דף מכיל תוכן מעורב כשה-HTML הראשוני שלו נטען דרך חיבור HTTPS מאובטח, אבל משאבים אחרים (כמו תמונות, סרטונים, גיליונות סגנונות וסקריפטים) נטענים דרך חיבור HTTP לא מאובטח. השם מתייחס לשילוב של תוכן HTTP ו-HTTPS בדף אחד.
בקשה למשאבי משנה באמצעות פרוטוקול HTTP לא מאובטח מחלישה את האבטחה של הדף, כי הבקשות האלה פגיעות למתקפות בנתיב, שבהן תוקף מאזין לחיבור רשת וצופה בתקשורת בין שני צדדים או משנה אותה. באמצעות המשאבים האלה, תוקפים יכולים לעקוב אחרי משתמשים ולהחליף תוכן באתר. במקרה של תוכן מעורב פעיל, הם יכולים להשתלט באופן מלא על הדף, ולא רק על המשאבים הלא מאובטחים.
למרות שדפדפנים רבים מציגים למשתמש אזהרות לגבי תוכן מעורב, האזהרה מוצגת לרוב מאוחר מדי: הבקשות הלא מאובטחות כבר בוצעו והאבטחה של הדף נפגעה.
רוב הדפדפנים חוסמים עכשיו תוכן מעורב מטעמי אבטחה. כדי לוודא שהדף ימשיך להיטען בצורה תקינה, צריך לשנות את הבקשות לתוכן לא מאובטח לבקשות לתוכן מאובטח.
שני הסוגים של תוכן מעורב
יש שני סוגים של תוכן מעורב: פעיל וסביל.
תוכן מעורב פסיבי, כולל תמונות, סרטונים ואודיו, לא יוצר אינטראקציה עם שאר הדף, ולכן מתקפת אדם באמצע מוגבלת במה שהיא יכולה לעשות אם היא מיירטת או משנה את התוכן הזה.
תוכן מעורב פעיל מקיים אינטראקציה עם הדף כמכלול. הם כוללים סקריפטים, גיליונות סגנונות, מסגרות iframe וכל קוד אחר שהדפדפן יכול להוריד ולהריץ. מתקפות על תוכן מעורב פעיל מאפשרות לתוקף לעשות כמעט כל דבר בדף.
תוכן מעורב פסיבי
תוכן מעורב פסיבי מהווה סיכון נמוך יותר מתוכן מעורב פעיל, אבל הסיכון עדיין קיים. לדוגמה, תוקף יכול:
- ליירט בקשות HTTP לתמונות באתר ולהחליף או להסיר את התמונות האלה.
- להחליף את התמונות בלחצנים כדי שהמשתמשים יתבלבלו, ולדוגמה, ימחקו תוכן שהם התכוונו לשמור.
- להשחית את האתר שלכם על ידי החלפת התמונות בתוכן פורנוגרפי.
- מחליפים את תמונות המוצרים במודעות למוצרים אחרים.
גם אם התוקף לא משנה את התוכן של האתר, הוא יכול לעקוב אחרי המשתמשים באמצעות בקשות לתוכן מעורב. הם יכולים גם לדעת באילו דפים משתמש מבקר ואילו מוצרים הוא רואה, על סמך תמונות או משאבים אחרים שהדפדפן טוען.
אם יש תוכן משולב פסיבי, ברוב הדפדפנים מצוין בסרגל הכתובות שהדף לא מאובטח, גם אם הדף עצמו נטען דרך HTTPS. אפשר לראות את ההתנהגות הזו בהדגמה הזו.
עד לאחרונה, תוכן משולב פסיבי נטען בכל הדפדפנים, כי חסימה שלו הייתה גורמת לשיבוש בפעולה של אתרים רבים. המצב הזה מתחיל להשתנות, ולכן חשוב לעדכן את כל המקרים של תוכן מעורב באתר.
במקרים מסוימים, Chrome משדרג אוטומטית תוכן מעורב פסיבי. המשמעות היא שאם נכס מסוים הוצפן כ-HTTP אבל הוא זמין ב-HTTPS, הדפדפן טוען את גרסת ה-HTTPS. אם אין גרסה מאובטחת, הנכס לא נטען.
בכל פעם ש-Chrome מזהה תוכן מעורב או משדרג אוטומטית תוכן מעורב פסיבי, הוא רושם הודעות מפורטות בכרטיסייה Issues ב-DevTools כדי להציע פתרון לבעיה הספציפית.
תוכן מעורב פעיל
תוכן מעורב פעיל מהווה איום גדול יותר מתוכן מעורב פסיבי. תוקף יכול ליירט ולשכתב תוכן פעיל, ולהשתמש בו כדי להשתלט באופן מלא על הדף או אפילו על האתר כולו. כך הם יכולים לשנות כל היבט של הדף, כולל הצגת תוכן שונה, גניבת סיסמאות של משתמשים או פרטי כניסה אחרים, גניבת קובצי Cookie של סשנים של משתמשים או הפניית המשתמש לאתר אחר לגמרי.
הסיכונים שקשורים לתוכן מעורב פעיל הם גבוהים מאוד, ולכן רוב הדפדפנים כבר חוסמים את סוג התוכן הזה כברירת מחדל כדי להגן על המשתמשים. עם זאת, ההתנהגות משתנה בין ספקי דפדפנים וגרסאות.
בהדגמה הזו מוצגות דוגמאות לתוכן פעיל מעורב. טוענים את הדוגמה דרך HTTP כדי לראות את התוכן שנחסם כשטוענים את הדוגמה דרך HTTPS. פרטים על תוכן חסום מופיעים גם בכרטיסייה Issues בכלי הפיתוח.
המפרט של תוכן מעורב
הדפדפנים פועלים לפי המפרט של תוכן מעורב, שמגדיר את הקטגוריות תוכן שאפשר לחסום ותוכן שאפשר לחסום.
משאב נחשב לתוכן שניתן לחסימה אופציונלית 'כאשר הסיכון בהתרת השימוש בו כתוכן משולב נמוך מהסיכון של שיבוש חלקים משמעותיים באינטרנט'. זהו קבוצת משנה של תוכן מעורב פסיבי.
כל התוכן המעורב שלא ניתן לחסימה אופציונלית נחשב לתוכן שניתן לחסימה, והדפדפן צריך לחסום אותו.
בשנים האחרונות, השימוש ב-HTTPS עלה באופן משמעותי, והוא הפך לברירת המחדל הברורה באינטרנט. עכשיו קל יותר לדפדפנים לחסום את כל התוכן המעורב, כולל סוגי משאבי המשנה שמוגדרים במפרט התוכן המעורב כניתנים לחסימה.
דפדפנים ישנים יותר
יכול להיות שחלק מהמבקרים משתמשים בדפדפנים ישנים יותר. גרסאות שונות של דפדפנים מספקים שונים מתייחסות לתוכן מעורב בצורה שונה. במקרה הגרוע ביותר, דפדפנים וגרסאות ישנים לא חוסמים בכלל תוכן מעורב, וזה לא בטוח למשתמש.
אם תטענו את כל המשאבים שלכם בצורה מאובטחת ותתקנו את הבעיות בתוכן המעורב, תוכלו לוודא שהתוכן שלכם גלוי ולהגן על המשתמשים מפני תוכן מסוכן שדפדפנים ישנים יותר לא חוסמים.