Lomakkeen lähetys salattuna http->https
Juha Autero
Koska tämä on turvallisuus-asiaa, ohjaan jatkokeskustelun
sfnet.atk.turvallisuuteen.
aa...@yahoo.com (Aapo Rista) writes:
> Jos lähetän lomakkeen sivulta, jonka osoite on
> http://-alkuinen, sellaiselle sivulle, jonka osoite on
> https://-alkuinen, niin lähteekö lomakedata SSL-salattua
> vai ei?
Kuten jo vastattiin, nimenomaan tuossa tapauksessa lähettää.
Mistä päästäänkin mukavaan tietoturvaongelmaan. Mitä tapahtuu,
jos tuo onkin toisinpäin. Eli lomake on kyllä SSL:llä suojatulla
sivulla, mutta se lähetetään HTTP:llä? Selain näyttää, että kysessä on
suojattu sivu. Suljettua lukkoa klikkaamalla voi varmistaa sertifikaatit
jne. Kuitenkin syötetty tieto kulkee suojaamattomana.
Kuvittelin, että tilanne on lähinnä akateeminen. Jos lomake on SSL-suojattu,
niin samalla vaivalla suojaa lähetetyn datan. Sitten luin tapauksesta,
jossa tosiaan näin oli tehty. Tuossa ongelmana on se, että käyttäjällä
ei juurikaan ole keinoa selvittää lähettämänsä tiedon turvallisuutta.
Lomake voi olla suojatulla sivulla, jossa varmenteet ja avainpituudet
ovat kunnossa. Samoin lomakkeen lähettämisen jälkeen käyttäjä voidaan ohjata
samoin suojatulle sivulle. Kuitenkin data kulkee suojaamattomana verkossa,
koska lomakedatan käsittelyyn on käytetty tekniikkaa, jota ei ole osattu
toteuttaa turvallisesti. Pahimmassa tapauksessa se on verkosta löydetyllä
palvelimella pyörivä formmail.pl -skripti.
Markus Peuhkuri
> jos tuo onkin toisinpäin. Eli lomake on kyllä SSL:llä suojatulla
> sivulla, mutta se lähetetään HTTP:llä? Selain näyttää, että kysessä on
Esimerkiksi Disneyn sivulla oli tälläinen esimerkki. Sivulla oli
lomake, jolla saattoi tukea Disneyn perikunnan elämää hankkimalla
jonkin mediapalvelun tms. Sivulla luki normaali "Why this is safe"
(käytämme SSL-suojausta yms) mutta sivua tarkemmin tutkimalla tuli
todettua että kukkua kanssa: sekä sivu että lomakkeen lähetys
tapahtuivat normaalilla http-protokollalla.
Sivun saattoi katsoa SSL-suojatusti vaihtamalla YRP:iin protokollaksi
https:n jolloin myös lomakeen palautus oli suojattu. Vika oli vain
siinä, että palvelin tarjosi samat sivut sekä suojatusti että
suojaamattomasti ja käyttäjä oletusarvoisesti ohjattiin
suojaamattomalle sivulle mainoksesta.
Eli vaikka palvelin tarjoaisi sekä suojattua että suojaamatonta
sisältöä, pitäisi varmistua, että tietyt osat tulevat suojatuksti.
Apachessa menee esim. määrittelyllä
<Location /suojattu>
SSLRequireSSL
</Location>
--
Markus Peuhkuri ! http://www.iki.fi/puhuri/