Firefox 51 upozorní na přihlašování přes HTTP

Mozilla.cz informuje, že příští verze Firefoxu, která vyjde za měsíc, označí nezabezpečené přihlašovací stránky. Pokud Firefox na stránce načtené přes nešifrované HTTP detekuje pole pro zadání jména a hesla, zobrazí v adresním řádku ikonu přeškrtnutého zámku. Tím bude signalizovat, že přihlášení není zabezpečené a vložené údaje si může prakticky kdokoliv přečíst.

27.12.2016 19:40 | Ladislav Hagara | Zajímavý článek

Komentáře

[petrfm]

Bezva, takže bude FF zase o něco málo bezpečnější a o něco více pomalejší?

[Kate]

Něco mi říká že jsi tu zprávičku buď nečetl, nebo nepochopil. Což bych vzhledem k ostatním postům které tu od tebe vídám také nevylučovala.

Jinak celkem zklamání, doufala jsem že to na http přihlašovací formuláře bude upozorňovat viditelněji :(

[svido]

u FF se není čemu divit, bohužel doba, kdy se tento browser dal používat jsou dávno pryč. Jestli se nepletu, tak v Chromu by se měl formulář na http zablokovat a stránka by neměla jít snad ani oteřít.

Na druhou stránku normálním lidem je absolutně jedno, jestli je HTTPS nebo jen HTTP, či jestli jde o EV nebo DV certifikáty. Nehledě na to, že ikonka zabezpečených stránek kupodivu dost lidem evokuje nějaký e-shop, protože bohužel onen zámeček je velmi podobný nákupní tašce.

[petrfm]

Zprávičku jsem pochopil, ale tvůj post nechápu Na druhou stranu, člověka, který propaguje a používá material design asi není lehké chápat.

[Kate]

Aha, takže povzdech nad tím že vlastnost upozorňující uživatele na nebezpečnost přihlašovacího formuláře sníží bezpečnost prohlížeče a zpomalí ho je výsledek pochopení zprávičky. Jasně.

[petrfm]

Tak vidím, že máš problém s pochopením psaného textu. To se mi taky někdy stane, ale na vině bývá ta půlka lahve kvalitního ovoce. Teď jsou 4 hodiny, to snad nikdo ještě nechlastá. Doporučuju si teda znovu, bez emocí přečíst, co jsem vlastně napsal. Pak se mi můžeš omluvit, omluva se předem přijímá

[Kate]

Částečná omluva :) 

O té pomalosti způsobené takovou trivialitou pochybuji.

[petrfm]

Tak ono jde o to, že ta trivialita je k prdu. Neřeší to vůbec nic. Asi jako nařízení o zakřivení okurek. A tisíc trivialit způsobilo, že je dnes z FF takový hnusně pomalý moloch. Já jsem zastánce principu - když to funguje, tak do toho nehrabej. Prostě čas potřebný na vytvoření takové blbiny se dal využít třeba k optimalizaci výkonu.

Včera jsem nainstaloval chromium. Jak google a chrome nesnáším, tak mi spadla čelist, jak jim to běhá. Nebudu ho asi používat, protože jsem paranoik, ale chtěl jsem odzkoušet, jak umí pracovat s pamětí. Když si někdy prolézám infinity image stránky s obrázky, tak po pár minutách mi FF sežere i 4GB RAM. To je příšerné. Ale horší je, že když zavřu ty panely, tak ta paměť tam stále visí. Jediné, co pomáhá, 2x denně restartovat FF. Tímhle by se měli zabývat a né řešit <->čoviny, které nikomu neprospějou, protože ruku na srdce, když se ukáže vykřičník, tak co jako? Nepřihlásím se do služby, kterou POTŘEBUJU použít? Laikovi to bude jedno a zasvěcený si to umí pohlídat a stará se o to, kam se přihlašuje a JAK je připojený k internetu.

[j]

To je easy, tvurce webu zrusi pole password, a da tam proste obycejnej textbox, a je vymalovano. Uz sem to na par mistech videl. Proste totalni kokotina tohle resit, protoze bezpecnost to naopak snizi.

[Xerces]

Souhlas.

[Filip Jirsák]

Jak přesně to bezpečnost sníží?

[petrfm]

Tak, ze heslo potom bude moci ukrast nejen muz uprostred, ale i muz vzadu.

[Conscript89]

A nejen vzadu, ale i ten co se podiva do historie vstupnich poli kde heslo by se nemelo ukladat bez dotazu, ale text se typicky uklada.

