Mi az a kevert tartalom figyelmeztetés?

„Ez az oldal bizonytalan tartalommal rendelkezik.” „Csak a biztonságos tartalom jelenik meg;” „A Firefox letiltotta a nem biztonságos tartalmat.” Néha ezek a figyelmeztetések találkoznak az internet böngészése közben, de pontosan mit jelentenek?

Kétféle vegyes tartalom létezik - az egyik rosszabb, mint a másik, de egyik sem jó. A vegyes tartalmakra vonatkozó figyelmeztetések azt jelzik, hogy valami rossz a webhelyen.

Mi a vegyes tartalom?

Mindez a HTTP és a HTTPS közötti különbséghez vezet. A HTTP a leggyakrabban használt kapcsolat típusa - amikor a HTTP protokollt használó webhelyre látogat, a weboldalhoz való csatlakozás nem biztosított. Bárki, aki meghallgatja a forgalmat, láthatja a megtekintett oldalt és minden olyan adatot, amelyet továbbít.

Ezért van HTTPS, ami szó szerint „HTTP Secure”. A HTTPS biztonságos kapcsolatot hoz létre Ön és a webszerver között. A kapcsolat titkosítva és hitelesítve van, így senki sem tud felhúzni a forgalmat, és bizonyos biztosítékokkal rendelkezik, hogy csatlakozik a megfelelő webhelyhez. Ez rendkívül fontos a fiókok jelszavainak és az online fizetési adatok biztosításának szempontjából, biztosítva, hogy senki ne hallhassa őket.

A vegyes tartalom figyelmeztetések problémát jelentenek a HTTPS-en keresztül érkező weblapokkal. A HTTPS kapcsolatnak biztonságosnak kell lennie, de a weblap forráskódja más forrásokat húz a nem biztonságos HTTP protokollal, nem HTTPS-sel. A webböngésző címsora azt fogja mondani, hogy csatlakozik a HTTPS-hez, de az oldal erőforrásokat tölt be a bizonytalan HTTP protokollal a háttérben. Annak biztosítása érdekében, hogy tudja, hogy a használt weboldal nem teljesen biztonságos, a böngészők figyelmeztetnek arra, hogy az oldal egyaránt tartalmaz HTTPS-t és HTTP-tartalmat - vegyes tartalmat, más szóval.

Miért ez veszélyes

Ez az, amiért ez tényleg veszélyes. Tegyük fel, hogy egy fizetési oldalon vagy, és hamarosan beírja a hitelkártyaszámát. A fizetési oldal jelzi, hogy egy titkosított HTTPS kapcsolat, de vegyes tartalom figyelmeztetést lát. Ez egy piros zászlót emel. Lehetséges, hogy az Ön által megadott fizetési adatokat a bizonytalan tartalom rögzíti, és bizonytalan kapcsolaton keresztül küldheti el, megszüntetve a HTTPS biztonságát - valaki meghallgathat és érzékeny adatokat láthat.

Mivel a HTTP nem azonosítja a webkiszolgálót ugyanúgy, mint a HTTPS, az is lehetséges, hogy egy HTTP HT-webhelyről szkriptet húzó biztonságos HTTPS-helyet megtámadhat egy támadó parancsfájljának húzásával, és az egyébként biztonságos webhelyen futtathatja azt. Ha a HTTPS-t használjuk, akkor több biztosítékod van arról, hogy a tartalom nem sérült meg, és jogszerű.

Mindkét esetben ez megszünteti a biztonságos HTTPS kapcsolat előnyét. Előfordulhat, hogy egy webhely bizonytalan tartalmi figyelmeztetést kaphat, és még mindig biztonságosan védheti meg személyes adatait, de valóban nem tudjuk biztosan, és nem vállaljuk a kockázatot - ezért figyelmeztetnek a webböngészők, ha nem találkoznak megfelelően kódolt.

Vegyes aktív tartalom vs. vegyes passzív tartalom

Valójában kétféle vegyes tartalom létezik. A veszélyesebb a „vegyes aktív tartalom” vagy „vegyes szkriptek”. Ez akkor fordul elő, ha egy HTTPS-webhely egy parancsfájlt tölt be HTTP-n keresztül. A szkriptfájl tetszőleges kódot futtathat a kívánt oldalon, így a parancsfájl bizonytalan kapcsolaton keresztüli betöltése teljesen tönkreteszi az aktuális oldal biztonságát. A webböngészők általában blokkolják ezt a fajta kevert tartalmat.

