A jak by měl být poučen líp?
Tak, že pokud pracuje na webu s citlivými informacemi (osobní údaje jiných osob, informace o penězích nebo dokonce příkazy k úhradě, e-maily), má si na začátku zkontrolovat, zda je na zabezpečeném webu, a může by si průběžně kontrolovat, že na něm stále zůstává (ale to už je starost autora aplikace, aby uživatele udržel na HTTPS).
Ne každou, ale jenom tu, kam zadává heslo.
Takže když z té stránky, kam zadává heslo, se formulář odešle přes HTTP, je to v pořádku? Když se přihlásí přes HTTPS, ale dál pracuje přes HTTP a session ID se přenáší nešifrovaně, je to v pořádku? Pokud se nejprve v HTTP vytvoří session ID a následně se k této session uživatel přihlásí přes HTTPS, je to v pořádku? Podle mne jsou to všechno vážné bezpečnostní problémy. A uživatel nemá šanci kontrolovat, zda se vše potřebné správně posílá přes HTTPS a přes HTTP se posílají jen nezajímavé věci – uživatel má jedinou možnost, a to sledovat, že je od začátku až do konce na HTTPS. Ve skutečnosti si to zkontroluje jen na začátku a pak už jen spoléhá na to, že je ta aplikace udělaná správně a že ho to z HTTPS někde nevyhodí.
To je samozřejmě nesmysl, protože autor webu nemůže např. nijak kontrolovat MITM útoky. Proto si uživatel sám musí nějak ověřit, že k MITM útoku nedošlo.
Kontrola certifikátu je to jediné, co doopravdy může (a musí) udělat uživatel. Vše ostatní je už na autorovi.
Maximum, čeho je BFU schopný, je podívat se, že je web zelený.
To tvrdím celou dobu. Jenže když se na ten web podíváte, tak „zelený“ není. A to, že někdy v budoucnosti možná „zezelená“, to je nepodstatné. Uživatel neumí rozpoznat, zda web ve správnou chvíli „zezelená“, uživatel rozpozná –jak sám píšete – jenom to, zda web
je „zelený“.
44 Odpovědí
24240 Zhlédnutí