Google Analytics su un sito protetto

In sostanza sì, è un rischio. Se si sceglie di utilizzare un JavaScript ospitato da terze parti (un esempio è Google Analytics) in una pagina protetta si apre la porta per le informazioni da raccogliere. Ciò potrebbe comportare un certificato falsamente falsificato o semplicemente una modifica dello script ga.js da parte di Google.

Potresti considerare il flusso della tua applicazione web per cercare di spingere le persone attraverso sezioni che non richiedono sicurezza per acquisire dati analitici, in alternativa potresti prendere in considerazione un'implementazione di Google Analytics per dispositivi mobili.

I dispositivi che non supportano JavaScript non sarebbero normalmente in grado di inviare dati analitici a Google. In questo caso, Google fornisce esempi di implementazione sul lato server alternativi. Vedi link

In questo caso se hai accesso per modificare il codice o estendere la tua applicazione web, potresti inviare solo le informazioni che desideri a Google. Questo ovviamente richiederà al tuo server di avviare una connessione a Google che potrebbe indurre il caricamento e dovrebbe essere attentamente protetto.

Questo design non era destinato ai client Web che supportano JavaScript, pertanto è necessario verificare che non violi i termini di servizio di Google.

Questo articolo è semplicemente stupido. Anche se oggi c'è ancora la possibilità che qualcuno possa falsificare un certificato ci sono ancora molti cerchi da saltare prima

Innanzitutto perché hanno un certificato, non possono ancora fare nulla con esso. Dovrebbero cambiare il tuo DNS per usare i loro server (possibilmente attraverso l'avvelenamento del DNS che non dovrebbe essere un problema in futuro) in modo che possano presentarti il loro certificato sulla loro macchina falsa.

Il prossimo codice deve essere specializzato per il tuo sito. Diciamo che è generico e aggiungono codice malvagio al javascript di terze parti la cosa più degna di nota che possono fare (senza sapere quale sia il tuo sito) è rubare i tuoi biscotti, rubare il DOM / html. A condizione che si utilizzino i cookie solo http non saranno in grado di rubare / clonare la sessione sul proprio sito. Essenzialmente tutto ciò che hanno è il supporto di lettura. Supponendo che sia generico l'invio del DOM ai propri server sarebbe forse di molta larghezza di banda per le loro macchine poiché un sacco di sito utilizza Google Analytics.

Per gli attacchi generici non vedo un problema. Ora se stai chiedendo un punto di vista mirato di quello che potrebbe esserlo. Supponendo che la persona sia in grado di ottenere un certificato e avvelenare il DNS, è possibile che il codice acquisisca dati sensibili dal DOM e faccia domande tramite ajax. Ma con ogni probabilità è molto più facile hackerare il tuo software, server, società di hosting (incluso l'uso di social engineering) piuttosto che farlo e indirizzare specificamente il tuo sito. Lo considero come un problema. Come qualcuno che irrompe nel tuo datacenter con le pistole e ruba il tuo disco rigido. È possibile ma ti interessa davvero una possibilità così piccola?