В чем опасность использования SSL-iframe в SSL-страницах

Question

Безопасно использовать SSL-iframe на странице SSL. Кадр SSL содержит форму.

Answer 1

Важной частью безопасности, предоставляемой HTTPS, является проверка подлинности сервера, на котором вы говорите. Это делается verifying that the certificate is genuine and that it matches the requested host name.

Хотя большинство аспектов проверки выполняются технически в браузере (проверка соответствия PKI и проверка соответствия имени хоста), последний шаг является точкой зрения пользовательского интерфейса и должен выполняться визуально пользователем. Проверка правильности использования HTTPS пользователями, когда они намереваются использовать это, является исключительно их обязанностью.

Если вы намеревались перейти на https://www.google.com/, но набрали https://www.g-o-o-o-o-o-gle.com, у обоих могли быть подлинные сертификаты (каждый может получить сертификат в наши дни, даже нападающие, вознаграждение может стоить инвестиций). Пользователи должны убедиться, что они посещают сайт, который они намереваются посетить.

Встраивая iframe с ссылкой https:// на другую страницу (HTTPS или нет), вы не позволяете пользователю проверить, что они подключаются к предполагаемому сайту. Нереально ожидать, что пользователи проведут проверку DOM страницы, чтобы убедиться, что запросы отправляются на хост, к которому они ожидают, чтобы он переходил. На этом этапе идентификация сайта в пределах iframe вряд ли проверяется пользователем: им действительно нужно доверять встраиванию.

Хороший плохой пример этого исходит от банковской отрасли, не что иное, что дало нам 3-D Secure. Торговые сайты предназначены для включения страницы, предоставленной вашим банком в iframe, с просьбой ввести пароль для проверки использования вашей кредитной карты. Однако, как пользователь, вы должны доверять сайту продавца, потому что он вполне может перенаправить вас на сайт под его контролем и прокси-сервером на все запросы на подлинный сайт банка. Он выглядел бы точно так же, как подлинный сайт банка, но торговец (или ассоциированный сотрудник) мог видеть все, что вы набираете. Не каждый пользователь может использовать инструменты разработчика, такие как Firebug (даже для разработчиков, если задействовано немного JS, очень сложно отслеживать, что происходит). (Это немного стыдно, потому что одна из целей этой системы заключается в том, чтобы, к сожалению, предотвратить мошенничество с плохими сайтами-торговцами.)

Если вы внедряете HTTPS-iframe на странице HTTPS, вы эффективно ручаться за его содержание и взаимодействия с ним (так же, как и для любого другого контента, который вы вставляете). Пользователи могут только ожидать подтверждения вашего сертификата, а не того, что встроено. Это несет определенную ответственность.