A Firefox mostantól jelzi, ha nem biztonságos weboldalak jelszót kérnek

Mozilla

Részletek itt.

( pepo v | 2017. 03. 07., k – 21:14 )

Bele fog kényszeríteni a FF, hogy a HUP.hu-n használjak https-t... :-(

( zrubi v | 2017. 03. 08., sze – 11:47 )

Persze a phishing site-okat ez továbbra sem fogja zavarni, "vesznek" ingyenes - ám zöld lakatos - tanúsítványt az összes domainjuktra. A (l)userek meg majd boldogan beírják majd oda, hiszen a firefox is megmondta, hogy az a site biztonságos, hiszen HTTPS-en megy...

Ahogy a rövidített linkekre is bátran kattintgat mindenki, hiszen mi baj lehetne az is HTTPS ;)

--
zrubi.hu

mondjuk nagyon nem ártott volna, hogy ha az a lakat ebben a formában nem zöld. Vagy legalábbis, ha az otpbank hiánya esetén nem csak nem lenne ott az info (vagy mint chromeban egy zöld secure felirat lenne, tovább tetézve), hanem egy baszottnagy piros (de legalább sárga) valami, hogy ugyan titkosított, de fasz se tudja, ki van a másik oldalon.

Mert így ugyan lehet a userekre mutogatni, csak minimum kétes, hogy ők a ludasak ebben a dologban csak

A kék lakat, amit hzsolt94 javasolt jól hangzik, viszont indokolatlan lenne figyelemfelkeltő "baszottnagy piros" vagy akármilyen színű figyelmeztetésekkel riogatni az usereket olyan oldalakon, ahol nincs EV tanúsítvány. Attól még hogy az optbank.ru (figyeld az elgépelést) nem az, akinek gondolod még biztonságos. EV tanúsítványt beszerezni meg nem reális minden aprócseprő oldalhoz, ahol egyébként az ssl viszont indokolt.

Egyébként a kérdéskör, hogy mennyire az userek felelőssége, és mennyire nem...

A böngésző nem tudhatja, hogy az usernek mi a szándéka, hogy ő ténylegesen a paypaN.com-ra akart-e menni, vagy csak átverés áldozata. A user tudja, és meg is volna a lehetősége, hogy ellenőrizze, és nagy bizonyossággal meggyőződjön arról, hogy jó helyen jár-e. Csak ehhez kellene némi előismeret (domairől megállapítani, hogy gyanús, és elvárni egy pénzintézet oldalával szemben, hogy ott legyen hitelesítésként a pénzintézet neve.

Kérdés, hogy ezt hányan teszik. Akik nem tudják mit kell nézni azok nem. Akik tudják, azok nemtörődömségből, feledékenységből nem. Láttam olyan átlagfelhasználót, aki reflexből kattintotta be az érvénytelen tanúsítvány figyelmeztetésre a figyelmen kívül hagyást, csak mert a munkahelyén valami intranetes oldalon is úgy szokták.

Egyébként az nem igaz, hogy a böngésző nem jelez, csak másképp teszi. Nem hibaként tünteti fel az EV tanúsítvány hiányát, ahogy várnád, hanem ismert phising, vagy kártékony oldalakat tartalmazó adatbázis alapján figyelmeztet, lásd:

http://techdows.com/wp-content/uploads/2014/07/Chrome-new-phishing-and-…

( kszabi | 2017. 03. 08., sze – 11:52 )

Ennek az egész ssl hülyeségnek semmi értelme. Most már ingyenesen is lehet igényelni és senki az ég világon nem ellenőrzi az adatok hitelességét. Múltkor találkoztam egy "zöldlakatos" "otp" oldallal.
Csupán csak arra jó, hogy a nagy hype-nak köszönhetően elkezdenek az emberek megbízni a phising https oldalakban.

Teljesen egyetértek a letsencrypt elvével. Övé a domén? Igen. Akkor joga van ehhez a szintű certhez. Az, hogy valaki egy paypal-hulyevagy.kirabollak.com-nak megadja a jelszavát, nem az ő saruk.

A kommentek amúgy szépen leírják, hogy miért hülyeség a cikk. Ez pl. az idegesítő capslockok ellenére elég lényegretörő.

"The purpose of a certificate is to verify that in a secure connection, that your browser is talking to the proper server. THAT’S IT. The green lock in the corner ONLY means that you are COMMUNICATING in an ENCRYPTED fashion with the CORRECT server for the domain that you are trying to reach. THAT’S IT. It has NO bearing on whether the site is malicious or not. That is a COMPLETELY different problem. Secure communication is NOT the same thing as SAFE communication. "

Milyen "hitelesseg"? Ha nem EV-rol beszelunk, a cert dolga annyit igazolni, hogy tenyleg a szoban forgo domainnel kommunikalsz. Ha a szoban forgo domain az otp-fake-site.com, akkor azzal.

Amit te keresel, az az extended validation cert, amiben a ceg (bank) neve is szerepel tobbek kozott, es ezt latod szepen cimsavban is, ha pl. az otp.hu-t nezed. Azoknal pedig igenis ellenorizve van az adatok hitelessege.

( cherockee v | 2017. 03. 08., sze – 13:05 )

Látom design-ból ötös, mert a képen láthatónál rövidebb mezők (lásd még hup.hu oldalsáv :) ) esetén a legördülő olvashatatlan, és a felhasználónév mezőnél is megjelenik.

( seferbt v | 2017. 03. 08., sze – 15:59 )

Hát, nem tudom ez mennyire fog segíteni. Nekem az "Apple" rendszeresen küld levelet, hogy zárolták a nem létező iCloud accountomat, és jó fejek, mert a linket is beteszik a levélbe, ahol a nem létező belépési adataimmal resetlenli tudom a felfüggesztést. Néha, mikor olyanom van, resetelem is a nem létező hozzáféréséemet egy generált 16 karakteres AppleID-val és egy 64 karakteres jelszóval. És annyira jó fejek voltak, mert legutóbb már https-es linket küldtek.