Prevenzione attacchi strip SSL

Question

Prevenzione attacchi strip SSL

#1 da (1 voti)
#2 da (0 voti)
#3 da (0 voti)

0

È possibile rilevare un attacco striscia SSL controllando se la pagina consegnata è HTTPS o HTTP utilizzando JavaScript? Suppongo che la pagina di risposta sia la pagina HTTPS anziché HTTP?

javascript tls sslstrip

posta faraz khan 22.05.2015 - 13:38

fonte

3 risposte

Leggi altre domande sui tag javascript tls sslstrip

Infezione da malware ad.adsmatte Sala server PCI nei locali: come gestire i visitatori degli uffici?

score 1 · Answer 1

Potresti voler impostare il tuo server web su HSTS (Strict Transport Security) che utilizza un'intestazione di risposta speciale per dire al browser di accettare solo il traffico https. Full Disclosure: Come ci si potrebbe aspettare, supporto IE < 11 Credo sia limitato. Se devi usare qualcosa sul lato client per verificare la presenza di https, penso che potresti usare window.location.protocol.

score 0 · Answer 2

Potresti provare quanto segue:

Crea un cookie con Javascript. Imposta il flag di sicurezza sul cookie, in modo che sia utilizzabile solo per le connessioni https.
Effettua una richiesta https al server e controlla se è stato ricevuto il cookie sicuro. Se non è stato ricevuto, puoi supporre che la richiesta sul lato client non sia stata eseguita con https, ad esempio qualcosa di simile a sslstrip era attivo.

score 0 · Answer 3

Puoi usare window.location.protocol per verificare quale protocollo è in uso. Ma l'autore dell'attacco può consegnare la pagina senza questo tag, quindi è necessario verificare la presenza di questo script nella pagina. Personalmente, userei HSTS per eliminare questo tipo di attacco, non controllando il protocollo.