Google Chrome → HTTPS → Gmail — проблемы с SSL?

Question

[Сергей]

Здравствуйте!



Решил обратиться к хабра-сообществу за советом.



Использую последнюю версию Google Chrome v13.0.782.220 и заметил сомнительную особенность при работе с почтой Gmail. Cразу после авторизации браузер устанавливает безопасное соединение , но стоит мне открыть письмо от [e-mail] (aka ПриватБанк), как тут же иконка становится серой − .



Безопасное соединение с веб-сайтом







Google Chrome обнаружил уязвимое содержание







Справка от Google: www.google.com/support/chrome/bin/answer.py?answer...



Как вы считаете, это из-за содержимого письма? В письме находится стандартная информация и два изображения. Склоняюсь к тому, что это косяк со стороны Приватбанка.

Answer 1

[burdakovd]

В данном случае это из-за картинок.
Письмо ссылается на картинки по http, не по https.
Злоумышленник, сидящий на проводе и перехватывающий ваш трафик, может подсмотреть и подменить эти картинки, и браузер этого не заметит. При этом несанкционированно изменится внешний вид страницы. Собственно это вам браузер и написал в своём предупреждении.

Если бы нешифрованно передавался js, то было бы ещё хуже (некоторые сайты так делают!), злоумышленник мог бы модифицировать js, для коварных манипуляций, но тогда иконка была бы перечеркнута красным.

Решение: не отображать картинки.

Или отображать картинки, игнорировать серый цвет, но тогда вы рискуете в следующем сценарии: если вдруг gmail (по ошибке) начнёт передавать CSS по голому http (вы этого не заметите, т.к. иконка уже была серая из-за картинок), злоумышленник сможет воспользоваться этим, изменить внешний вид управляющих и информационных элементов интерфейса и заставить вас выполнить с почтой определенные действия.

Comments

[Сергей]

Спасибо. Пометил ваш ответ как решение вопроса.

Answer 2

[Сергей]

Нажатие на «Картинки этого отправителя будут всегда отображаться. С этого момента не отображать.» решает проблему изменения статуса иконки: ↓

Answer 3

[Sergey]

Да, такая ситуация возникает из-за того, что на странице смешанное содержимое, https+http. Чаще всего это картинки/фреймы в письмах.