L'invio di file di immagini in http in un'applicazione sicura comporta rischi? [duplicare]

Oltre ai problemi esposti da altre risposte, considera il fatto che un utente malintenzionato potrebbe impersonare la rete di distribuzione del contenuto utilizzata dalla banca (spoofing ARP, spoofing DNS, IP spoofing ...) e inviare immagini create, possibilmente incluse :

• immagini con JS attivo (contro i browser vecchi o mal codificati che accettano ancora JS nei file SVG e se la configurazione della stessa politica di origine della banca include la CDN come origine attendibile per il dominio principale)
• immagini con exploit contro il motore di rendering del browser; anche se l'hacker ottiene solo la possibilità di eseguire codice arbitrario nel processo sandbox, tale processo consente all'autore dell'attacco di eseguire transazioni bancarie ...

Se le risorse HTTP sono caricate in una pagina HTTPS, l'icona del lucchetto scomparirà dal browser del client perché la pagina non è protetta correttamente.

Questo è molto grave perché gli utenti non saranno in grado di distinguere tra il vero sito bancario e un sito Web di phishing. (Si spera che la maggior parte degli utenti noterà l'assenza di un lucchetto e uscirà immediatamente.)

Se trasferiscono quelle immagini chipTAN lampeggianti anche su HTTP è possibile estrarre i dettagli della transazione da quella immagine. Ciò spezzerebbe la riservatezza dell'obiettivo di sicurezza.

Modificando l'immagine potresti indurre qualcuno a generare un TAN per una transazione di tua scelta. Tuttavia, ciò richiederebbe alla vittima di non verificare i dati sul proprio dispositivo chipTAN.