בקשר ל-VERISIGN

[alona2003]

בקשר ל-VERISIGN

אם האיקון של VERISIGN מופיע ואין הסימן של המנעול וגם יש רק HTTP ולא HTTPS , זאת אומרת שהאתר לא מאובטח.

למשל בכניסה לאתר של שופרסל :

[URL]http://www.shufersal.co.il/Pages/homepage.aspx[/URL]

בלחיצה על האיקון של האבטחה כתוב : זהות לא מאומתת
וגם לחיצה על האיקון של VERISIGN אין שום תגובה ,כמו באתרים מאובטחים אחרים .
אז מה אפשר לעשות ?
תודה מראש .

 

[orell]

מה קורה כאשר את הולכת כבייכול לשלם?

האם גם אז זה קורה?

 

[alona2003]

לא הולכת לשלם

זאת שאלה כללית
הנה דוגמה לאתר מאובטח מהעמוד הראשי
[URL]https://www.dynamica.co.il/[/URL]

 

[Y. Welis]

אם בכרום או FF - הצבע של הכתובת המאובטחת

(= האייקון מימין לה) תמיד ירוק. הכי קל לבדוק.

 

[alona2003]

תודה Y. Welis המנעול שחור

באותו אתר , DYNAMICA-בפיירפוקס , וDYNAMICA -מנעול ירוק בכרום.
דרך אגב ,ברמי לוי בדקתי שני עמודים ובכל אחד המנעול היה ירוק
השאלה היא למה ב-FF המנעול שחור ,מה זה אומר ומה אפשר לעשות?
תודה מכגוללה מראש ☺

 

[alona2003]

אופס :מכגוללה ->מכל הלב ☺

 

[alona2003]

ובהמשך להודעתי הקודמת

למשל ברמי לוי ב-FF מופיע HTTPS ,אבל ממקום מנול (מופיע מנעול שחול לשנייה ) ,מופיע משולש עם סימן קריאה (מצורף צילום)
אותו משולש מופיע גם כשפותחת מאייל ב-YAHOO .
השאלה היא למה זה קורה ומה אפשר לעשות ?
תודה מראש מכל נלב

 

[Piav]

יש לקחת בחשבון דליפה אפשרית של הפרטים

שאת מזינה לעמוד כזה. ניתן להאזין לתעבורה ולשלוף את שם המשתמש והסיסמה. אין לך מה לעשות בנושא, אבל הבחירה אם להזין פרטים (ואילו) היא בידיים שלך.

 

[alona2003]

תודה Piav

זה עמוד שמבקש

פרטים אישיים ,כמו דו"אל וסיסמה .
למה זה יכול לקרות והאם אפשר לעשות משהו ?

 

[Piav]

מפני שאת שולחת את הפרטים אל העמוד

בצורה לא מאובטחת (מוצפנת). אם מישהו יחליט להאזין לתעבורה בינך לבין השרת, הוא יוכל לראות את הנתונים שהזנת כמות שהם. חמור מכך, השרת אינו מזדהה בפניך ולמעשה אינך יודעת אם מדובר בשרת אליו רצית להגיע, או במתחזה.

את לא יכולה לעשות דבר, זו המדיניות המוכתבת ע"י האתר. בחירה להמשיך בהזנת הפרטים יכולה להיות רציונאלית אחרי הכל, אם תרחיש בו צד שלישי מניח ידו על הפרטים איננו הרה גורל בעיניך.

כשאת עומדת להזין פרטים רגישים לאתר, רצוי לוודא שהתהליך מתבצע תחת https (מה שכינית "המנעול הירוק").

 

[alona2003]

תשובה ברורה ,אבל מפחיד לא לדעת

מי יכול "להאזין לתעבורה בינך לבין השרת, הוא יוכל לראות את הנתונים שהזנת כמות שהם. חמור מכך, השרת אינו מזדהה בפניך ולמעשה אינך יודעת אם מדובר בשרת אליו רצית להגיע, או במתחזה."
ועוד יותר מפחיד שאין לי מה לעשות.
כלומר יש אפשרות לניתוב מחדש של השרת מבלי כל יכולתי לעשות דבר .
יכולה לבדוק האם השרת הוא מתחזה ?
האם VIRUS TOTAL יכול לעזור בזה ?
בכרום ,למשל,לאחר פתיחת מאייל ,על המנעול מופיע משולש צהוב (מצורף צילום ),אבל גם HTTPS.האם
זה מבוטח או לא ?
תודה על עזרתך המשמעותית עד עכשיו ותודה מראש על כל תשובתך בהמשך .

 

[Piav]

תשובה

לא. בhttps מתבצע אימות זהות שרת, לא כך בhttp (כלומר, אינך יודעת הרבה על האתר שמוצג בפניך ועד כמה הוא לגיטימי). לגבי VirusTotal, מדובר בזיהוי מבוסס Black lists עד כמה שאני יודע, כך שהיעילות מוגבלת לאתרים שנותחו ע"י חברות אבטחה וזוהו כמתחזים.

סימן המנעול הצהוב מסמל שהעמוד אמנם מאובטח, אך יש בו אלמנטים לא מאובטחים. זו סכנה מסוימת, כיוון שתוקף עלול להניח ידו על הSession ID שלך (לצורך העניין, חשבי על זה כאל היכולת להזדהות בפני השרת בשמך) ולהתחזות אליך כל עוד הSession תקף.

כל מה שאני אומר עלול לקרות בתיאוריה. מה הסיכוי שזה באמת יקרה? תלוי. תלוי עד כמה לתוקף כדאי להאזין לך או להתחזות אליך מול האתר המדובר.

