Auf einer Website erhalte ich dieses Popup von Firefox:
Ich habe die Website danach gefragt und dort heißt es, dass die Anmeldung sehr gut verschlüsselt erfolgt. Warum bekomme ich immer noch das Popup? Wer lügt? Wie kann ich das herausfinden?
Antwort1
sie sagen, der Login wird sehr gut verschlüsselt übermittelt
Das istnicht gut genug. Es spielt keine Rolle, ob das Anmeldeformular an ein HTTPS-Ziel gesendet wird, wenn die Seite, auf der das Anmeldeformular angezeigt wird, selbst nicht verschlüsselt ist.
Das erklärt sich eigentlichauf Mozillas eigener Dokumentation.
Ich glaube, das ist, was Sie sehen:
- Das Anmeldeformular wird auf einer HTTP-Site angezeigt
- Mit der Schaltfläche „Senden“ des Anmeldeformulars gelangen Sie zu einer HTTPS-Site
Für die Sicherheit ist Folgendes erforderlich:
- Das Anmeldeformular wird auf einem HTTP-Server angezeigt.SWebsite
- Mit der Schaltfläche „Senden“ des Anmeldeformulars gelangen Sie zu einer HTTPS-Site
Andere Möglichkeitbesteht darin, dass sie ein HTTPS-Iframe in ein HTTP-Dokument eingebettet haben, was zu ähnlichen Problemen führt.
Warum? Da das Anmeldeformular selbst nicht gesichert ist, kann ein Angreifer das Formular nicht ändern. Das bedeutet, dass eränderndas Formular und lassen Sie es an eine Nicht-HTTPS-Site oder sogar an eine ganz andere Website senden! Sie könnten auch ein Skript einschleusen, das Ihre Tastenanschläge erfasst und an eine vom Angreifer kontrollierte Site sendet, bevor Sie überhaupt die Anmeldung absenden.
Anschließend zeigt Firefox die Warnung an, wenn das Anmeldeformular selbst auf einer Nicht-HTTPS-Site erkannt wird, unabhängig davon, was es übermitteltZu.
Dies ist ein sehr häufiges Problem und viele Site-Betreiber (einschließlich Sites, von denen man erwarten würde, dass sie sehr sicher sind, z. B. Banken) scheinen sich dessen nicht bewusst zu sein (oder es ist ihnen einfach egal). Troy Hunt hat einige großartige Blog-Beiträge zu diesem Thema verfasst,stammt aus der Zeit vor fünf JahrenUnd natürlich ist esauch heute noch ein weit verbreitetes Problem.
Antwort2
Der Browser erkennt, dass die Site mindestens eine der folgenden Aktionen ausführt:
Nicht verwendenhttps
Die Verbindung ist nur teilweise verschlüsselt (Websites mit selbstsignierten Zertifikaten oder Zertifikaten, die nicht von einer vertrauenswürdigen Stelle ausgestellt wurden).
Verwendet eine schwache Verschlüsselung.
Bei den letzten beiden Problemen handelt es sich um Fälle, in denen die Verbindung selbst bei Verwendung einer Verschlüsselung nicht stark oder vollständig verschlüsselt ist, wodurch Abhörmaßnahmen oder Man-In-The-Middle-Angriffe Tür und Tor öffnen.
Unter „Weitere Informationen“ können Sie die verwendete Verschlüsselung prüfen:
Und klicken Sie aufZertifikat ansehenSie können die Details des von der Website verwendeten Zertifikats sehen:
