Lorsqu'une page fournit des éléments sécurisés et non sécurisés via https, les éléments sécurisés sont-ils compromis?

Question

Je ne suis pas sûr à 100% que j'utilise la bonne terminologie ou si je laisse de côté les informations nécessaires pour répondre. Alors s'il vous plaît soyez patient avec moi.

Mon client souhaite inclure un flux vidéo provenant d'une source externe dans une zone membre de son site Web. La zone membres est distribuée via https et le flux vidéo ne l'est pas. Est-ce que cela compromet les données sécurisées?

Je sais que certains navigateurs alertent l'utilisateur que des données sécurisées et non sécurisées sont chargées sur la page. Franchement, mon client est d'accord avec cela, mais je ne veux pas aller de l'avant si les informations du compte utilisateur (en particulier, session, etc.) sont compromises.

Merci pour toute aide.

Answer 1

Si vos pages référencent des pages Javascript ou Flash non cryptées, vous êtes totalement non protégé; un attaquant peut substituer n'importe quel Javascript qu'il veut, et peut voler des biscuits non-HTTP-seulement, ou faire des demandes HTTP arbitraires qui usurpent l'identité de l'utilisateur courant.

Si vous faites référence à un fichier CSS non crypté, vous êtes toujours vulnérable; les attaquants peuvent modifier arbitrairement votre mise en page, et can execute arbitrary code in IE and Firefox.

Si vous faites référence à des images non cryptées, vous êtes plutôt bien; tout ce que l'attaquant peut faire est de voir l'en-tête Referer et de découvrir quelle page l'utilisateur voit. (Il obtiendra également tous les cookies non-SSL seulement pour le domaine de l'image). L'attaquant peut également modifier les images en fonction de ses besoins, ce qui peut poser problème.

Answer 2

Si vous identifiez votre utilisateur en fonction d'un cookie, par ex. En utilisant un SessionId standard, vous êtes vulnérable, même si vous ne faites que référencer des images statiques.

Par défaut, le navigateur de l'utilisateur renverra le cookie de session pour chaque demande au même hôte, sans rapport avec le protocole. C'est à dire. vous avez authentifié votre utilisateur en toute sécurité en utilisant HTTPS sur votre formulaire de connexion, et assurez-vous de continuer à utiliser HTTPS pour toutes les pages sensibles ...
Cependant, vous incluez également les images "non sensibles" sur HTTP ... le navigateur de l'utilisateur enverra volontiers le sensible cookie de session sur un HTTP non crypté, non sécurisé et en texte brut, lors de la demande de ces images.
Ensuite, il suffit de saisir ce cookie à partir de HTTP, et d'usurper l'identité de vos utilisateurs sur la partie sécurisée du site.

Remarque: par défaut. Vous pouvez changer ce comportement en ajoutant l'attribut secure; à vos cookies. Selon votre infrastructure, vous pouvez le configurer pour qu'il se produise automatiquement. Encore une fois, ce n'est pas la valeur par défaut, vous devez le modifier explicitement.
Et pendant que vous y êtes, ajoutez l'attribut httpOnly; aussi.