></span>:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">

<div>Simply using https:// would prevent many active attacks. It isn't a lot of effort to implement... certainly a lot less than hand rolling a bunch of JS crypto.</div><div><br></div><div>Some of these sites are arguing that they're *more* secure by *not* using https o_O</div>

</blockquote></div><br>Ah, but HTTPS works better against passive attacks then against active attacks! If there are cracks, as you're using a weak ciphersuite for example, then still cracking takes time. If it's too much time your attack will be <i>very</i> noticable. If there's a 5 minute time until any HTTPS website first loads (the time it takes "them" to crack it) and HTTP websites load just fine, you'll know what time it is.</div>

<div class="gmail_extra"><br></div><div class="gmail_extra">So, most attacks against SSL/TLS would be offline! But if there's attacks it should only reveal you JS crypto outputs. They couldn't rewrite the document (the JS) because their attack is "passive".</div>

<div class="gmail_extra"><br></div><div class="gmail_extra">SO: Use the "safe for a minute" HTTPS connection to deliver the JS that makes it practically uncrackable after delivery.</div></div>