In una delle ultime lezioni del corso di "Reti di Calcolatori" abbiamo approfondito alcuni dettagli sottili, ma neanche troppo, di https, il protocollo per la navigazione cosiddetta-sicura sul web. E' quel protocollo che usiamo ogni volta che andiamo sul sito di una banca, di una compagnia aerea, di un sito di ecommerce e così via.
Tra le altre cose, avevamo evidenziato che se una pagina P è critica per la sicurezza (ad esempio una pagina contenente un form di autenticazione) allora è indispensabile mettere P su https.
Avevamo anche evidenziato che se facciamo un sito con una home page su http e mettiamo nella home page un link verso P, allora avere messo P su https è (quasi) completamente inutile.
Bene, proprio ieri si sono diffusi sui social molti tweet di scherno diretti ad una banca (australiana) che ha proprio questo problema:
https://www.troyhunt.com/im-sorry-you-feel-this-way-natwest-but-https-on-your-landing-page-is-important/
La persona che ha scritto il blog post è la stessa che ha inventato e sta mantenendo https://haveibeenpwned.com/ ed è uno dei pochi consulenti che pochi giorni fa è stato chiamato per dare un testimony sulla cybersecurity al parlamento americano. Ha quasi 90.000 follower su Twitter (https://twitter.com/troyhunt).
Se qualcuno pensa che io sono troppo pessimista o mi preoccupo solo di problemi di interesse solo teorico, spero che creda a a lui....
Tra le altre cose, avevamo evidenziato che se una pagina P è critica per la sicurezza (ad esempio una pagina contenente un form di autenticazione) allora è indispensabile mettere P su https.
Avevamo anche evidenziato che se facciamo un sito con una home page su http e mettiamo nella home page un link verso P, allora avere messo P su https è (quasi) completamente inutile.
- Infatti, quando gli utenti arrivano sulla home page, ricevono contenuti su http, quindi senza garanzie di autenticazione ed integrità;
- quindi, lo sforzo che deve fare un attaccante per modificare i link contenuti nella home page è determinato da http, non da https;
- quindi, lo sforzo per modificare il link che dovrebbe puntare verso P e farlo invece puntare verso una pagina scelta dall'attaccante è determinato da http, non da https;
- quindi, lo sforzo per mostrare agli utenti una pagina con un form di autenticazione dall'aspetto identico a quello di P ma localizzata su un server controllato dall'attaccante, è determinato da http, non da https.
Bene, proprio ieri si sono diffusi sui social molti tweet di scherno diretti ad una banca (australiana) che ha proprio questo problema:
https://www.troyhunt.com/im-sorry-you-feel-this-way-natwest-but-https-on-your-landing-page-is-important/
La persona che ha scritto il blog post è la stessa che ha inventato e sta mantenendo https://haveibeenpwned.com/ ed è uno dei pochi consulenti che pochi giorni fa è stato chiamato per dare un testimony sulla cybersecurity al parlamento americano. Ha quasi 90.000 follower su Twitter (https://twitter.com/troyhunt).
Se qualcuno pensa che io sono troppo pessimista o mi preoccupo solo di problemi di interesse solo teorico, spero che creda a a lui....
Commenti