Het HTTPS-protocol is ontworpen om gebruikersgegevens te beschermen tegen afluisteren (vertrouwelijkheid) en tegen aanpassingen (integriteit) op het netwerk. Websites die gebruikersgegevens verwerken, dienen HTTPS te gebruiken om gebruikers ervan tegen aanvallers te beschermen. Als een website HTTP gebruikt in plaats van HTTPS, is het stelen van gebruikersgegevens (zoals aanmeldingsgegevens) eenvoudig. Dit is op een beroemde manier aangetoond door Firesheep.
Het aanbieden van aanmeldingsformulieren via HTTP is met name gevaarlijk vanwege de grote variëteit aan aanvallen die kunnen worden gebruikt om hieruit het wachtwoord van een gebruiker te bemachtigen. Afluisteraars van netwerken zouden een wachtwoord van een gebruiker kunnen stelen door het netwerk te ‘sniffen’, of door de aangeboden pagina tijdens de overdracht aan te passen.
Beveiligingsindicator in Firefox Nightly en Developer Edition
Om u over de bovenvermelde bedreiging te informeren, geeft Firefox Developer Edition een slotpictogram in de adresbalk weer dat in rood is doorgestreept wanneer een aanmeldingspagina geen beveiligde verbinding bevat, zoals hieronder is te zien.
Houd er rekening mee dat deze waarschuwing in de URL-balk alleen in Firefox Nightly en Firefox Developer Edition aanwezig is; deze is niet vrijgegeven voor Firefox Bèta en Firefox Release. Waarschuwingen over onveilige aanmeldingsformulieren zijn ook te vinden in het beveiligingspaneel van de Webconsole in alle Firefox-versies, zoals hieronder beschreven. Raadpleeg deze blogpost voor meer informatie en een lijst van veelgestelde vragen.
Hergebruik van wachtwoorden
Soms vereisen websites gebruikersnamen en wachtwoorden, maar bewaren deze geen gegevens op die erg gevoelig zijn. Een nieuwssite bijvoorbeeld kan opslaan welke nieuwsartikelen een gebruiker wil terugzien en lezen, maar geen andere gegevens over een gebruiker opslaan. Webontwikkelaars van de nieuwssite zouden minder gemotiveerd kunnen zijn om hun website te beveiligen en hun aanmeldingsgegevens van gebruikers te beveiligen. Helaas is het hergebruik van wachtwoorden een groot probleem. Gebruikers maken gebruik van hetzelfde wachtwoord voor meerdere websites (nieuwssites, sociale netwerken, e-mailproviders, banken). Om die reden kan toegang tot de gebruikersnaam en het wachtwoord voor uw website geen groot risico voor u lijken, maar is het een groot risico voor gebruikers die dezelfde gebruikersnaam en hetzelfde wachtwoord hebben gebruikt om zich aan te melden bij hun bankrekeningen. Aanvallers worden slimmer; ze stelen paren van gebruikersnamen en wachtwoorden van de ene website, en proberen deze op meer lucratieve websites te hergebruiken.
Berichten in de Webconsole
Het aanmeldingsformulier aanbieden via HTTP:
Zelfs als de formulieractie een HTTPS-URL is, wordt het aanmeldingsformulier niet beschermd, omdat een aanvaller de door de gebruiker ontvangen pagina kan aanpassen (aanvallers kunnen bijvoorbeeld de bestemming van het formulier aanpassen zodat de gevoelige gegevens naar een server worden verzonden die door hen wordt beheerd, of ze kunnen een script voor het vastleggen van toetsaanslagen invoegen dat wachtwoorden wegveegt tijdens het typen). Het beveiligingstabblad van de Webconsole waarschuwt ontwikkelaars en gebruikers voor het beveiligingsprobleem:
Een HTTP-URL in de formulieractie gebruiken:
In dit geval worden alle gegevens die de gebruiker invoert naar het netwerk verzonden in platte tekst. Vanaf het moment dat het wachtwoord de computer van de gebruiker verlaat tot het moment dat dit de servers van uw website bereikt, is het wachtwoord van de gebruiker duidelijk zichtbaar voor iedereen die het netwerk ‘snifft’.
