דף מכיל תוכן מעורב כשקוד ה-HTML הראשוני שלו נטען בחיבור מאובטח מסוג HTTPS, אבל משאבים אחרים (כמו תמונות, סרטונים, גיליונות סגנונות וסקריפטים) נטענים בחיבור HTTP לא מאובטח. השם מתייחס לערבוב של תוכן HTTP ו-HTTPS בדף אחד.
שליחת בקשות למשאבי משנה באמצעות פרוטוקול HTTP לא מאובטח מחלישה את האבטחה של הדף, כי הבקשות האלה חשופות להתקפות בנתיב, שבהן תוקף מצותת לחיבור רשת ורואה או משנה את התקשורת בין שני צדדים. בעזרת המשאבים האלה, תוקפים יכולים לעקוב אחרי משתמשים ולהחליף תוכן באתר. במקרה של תוכן מעורב פעיל, הם יכולים לשלוט באופן מלא בדף, ולא רק במשאבים הלא מאובטחים.
למרות שדפדפנים רבים מדווחים למשתמשים על אזהרות לגבי תוכן מעורב, לרוב הדוח מגיע מאוחר מדי: הבקשות הלא מאובטחות כבר בוצעו ופרטי האבטחה של הדף נחשפו.
רוב הדפדפנים חוסמים עכשיו תוכן מעורב מטעמי אבטחה. כדי לוודא שהדף ימשיך לטעון בצורה תקינה, צריך לשנות בקשות לתוכן לא מאובטח לתוכן מאובטח.
שני הסוגים של תוכן מעורב
יש שני סוגים של תוכן מעורב: פעיל ופסיבי.
תוכן מעורב פסיבי, כולל תמונות, סרטונים וקטעי אודיו, לא מתקשר עם שאר הדף, ולכן התקפת אדם בתווך מוגבלת בפעולות שהיא יכולה לבצע אם היא מיירטת או משנה את התוכן הזה.
תוכן מעורב פעיל יוצר אינטראקציה עם הדף כמכלול. הקוד הזה כולל סקריפטים, גיליונות סגנונות, iframe וקוד אחר שהדפדפן יכול להוריד ולהריץ. התקפות על תוכן מעורב פעיל מאפשרות לתוקף לעשות כמעט כל דבר בדף.
תוכן מעורב פסיבי
תוכן מעורב פסיבי הוא פחות מסוכן מתכנים מעורב פעיל, אבל עדיין יש בו סיכון. לדוגמה, תוקף יכול:
- תיעוד בקשות HTTP לתמונות באתר והחלפה או החלפת התמונות האלה.
- להחליף את התמונות בלחצנים כדי שהמשתמשים לא יבלבלו ביניהם, לדוגמה, וימחקו תוכן שהם התכוונו לשמור.
- פגיעה באתר על ידי החלפת התמונות בתוכן פורנוגרפי.
- מחליפים את תמונות המוצרים במודעות לקידום מוצרים אחרים.
גם אם התוקף לא משנה את תוכן האתר, הוא יכול לעקוב אחרי המשתמשים באמצעות בקשות לתוכן מעורב. הם יכולים גם לזהות את הדפים שבהם המשתמש מבקר ואת המוצרים שהוא צופה בהם על סמך תמונות או משאבים אחרים שהדפדפן טוען.
אם יש תוכן משולב פסיבי, ברוב הדפדפנים יופיע בסרגל הכתובות סימן לכך שהדף לא מאובטח, גם אם הדף עצמו נטען דרך HTTPS. אפשר לראות את ההתנהגות הזו בהדגמה הזו.
עד לאחרונה, תוכן משולב פסיבי נטען בכל הדפדפנים, כי החסימה שלו הייתה משבשת אתרים רבים. המצב הזה מתחיל להשתנות, ולכן חשוב לעדכן כל מקרה של תוכן מעורב באתר.
במקרים מסוימים, Chrome משדרג באופן אוטומטי תוכן מעורב פסיבי. כלומר, אם נכס קודד באופן קבוע כ-HTTP אבל הוא זמין ב-HTTPS, הדפדפן יטען את גרסת ה-HTTPS. אם אין גרסה מאובטחת, הנכס לא נטען.
בכל פעם ש-Chrome מזהה תוכן מעורב או משדרג באופן אוטומטי תוכן מעורב פסיבי, הוא מתעד הודעות מפורטות בכרטיסייה בעיות ב-DevTools כדי לייעץ לכם איך לפתור את הבעיה הספציפית.
תוכן מעורב פעיל
תוכן מעורב פעיל מהווה איום גדול יותר מאשר תוכן מעורב פסיבי. תוקף יכול ליירט תוכן פעיל ולכתוב אותו מחדש, ולהשתמש בו כדי לקבל שליטה מלאה בדף או אפילו באתר כולו. כך הם יכולים לשנות כל היבט של הדף, כולל הצגת תוכן שונה, גניבת סיסמאות של משתמשים או פרטי כניסה אחרים, גניבת קובצי cookie של סשנים של משתמשים או הפניה אוטומטית של המשתמש לאתר אחר לגמרי.
מאחר שהסיכונים של תוכן מעורב פעיל גבוהים מאוד, רוב הדפדפנים כבר חוסמים את סוג התוכן הזה כברירת מחדל כדי להגן על המשתמשים, אבל ההתנהגות משתנה בין ספקי הדפדפנים והגרסאות שלהם.
בהדגמה הזו מוצגות דוגמאות לתוכן פעיל מעורב. טעינו את הדוגמה דרך HTTP כדי לראות את התוכן שנחסם כשטענתם את הדוגמה דרך HTTPS. תוכן חסום מפורט גם בכרטיסייה בעיות ב-DevTools.
מפרט התוכן המעורב
הדפדפנים פועלים בהתאם למפרט התוכן המעורב, שמגדיר את הקטגוריות תוכן שאפשר לחסום ותוכן שאפשר לחסום.
משאב עומד בדרישות לתוכן שניתן לחסום באופן אופציונלי "כשהסיכון לאפשר את השימוש בו כתוכן משולב גבוה מהסיכון לשבירה של חלקים משמעותיים באינטרנט". זוהי קבוצת משנה של תוכן מעורב פסיבי.
כל תוכן מעורב שלא ניתן לחסימה אופציונלית נחשב ניתן לחסימה, והדפדפן צריך לחסום אותו.
בשנים האחרונות השימוש ב-HTTPS גדל באופן משמעותי, והוא הפך לברירת המחדל ברורה באינטרנט. עכשיו קל יותר לדפדפנים לשקול לחסום את כל התוכן המעורב, גם את סוגי המשאבים המשניים שמוגדרים במפרט של תוכן מעורב כניתן לחסימה אופציונלית.
דפדפנים ישנים יותר
יכול להיות שחלק מהמבקרים ישתמשו בדפדפנים ישנים יותר. גרסאות שונות של דפדפנים של ספקים שונים מתייחסות לתוכן מעורב בצורה שונה. במקרה הגרוע ביותר, גרסאות ודפדפנים ישנים לא חוסמים בכלל תוכן מעורב, וזה מסוכן למשתמש.
כשאתם מעמיסים את כל המשאבים בצורה מאובטחת ומתקנים את הבעיות שקשורות לתוכן מעורב, אתם מוודאים שהתוכן שלכם גלוי ומגינים על המשתמשים מפני תוכן מסוכן שדפדפנים ישנים יותר לא חוסמים.