[Filip Jirsák]

Pokud mi někdo při psaní hesla kouká přes rameno, to heslo může ukrást i bez toho, aby ho viděl napsané na monitoru. Uživatel je snad svéprávný a umí si zařídit, aby při psaní hesla za ním nikdo nestál. Navíc případná náhrada vstupního boxu pro heslo textovým polem není věcí prohlížeče, ale musí to udělat autor stránek – a je to to nejhloupější možné řešení.

„Text se typicky ukládá“ je akorát další projev neznalosti – to, jestli se text může nebo nemá ukládat je opět věcí autora webové stránky.

Takže bezpečnost případně nesníží webový prohlížeč, ale hlupáci, kteří neumí dělat webové stránky.

[Conscript89]

Proc tak utocne?

„Text se typicky ukládá“ je akorát další projev neznalosti – to, jestli se text může nebo nemá ukládat je opět věcí autora webové stránky.

Predpokladam, ze toto bylo na me. At se divam, jak se divam, tak u input type="text" nevidim zadny atribut ktery by specifikoval ze prohlizec nema ukladat zadany text pri submitovani formulare: http://www.w3schools.com/tags/tag_input.asp.

Vidim tam jen autocomplete a ten je soucasti az HTML5 (u nej mam problem sledovat vyvoj kdyz uz se nejakou dobu webu nevenuju - ano vim, neomlouva to) a nerika nic o tom, ze by mel zakazovat ukladani, jen ze se nemaji nabizet drive zadane hodnoty se stejnym name (zrovna u emailu me to zrovna stve, protoze prave v pouziti drive zadane hodnoty neudelam preklep, ale to je jiny pribeh).

V pripade pouziti autocomplete="off" me tvrzeni „Text se typicky ukládá“ nemusi byt pravda, to uznavam, ale bez nej si porad za nim stojim. Jasne, pokud je submitovani udelano obkurdne pres javascript, tak jde udelat temer cokoliv a v takovem pripade se imho nema ani cenu bavit o nejake kontrole ze strany Firefoxu.

[Filip Jirsák]

Proc tak utocne?

Odpovídám stejným stylem, jako Petrfm.

V pripade pouziti autocomplete="off" me tvrzeni „Text se typicky ukládá“ nemusi byt pravda

Ano, text se v takovém případě neukládá, protože to ukládání slouží právě k automatickému dokončování.

bez nej si porad za nim stojim

Pokud autor webu nahradí políčko pro zadání hesla textovým políčkem a nenastaví u něj autocomplete=off, způsobí to snížení bezpečnosti on, ne prohlížeč.

[Conscript89]

bez nej si porad za nim stojim

Pokud autor webu nahradí políčko pro zadání hesla textovým políčkem a nenastaví u něj autocomplete=off, způsobí to snížení bezpečnosti on, ne prohlížeč.

Souhlas.

[Kate]

Mělo by to dát varování na každý formulář bez https :)

Ale jinak, pokud se někdo sníží k takové prasárně, bezpečnost to už nijak zvlášť nesníží. Heslo bude cestovat plaintextem tak jako tak... A pokud někdo zadá heslo do obyčejného textového inputu místo password před někým jiným, je trotl.

[Filip Jirsák]

Mělo by to dát varování na každý formulář bez https :)

To dělal Internet Explorer někdy v dobách verze 4 nebo 5 nebo tak nějak. Při odeslání formuláře přes HTTP zobrazil dialog, kterému nikdo nerozuměl, jenom každý věděl, že ho musí co nejrychleji odkliknout – takže si málokdo všiml, že tam je volba „příště nezobrazovat“. Pak přišel Firefox, který tímhle neotravoval. Což byl pravděpodobně skutečný důvod, proč byl Firefox bezpečnější – uživatelé Firefoxu se nenaučili, že musí každou chvíli odklepnout nějakou nesmyslnou hlášku, takže když už se něco objevilo, věnovali tomu pozornost.

A pokud někdo zadá heslo do obyčejného textového inputu místo password před někým jiným, je trotl.

Mně naopak vadí, že Firefox ani Chrome neumí hesla v políčku zobrazit – aspoň dočasně, jako to dělá MSIE. Situace, kdy mi někdo při zadávání hesla stojí za zády, jsou velmi ojedinělé – a stejně to heslo mám vedle zobrazené na mobilu, odkud ho opisuju.

[Kate]

Nemyslela jsem přímo varovný dialog, ale prostě rozšířit vizuálně odlišené varování v adresním řádku na všechny formuláře, ne jen na ty přihlašovací I když je fakt že to by se možná lidi naučili ingorovat.

A ano, ta možnost zobrazení je fajn, ale nesmí to být zobrazené defaultně :) Ještě je na to addon.

[Bedňa]

Mně naopak vadí, že Firefox ani Chrome neumí hesla v políčku zobrazit – aspoň dočasně

Zapneš si "Tools->Web developer->Inspector" prejdeš na políčko s heslom a v kóde prepíšeš type=password" na type="text" a heslo sa zobrazí.