 

[alona2003]

תשובה מומלצת לקריאה

עכשיו יש לי עוד שאלה ,ברשותך : אני יודעת שאפשר להסתיר את הSession ID .האם זה המקום לשאלה איך ?
ועוד אחתב: מה הפירוש למנעול שחור (במקום הירוק )?
אשמח לתשובה ותודה מראש.
(אני רואה שהדיון מעניין הרבה מאוד אנשים

)

 

[Piav]

תשובה

כשמגדירים https כהלכה, הSession ID שלך מוצפן ואינו חשוף למאזין בתווך שבין הדפדפן שלך לבין השרת. באתרי בנקים למשל, סביר שלא תמצאי אלמנטים לא מאובטחים שהשתרבבו לעמודים. כמו שאמרתי, הדבר היחיד שאת יכולה לעשות זה לוודא שאת מזינה פרטים רגישים רק אל אתר מאובטח כהלכה. מהם פרטים רגישים? יש כאלו שהם קונצנזוס (פרטי כרטיס אשראי למשל), אך חלק מזה קשור בהגדרות סובייקטיביות. אותי לא מעניין שמישהו יידע מה כתובת הדוא"ל שלי ואחר יראה בזה איום (סתם דוגמה).

זה קצת אירוני ששמים לב לאתר לא מאובטח כהלכה, אך לא להרבה אתרים אחרים שאינם מאובטחים בכלל (רמז:

). אבל אם ניקח לדוגמה פורום עלום, האם גניבת הפרטים של משתמש כזה או אחר הרת אסון? כנראה שלא. יש שלא יסכימו איתי.

אני מנחש שהמנעול השחור הוא מקבילו של המנעול הירוק בChrome ויתקנו אותי משתמשי Firefox אם אני טועה.

 

[alona2003]

בקשר לצבע המנעול הנה מה כתב Y. Welis

בתגובה הזאת ואיתו אני לא אתווכח ☺
בקשר לפרטים רגישים ,אני יודעת שהסיסמה זה אחד מהם ,לא כך ?
לכן באתרי קנייה באינטרנט ,ראוי שלפחות עמודים בהם נדרש הפריט הזה ,יהיו מאובטחים ,
תודה על תשובתך Piav והעצות הטובות.

 

[Piav]

תלוי איזו סיסמה

ותלוי לאיזה שירות. כשדיברתי על סובייקטיביות ההחלטה, לזה בדיוק התכוונתי. אם למשל הסיסמה היא לחשבון שלי בתפוז, אז אני אישית מוכן לקחת את הסיכון שגורם שלישי יאזין לי וישיג את הסיסמה. אין בחשבון הזה שום דבר רגיש מבחינתי. אחרים לא יסכימו איתי; או מבחינה עקרונית, או בשל כך שהחשבון שלהם מכיל מידע שנתפס בעיניהם כרגיש (למשל הודעות פרטיות החושפות את זהות המשתמש).

באתרי קניות בהם מוזנים פרטי אשראי למשל, יש מידה של קונצנזוס. עוד לא יצא לי להכיר אדם שיצהיר על כך שלא אכפת לו שגורם שלישי ישיג את פרטי האשראי שלו, מה גם שאלו מלווים בפרטיו האישיים האותנטיים.

 

[alona2003]

תודה Piav הגיוני מה שכתבת ,אבל

סליחה ,לא קבלתי תשובה האם באתר קנייה ,הסיסמה לא חשובה עד כדי כך שהעמוד בה היא מוזנת ,לא מאובטח .
ואתה ממש לא חייב לענות ☺ ,למרות שאשמך לקבל כל תשובה לשאלתי .
יום שקט.

 

[Piav]

אני אנסה להסביר שוב

באתר קניות, ככלל, מדובר בעניין רגיש. בדרך כלל, החשבון מכיל פרטים אותנטיים שלך לצורך סליקה, כמו שם, שם משפחה, תעודת זהות, מקום מגורים ועד פרטי כרטיס אשראי (גם אם חלקיים). אלו אכן פרטים רגישים כקונצנזוס כמו שהזכרתי לעיל.

אם תהליך הרכישה עצמו (הזנת פרטי חיוב) אינו מאובטח, זה גובל במחדל. הרבה אתרים מפנים לכן אל אתר סליקה חיצוני (מאובטח כהלכה) כדי להימנע מהצורך באבטחת האתר; במקרים כאלו, האתר משמש כקטלוג מוצרים בלבד וחשבון המשתמש לא אמור להכיל פרטים רגישים ובטח שלא פרטי אשראי.

אז ככלל אצבע, באתרי קנייה חשוב לשים לב שהאתר מאובטח כהלכה. נכון שזה לא תקף לגבי כל המקרים כמו שהסברתי, אבל טוב להיות בצד הבטוח.

 

[alona2003]

תודה Piav ,הבנתי

סליחה על השאלות הרבות ,אבל ,לי זה השתלם

מה לעשות ,יש אנשים .כמוני עם ראש כרוב.

 

[Y. Welis]

ההרשמה לאתר אינה קריטית כמו העברת פרטי אשראי

ואישיים אחרים. לכן אפשר לקבל בעמוד שלה אבטחה חלקית (או בכלל בלי).

אבל כשצריך למלא טופס עם פרטי תשלום, תעודת זהות וכתובת - חייב להיות סמל ירוק. אם אין - להימנע.

אבל ברוב האתרים המוכרים בארץ (לפחות כל אלה שמופנים מ'זאפ'), אין בעיה.
אגב קניה דרך זאפ מבטיחה חסות שלהם (אם יש לך ביקורת שלילית), שעשויה לעזור (לעיתים).