Citace od: Mirek Prýmek kdy 10. 02. 2015, 06:59:09
A jak by měl být poučen líp?
Tak, že pokud pracuje na webu s citlivými informacemi (osobní údaje jiných osob, informace o penězích nebo dokonce příkazy k úhradě, e-maily), má si na začátku zkontrolovat, zda je na zabezpečeném webu, a může by si průběžně kontrolovat, že na něm stále zůstává (ale to už je starost autora aplikace, aby uživatele udržel na HTTPS).
Citace od: Mirek Prýmek kdy 10. 02. 2015, 06:59:09
Ne každou, ale jenom tu, kam zadává heslo.
Takže když z té stránky, kam zadává heslo, se formulář odešle přes HTTP, je to v pořádku? Když se přihlásí přes HTTPS, ale dál pracuje přes HTTP a session ID se přenáší nešifrovaně, je to v pořádku? Pokud se nejprve v HTTP vytvoří session ID a následně se k této session uživatel přihlásí přes HTTPS, je to v pořádku? Podle mne jsou to všechno vážné bezpečnostní problémy. A uživatel nemá šanci kontrolovat, zda se vše potřebné správně posílá přes HTTPS a přes HTTP se posílají jen nezajímavé věci – uživatel má jedinou možnost, a to sledovat, že je od začátku až do konce na HTTPS. Ve skutečnosti si to zkontroluje jen na začátku a pak už jen spoléhá na to, že je ta aplikace udělaná správně a že ho to z HTTPS někde nevyhodí.
Citace od: Mirek Prýmek kdy 10. 02. 2015, 06:59:09
To je samozřejmě nesmysl, protože autor webu nemůže např. nijak kontrolovat MITM útoky. Proto si uživatel sám musí nějak ověřit, že k MITM útoku nedošlo.
Kontrola certifikátu je to jediné, co doopravdy může (a musí) udělat uživatel. Vše ostatní je už na autorovi.
Citace od: Mirek Prýmek kdy 10. 02. 2015, 06:59:09
Maximum, čeho je BFU schopný, je podívat se, že je web zelený.
To tvrdím celou dobu. Jenže když se na ten web podíváte, tak ,,zelený" není. A to, že někdy v budoucnosti možná ,,zezelená", to je nepodstatné. Uživatel neumí rozpoznat, zda web ve správnou chvíli ,,zezelená", uživatel rozpozná –jak sám píšete – jenom to, zda web
je ,,zelený".
44 Příspěvky
27 758 Zhlédnutí