Ďalšia možnosť je nainštalovať si doplnok na zobrazovanie hesiel.

[svido]

Heslo, putuje jako plaintext i z input type password, takže, pokud není na formuláři HTTPS, tak je to úplnš jedno. Útok typu Man-in-the-middle je poměrně jednoduchý a tím, že spojení není šifrované, má útočník všechny data.

Mít v dnešní době formulář jen na HTTP, resp. na webu mít povolen jen HTTP je hloupost. SSL certifkáty nic nestojí (Let's Encrypt) a nevidím tak důvod proč si nemít všude jen HTTPS.

[Acci]

Protože certifikát třeba těžko dostanu do svého routeru nebo jednoúčelového zařízení s webovým rozhraním, které třeba ani nemá dostatek výkonu pro šifrování.

[Kate]

Nevím proč to píšeš mně, ale OK.

[kolebaba]

Protože zbytečnej overhead. Protože tam chci lézt i z prohlížečů nepodporujících https. Protože mne bezpečnost (v daném kontextu) nezajímá. Protože ...

[Peter Golis]

A pokud někdo zadá heslo do obyčejného textového inputu místo password před někým jiným, je trotl.

To síce je, ale tým najjednoduchšie odstráni problém zobrazovania danej chyby. An workaround is not the solution, even management want it due to cost saving.

[Filip Jirsák]

Kdepak. Ten, kdo by to „řešil“ tímhle způsobem, si té „chyby“ – tedy indikace v adresním řádku – ani nevšimne. A pokud ho na to někdo upozorní, prohlásí to za chybu prohlížeče.

[Peter Golis]

Chyba. Pokiaľ je to eskalované štandardnou cestou, tak sa v eskalácii nachádza aj zdôvodnenie. Vtedy je na vyhovorenie sa na chybu v prehliadači už neskoro. Teda, pokiaľ sa nejedná o výrobnú linku o počte jedného študenta na polovičný úväzok. Ten to v kľude deleguje na podporu hostingu aj keď má prenajatú najlacnejšiu Client Managed VM.

[Peter Golis]

Příloha:

• Screenshot from 2016-12-28 17-49-00.png (84779 bytů)

Ono, lepšie by bolo keby prehliadače informovali o bordeli v certifikátoch. Jeden je v prílohe. A videl som aj vtipnejšie, ...

[...]

To vyzera uzitocne, co to je za doplnok?

[Peter Golis]

Certificate Patrol.

[Filip Jirsák]

Co je na tom podle vás špatně?

[Peter Golis]

Příloha:

• Screenshot from 2016-12-28 18-50-01.png (98426 bytů)

Že sa tie (ehm) certifikáty každú chvíľu navzájom prehlasujú. Ale v tejto prílohe je vtipnejší. Certifikát neslúži len na zamedzenie odpočúvania, certifikát slúži aj na overenie druhej strany. Bez overenia je to len placebo ktorému môže byť podhodené hocičo. A to nie je dobre.

[Bedňa]

Ono je to dosť problematické, pred časom ma napadla alternatíva na základe hlasovania užívateľov, len zas ako získať obranu pred botnetmi, to neviem. Proste vždy je o dvôre, ako keď dáš v pokladni 100€ a predavačka ti vydá ako z 20€, pokiaľ tam nieje kamera, tak pravdu nedokážeš.

[Peter Golis]

Pokiaľ sa mi zmení niekoľko krát denne certifikát na jednu a tú istú URL, tak k danej stránke nemôžem mať dôveru. Rovnako aj banka stratí dôveru v teba, ak budeš meniť podpis niekoľko krát denne. Alebo ty nebudeš dôverovať obchodníkovi ktorý má tak často zmenené firemné logo, pečiatku, adresu sídla alebo telefónne číslo. Dôvera v digitálnom svete nemá mať odlišnosti pred dôverou vo fyzickom svete.

Ja v tomto problém nevidím. Kto sa chce chovať nedôveryhodne, ten nech neočakáva dôveru.

[Filip Jirsák]

To, že se certifikáty mění, je v pořádku. Důvěryhodnost certifikátu totiž nezajišťuje veřejný klíč, ale podpis certifikační autority. Jinak byste ten certifikát nepotřeboval. A certifikační autorita je tam pořád stejná.

Navíc když máte víc serverů, což Google nebo CloudFlare jaksi potřebují, potřebujete i víc certifikátů, protože každý server má svůj vlastní privátní klíč, tím pádem mají i různé veřejné klíče a tedy i certifikáty.

Mimochodem, ověření protistrany není „něco navíc“, ověření protistrany je podmínka nutná k tomu, abyste mohl zabránit odposlouchávání.

