【Facebook安全討論】https勾還是不勾？ ( 2011/8/12更新)－naso拿手網

喜歡這篇「【Facebook安全討論】https勾還是不勾？」，給個鼓勵「讚」一下喔！naso哥嫂謝謝大家...感恩喔！

前言：最近FB中流傳一則訊息，大意是這樣「~~如果你在FB不設定https連線，你的帳號可能會被盜用，容易被駭~~」

說明：https連線的的確確會比http連線更加安全，這是無庸置疑的！

議題：帳號密碼如何遭盜用，這很多因素：可能密碼設定太簡單、可能您的電腦已經遭木馬側錄帳密，但這些不再本文討論中，本文要討論的是「登入帳號密碼時，該網站最好使用https連線」

實況一：
在FB的「帳號」->「帳號設定」->「帳號安全」裡的「安全加密瀏覽模式（https）」打勾，按「儲存」按鈕，然後登出帳號，再進FB時，您的登入連線的確是使用「https」，這會很安全。

實況二：
這個時候，請您進入任何一個「應用程式」，例如「開心農場」，進入之後FB會有提醒(請看下圖)：「切換到未加密連線（http）狀態？」好！您為了玩遊戲一定會按「繼續」，FB也提醒「你會在下次登入時恢復為加密連線。」

玩了遊戲之後，您應該會登出FB，看看登入的畫面(請看下圖)，這個時候的連線已經不是https了，當然登入FB之後，您的連線立刻變成https，但這安全嗎？我們要的是登入時使用https，而不是登入之後才讓我使用https。

重點：帳號密碼會遭盜用的最大可能原因，是在登入時送出「帳號」「密碼」時，沒有使用「https」(沒有加密)。當您以為您已經在FB設定好了「https」，是絕對安全的，這是錯誤的，因為當您玩了一個遊戲之後，下次登入時還是http，而不是https，這還是不安全！

如何解決：不管您有沒有設定https，只要您在FB的登入畫面中，沒有發現https，就手動將http改成https，然後再登入。

後記：FB流傳的訊息中，讓naso哥嫂認為有爭議的是「你的帳號可能會被盜用」，我們分析的結果及長期使用FB的經驗得來，一旦您登入FB時，不管到達朋友的塗鴉牆或是使用任何「應用程式」，從來不會要您再次輸入「帳號」「密碼」，即使您不勾選「https」，但只要進入「帳號」->「帳號設定」，FB就是自動將您「強迫」使用「https」，所以在這裡修改任何個人資料、變換密碼，已經是https的方式保護了(請看下圖)。當然全程使用https好還是不好，答案是「當然好」，而使用https就是要損失開啟網頁時會稍稍的慢(加密/解密是需要時間的)，但在FB中以：如果不使用https，「帳號就可能會被盜用」，我們認為這有點誇大了。
已經是https的方式保護了

naso哥嫂再次提醒：使用FB第一項安全重點是在「登入帳號密碼」時，有沒有使用https，如果沒有，請手動打上https。