Zašto je ovo opasno
Evo zašto je ovo zapravo opasno. Recimo da ste na stranici za plaćanje i upravo ćete unijeti broj svoje kreditne kartice. Stranica za plaćanje pokazuje da je to šifrirana HTTPS veza, ali vidite upozorenje o miješanom sadržaju. Ovo bi trebalo da podigne crvenu zastavu. Moguće je da podaci o plaćanju koje unesete mogu biti zarobljeni nesigurnim sadržajem i poslani preko nesigurne veze, uklanjajući prednost HTTPS sigurnosti - neko bi mogao prisluškivati i vidjeti vaše osjetljive podatke.
Budući da HTTP ne provjerava autentičnost web servera na isti način kao što to čini HTTPS, također je moguće da bi sigurna HTTPS stranica koja izvlači skriptu sa HTTP stranice mogla biti prevarena da povuče napadačku skriptu i pokrene je na inače sigurna stranica. Kada se koristi HTTPS, imate više uvjeravanja da sadržaj nije mijenjan i da je legitiman.
U oba slučaja, ovo eliminiše prednost bezbedne HTTPS veze. Moguće je da web stranica ima upozorenje na nesiguran sadržaj i da i dalje pravilno osigurava vaše osobne podatke, ali mi zaista ne znamo sa sigurnošću i ne bismo trebali riskirati - zato vas web preglednici upozoravaju kada naiđete na web stranicu koja nije ispravno kodirano.
Mješoviti aktivni sadržaj u odnosu na mješoviti pasivni sadržaj
Zapravo postoje dvije vrste mješovitog sadržaja. Opasniji je “mješoviti aktivni sadržaj” ili “mješoviti skriptovi”. Ovo se dešava kada HTTPS lokacija učita datoteku skripte preko HTTP-a. Datoteka skripte može pokrenuti bilo koji kod na stranici koju želi, tako da učitavanje skripte preko nesigurne veze potpuno uništava sigurnost trenutne stranice. Web pretraživači općenito blokiraju ovu vrstu miješanog sadržaja u potpunosti.
Drugi tip je "mješoviti pasivni sadržaj" ili "mješoviti sadržaj prikaza." Ovo se događa kada HTTPS stranica učita nešto poput slike ili audio datoteke preko HTTP veze. Ova vrsta sadržaja ne može na isti način uništiti sigurnost stranice, tako da web pretraživači ne reagiraju tako oštro. Međutim, to je još uvijek loša sigurnosna praksa koja može uzrokovati probleme. Na primjer, napadač bi mogao zamijeniti sliku lažnom slikom, mijenjajući teoretski sigurnu stranicu. Zahtjev za učitavanje slike također sadrži zaglavlja koja sadrže informacije o kolačićima povezane s web-mjestom, tako da čak i učitavanje slike preko nesigurne veze može uzrokovati probleme. Web pretraživači često prikazuju ikonu upozorenja ili poruku umjesto da potpuno blokiraju sadržaj, jer je ova vrsta miješanog sadržaja još uvijek tako česta na stvarnim web stranicama. U Chromeu ćete vidjeti katanac sa žutim trouglom.
Šta učiniti kada vidite upozorenje o miješanom sadržaju
Web pretraživači generalno podrazumevano blokiraju najopasnije tipove mešovitog sadržaja. Nemojte ga deblokirati. Ako se ne možete prijaviti na web stranicu ili unijeti podatke o online plaćanju bez učitavanja mješovitog sadržaja, trebali biste jednostavno napustiti web stranicu i ne unositi svoje podatke na nesigurnu web stranicu. Obavijestite vlasnike web stranice da njihova web lokacija nije sigurna i pokvarena.
Ako vidite upozorenje da stranica sadrži druge resurse koji možda nisu sigurni, vjerovatno je sigurno da se prijavite u svakom slučaju. Nije dobar znak ako web stranica tako važna kao što je vaša banka ima ovaj problem, ali ova vrsta upozorenja o miješanom sadržaju je vrlo česta.
S druge strane, upozorenja o mješovitom sadržaju nisu baš velika stvar ako pristupate web stranici kojoj nije potreban HTTPS. Sve upozorenje o mješovitom sadržaju znači da će web stranica zajamčeno imati koristi od HTTPS sigurnosti - drugim riječima, u najgorem slučaju, web stranica koju posjećujete je nesigurna kao standardna HTTP stranica. Dakle, ako ste pristupali web stranici poput Wikipedije samo da biste pročitali neke članke i vidjeli ste upozorenje o miješanom sadržaju, ne biste trebali previše brinuti o tome. U najgorem slučaju, jednako je nesigurno kao da čitate članke na Wikipediji preko standardne HTTP veze, što ionako ne biste imali problema.
Zašto neke web stranice imaju ovaj problem
Ovu grešku ćete vidjeti samo ako postoji problem s načinom na koji je web stranica kodirana. Ako se web stranica poslužuje preko HTTPS-a, također bi trebala koristiti HTTPS protokol za uvlačenje datoteka skripte i drugog sadržaja koji joj je potreban. Web programeri bi trebali testirati svoje web stranice, osiguravajući da ne pokreću zastrašujuća upozorenja u pretraživačima korisnika. Ako ste korisnik, ne možete učiniti ništa po tom pitanju - na vlasniku web stranice je da to popravi.
Ako ste web programer, sve što trebate učiniti je osigurati da vaše HTTPS stranice učitavaju sadržaj sa HTTPS URL-ova, a ne HTTP URL-ova. Jedan od načina da to učinite je tako što ćete učiniti da vaša cijela web stranica radi samo preko SSL-a, tako da sve koristi samo
Ako želite da napravite stranicu koja se može servirati preko HTTP-a ili HTTPS-a i koja automatski radi pravu stvar, možete koristiti "protokol relativne URL-ove" da korisnikov pretraživač automatski odabere HTTP ili HTTPS prema potrebi, ovisno o tome s kojim je protokolom korisnik povezan. Na primjer, relativni URL protokola za učitavanje slike bi izgledao kao. Pretraživač će automatski dodati ili http: ili https: na početak URL-a, što god je prikladno. Naravno, morat ćete osigurati da stranica na koju povezujete nudi resurs i preko HTTP-a i
Web pretraživači automatski blokiraju miješani sadržaj ili vašu zaštitu, i to je razlog zašto. Ako trebate koristiti sigurnu web stranicu koja ne radi ispravno osim ako ne omogućite miješani sadržaj, vlasnik web stranice bi to trebao popraviti.