A második típus „vegyes passzív tartalom” vagy „vegyes képernyős tartalom”. Ez akkor fordul elő, ha egy HTTPS-webhely valamilyen képet vagy hangfájlt tölt be egy HTTP-kapcsolaton keresztül. Ez a fajta tartalom nem ronthatja az oldal biztonságát ugyanúgy, így a webböngészők nem reagálnak olyan keményen. Azonban még mindig rossz biztonsági gyakorlat, ami problémákat okozhat. Például, egy támadó félrevezető képpel helyettesítheti a képet, és elméletileg biztonságos oldalt módosíthat. A képterhelési kérelem olyan fejléceket is tartalmaz, amelyek egy weboldalhoz tartozó cookie-információkat tartalmaznak, így akár egy kép bizonytalan kapcsolaton keresztüli betöltése is problémákat okozhat. A webböngészők gyakran figyelmeztető ikont vagy üzenetet jelenítenek meg ahelyett, hogy teljesen letiltanák a tartalmat, mivel ez a fajta kevert tartalom még mindig olyan gyakori a valódi webhelyeken. A Chrome-ban egy sárga háromszögű lakatot lát.

Mi a teendő, ha egy vegyes tartalom figyelmeztetést lát

A webböngészők általában alapértelmezés szerint blokkolják a vegyes tartalom legveszélyesebb típusait. Ne oldja fel. Ha nem tud bejelentkezni egy webhelyre, vagy nem írhat be online fizetési adatokat a vegyes tartalom betöltése nélkül, akkor hagyja el a webhelyet, és ne adja meg az adatokat egy nem biztonságos webhelyre. Hagyja, hogy a weboldal tulajdonosai tudják, hogy a webhelyük nem biztonságos és törött.

Ha olyan figyelmeztetést lát, hogy az oldal más forrásokat tartalmaz, amelyek nem biztosak a biztonságban, akkor valószínűleg biztonságos is bejelentkezni. Nem jó jel, ha egy olyan webhely fontos, mint a bankod, de ez a fajta vegyes tartalom figyelmeztetés nagyon gyakori.

Másrészről a vegyes tartalom figyelmeztetések nem igazán nagy ügy, ha olyan webhelyet érnek el, amely nem igényel HTTPS-t. Minden vegyes tartalom figyelmeztetés azt jelenti, hogy a HTTPS biztonságának garantált weblapja - más szóval, a legrosszabb esetben a látogatott weblap ugyanolyan bizonytalan, mint egy szabványos HTTP webhely. Tehát, ha olyan webhelyet értek el, mint a Wikipedia, csak néhány cikk elolvasásához, és vegyes tartalom figyelmeztetését látta, nem kell túl sokat törődnie vele. A legrosszabb forgatókönyv szerint ugyanolyan bizonytalan, mintha szabványos HTTP-kapcsolaton keresztül olvasta a Wikipédiában található cikkeket, amelyeknek semmilyen problémája sincs..

Miért van néhány weblapnak ez a problémája

Ezt a hibát csak akkor látja, ha problémát okoz a weboldal kódolása. Ha egy weblapot HTTPS-en keresztül szolgáltat, akkor a HTTPS protokollt is használnia kell a szkriptfájlok és más szükséges tartalmak húzásához. A webfejlesztőknek tesztelniük kell a weboldalaikat, biztosítva, hogy a felhasználók böngészőiben ne bocsássanak meg félelmetes figyelmeztetéseket. Ha felhasználó vagy, akkor nem tehetsz semmit ezzel kapcsolatban - a weboldal tulajdonosának feladata, hogy megjavítsa.

Ha Ön webes fejlesztő, mindössze annyit kell tennie, hogy a HTTPS oldalai betöltsék a tartalmat a HTTPS URL-ekből, nem pedig a HTTP-URL-ekből. Ennek egyik módja az, hogy az egész weboldala csak az SSL-en működik, így minden csak HTTPS-t használ.

Ha azt szeretné, hogy egy olyan oldalt hozzon létre, amely HTTP vagy HTTPS-en keresztül kézbesíthető, és a helyes dolgot automatikusan elvégzi, a „protokoll relatív URL-ek” használatával a felhasználó böngészője automatikusan a HTTP-t vagy a HTTPS-t választja, attól függően, hogy melyik protokollt használja a felhasználó kapcsolatban. Például a kép betöltéséhez egy protokoll relatív URL-t fog kinézni