Risque de sécurité dans un cadre de connexion

Question

Je développe une connexion simple qui est affichée dans d'autres pages du site par un javascript.

La première fois, mon script a chargé la page de connexion en tant que contenu div injecté dans la page mais j'ai réalisé que si la "autre page du site" celle d'i ouvre mon login, a une fonction javascript simple ce que j'insère dans le champ de nom d'utilisateur et de mot de passe cela pourrait être un risque de sécurité pour mes utilisateurs.

Maintenant, je change de chemin, et je pense à ouvrir la page de connexion avec un script qui "injecte" un cadre dans une page, en utilisant fancybox par exemple. Maintenant, ma question: Serait-ce sécurisé? ou la "page d'autre site" pourrait utiliser un script pour attraper les données de compte que mon utilisateur insère dans un cadre de connexion?

merci

Answer 1

Le modèle de confiance iFrame-parent-page non sécurisée ne peut pas être sécurisé.

En tant que iframe, vous êtes complètement à la merci de la page parente. Mis à part les problèmes de détournement de clickjacking qui sont utilisés pour subvertir l'interaction avec le contenu de la frame, il y a aussi le problème que l'utilisateur à qui on demande de se connecter n'a aucun moyen de savoir que l'iframe est authentique. Dans la mesure où l'utilisateur peut voir, le formulaire de connexion fait partie du site dont l'adresse est dans la barre d'adresse;

Bien que certains navigateurs offrent la possibilité d'inspecter un iframe et de vérifier sa source, ce n'est pas un plan d'action que vous pouvez raisonnablement attendre d'un utilisateur à chaque fois. Si vous mettez du contenu sensible (comme un formulaire de connexion) dans un iframe, vous (et l'utilisateur) devez faire entièrement confiance au site inclus, dont le nom apparaît dans la barre d'adresse. Si vous ne le faites pas, vous aurez besoin d'un modèle différent. Typiquement: rediriger l'utilisateur à travers une page de connexion, comme dans OpenID, ou ouvrir une fenêtre contextuelle. Il existe des compromis que vous pouvez faire pour éviter de changer de page: par exemple, si l'utilisateur a un cookie, vous pouvez ignorer le formulaire de connexion ou fournir un formulaire de connexion plus simple qui demande un justificatif incomplet ou différent de celui demandé le formulaire de connexion complet. (L'idée étant que si le site inclus intercepte les informations d'identification d'une façon ou d'une autre, il ne suffit pas de se connecter complètement, y compris les sites ne touchent pas les cookies du site inclus.)