[Peter Golis]

Takže, keď sa snažím dovolať do firmy, a viac krát za deň sa im zmení telefónne číslo, tak je to v poriadku lebo aktuálne telefónne číslo je v telefónnom zozname a tomu musím veriť. Bez odvrávania. Toto mi už zaváňa agitáciou ministerstva vnútra. U nás to ministerstvo spravuje narkoman.

Koľko certifikačných autorít už zlyhalo, a vydalo certifikáty hocikomu pre hocikoho? A koľko certifikačných autorít aktívne spolupracuje s úradmi?

[Filip Jirsák]

Telefonní číslo je identifikátor, podobný identifikátor je URL. Ono se změnilo URL, na kterém jste daný web našel? Ráno jste šel na www.google.com, a odpoledne na té adrese už nic nebylo a musel jste jít jinam?

Existují mechanismy, které umožňují podvodům ze strany certifikačních autorit bránit, Google je využívá. A Google mimochodem využívá svůj vlastní mezilehlý certifikát, takže jeho certifikáty klidně můžete kontrolovat podle něj.

[Peter Golis]

Nie, ale na druhej strane sa mi ukázal iný podpis. To je z môjho pohľadu rovnaké, ako keby som sa dovolal do inej firmy.

Ak podľa českého ministerstva vnútra je podpis alebo odtlačok prsta dynamicky meniacou sa insígniou, tak o tom skúste informovať aj vaše zvyšné oddelenia. A som rád že sa tu potvrdila ochota Google spolupracovať s každým. Úplne každým.

[Filip Jirsák]

Ne, neukázal se vám jiný podpis. Podpis byl stále od stejné certifikační autority.

Ano, podpis se mění – žádné dva pořádné podpisy, ani vlastnoruční ani digitální, nejsou stejné. Digitální podpis může být stejný, pokud vezmete třeba naskenovaný obrázek a připojujete ho k různým dokumentům, ale takový podpis je k ničemu.

Váš pohled je váš problém, vy chcete od certifikátů něco, k čemu nebyly navržené. Že se vám hřebíky špatně zatloukají šroubovák není chyba šroubováku, ale vašeho způsobu použití.

S tím telefonováním budete mít úplně stejný problém, protože se dovoláte do stejné firmy, vezme vám to stejný člověk, ale to vám nestačí, vám bude vadit, že má dotyčný ráno trochu jiný hlas, než odpoledne.

[Kate]

Pokud budeš komunikovat s úřadem a pokaždé ti odepíše jiný, daný problém řešit kvalifikovaný úředník, přičemž se každý podepíše svým elektronickým podpisem, taky přestaneš úřadu věřit?

[Peter Golis]

Pokiaľ mi odpíše služba úradu a použije iné razítko, tak to bude podľa tunajších osvetových pracovníkov v poriadku. Podľa zdravého rozumu sa bude ovšem jednať o iný podpisový vzor a to je v poriadku len podľa PR Ministerstva Vnútra, oddelenie analýzy neverejných informácií.

Som rád, že tu vidím doznaných zamestnancov a sympatizantov.

[Filip Jirsák]

Pokud vám úřad odepíše v listinné podobě, bude na dokumentu jiný otisk razítka a jiný vlastnoruční podpis, než na jakémkoli jiném dokumentu. Je totiž fyzikálně nemožné vyrobit dvakrát úplně ten samý otisk razítka a dvakrát se úplně stejně podepsat. Přesto to v obou případech může být otisk stejného razítka a podpis stejné osoby. Pokud ten dokument bude digitální, bude mít opět jiný podpis, než jakýkoli jiný dokument – přestože oba podpisy budou založené na stejném privátním klíči.

Nemusíte pořád mlít nesmysly o Ministerstvu vnitra, tím stejně neodvedete pozornost od skutečnosti, že nerozumíte tomu, co je to certifikát.

[Peter Golis]

Len zamestnanec alebo sympatizant MV môže prekrútiť výraz odtlačok iného razítka na iný odtlačok razítka. Prajem vám veľa pracovných úspechov v novom roku, a ešte viac zozbieraných údajov.

[Filip Jirsák]

Jen hlupák může vytýkat překroucení výrazu „odtlačok iného razítka“, když ho při té výtce použije poprvé. Navíc na těch certifikátech je podpis stále od té stejné autority, takže když už to chcete porovnávat, jsou na těch certifikátech „iné odtlačky razítka“.

[Peter Golis]

toho dne byl stierlitz tak blízko k prozrazení, jako ještě nikdy předtím ...

[Newpac]

Z ohnivé lišky se stala/stává liška h@vnov&,je tak pomalá až je nepoužitelná.