Как для сайта сверстать защищенный режим браузера?

Question

[Сергей Кореневский]

Программирую страницу отчётов на сайте. Суть в том что на странице отображаются секретные и очень важные данные пользователя. Таким образом:
1. URL страницы НЕ должен быть сохранён в истории.
2. URL страницы НЕ должен быть перехвачен вирусными расширениями браузера
3. ПО ВОЗМОЖНОСТИ: URL страницы НЕ должен быть перехвачен рекламными скриптами страницы.
4. Содержимое страницы так же не должно быть перехвачено вирусными расширениями браузера.
На сайте просто будет продаваться товар, а платёжные данные отображаемые на странице должны оставаться в секрете.

Сайт будет продавать билеты для посещения музея. Мне нужно чтобы после покупки выслался еmail и отобразилась страница с уникальным адресом на котором будет отображаться QR билета. Разумеется уникальная страница будет генерироватся после факта оплаты на ресурсе экваринга. Так что перейти по ссылке просто с сайта не получится. Но чтобы клиент мог ссылку переслать другому клиенту.
С емайлом разумеется справлюсь. Хеш пароль в адресную строку вставить тоже смогу. Но я много раз видел в браузере при оплате картой вкладка открывается в каком то защищённом режиме. Разве Вам такой режим вкладки не попадались?

Comments

[ThunderCat]

1. URL страницы НЕ должен быть сохранён в истории.

Не в этой вселенной. Хотя можно заставлять пользователей открывать ваш сайт в инкогнито, под страхом разглашения ими покупок розовых дилдо...

2. URL страницы НЕ должен быть перехвачен вирусными расширениями браузера

о как... А всякие дураки там антивирусные программы придумывают, а надо просто сделать чтобы не перехватывались вирусами данные. Молодец, это ты ловко придумал...

3. ПО ВОЗМОЖНОСТИ: URL страницы НЕ должен быть перехвачен рекламными скриптами страницы.

Так как это ваш сервер и ваши страницы, что мешает не загружать туда рекламу? Вот, одну проблему сразу решили.

4. Содержимое страницы так же не должно быть перехвачено вирусными расширениями браузера.

Ну да, точно, получается сразу два патента - один на защиту урл от вирусов, второй от перехвата данных... Почти нобелевка...

[Егор Живагин]

Скрин похож на старую отбивку о том, что на странице https. С тех пор он стал стандартом и ярлык "защищённый режим" с него убрали

[Сергей Кореневский]

Егор Живагин,
Защищенный режим в Яндекс.Браузере
и
Protect: защищенный режим для банкинга

[Егор Живагин]

Сергей Кореневский, ага, я искал про Chrome, но не нашёл да и не помню в нём подобного режима
И судя по всему вы со своей стороны не можете контролировать наличие этого режима у пользователя даже в Яндексе

[Mico Sanoa]

Сергей Кореневский, для того, чтобы решить ваши задачи, вам нужно разобраться в деталях как устроен интернет и взаимодействие клиентов с серверами, понять что такое CRUD, может почитать книжки по best practices используемых вами технологий и так далее. Но даже как только вы разберетесь как устроено взаимодействие клиент-сервер все ваши вопросы испарятся)

[Сергей Кореневский]

Mico Sanoa, Да я собственно программист в вебе около 15 лет. Но потребность в таком режиме появилвась впервые. Я даже собственно бы и не сомнивался бы что это возможно. Но просто лично видел такой режим в браузере. А потому и начал задавать вопросы.

[Сергей Кореневский]

Егор Живагин, да уж скорей всего. Но было бы круто иметь такую возможность, с другой стороны, такая функция очень важна для всех.

[Mico Sanoa]

Сергей Кореневский, то, что вы видели весьма банально - ssl

[Mico Sanoa]

Сергей Кореневский, и да, вы пишете сначала "url не должен быть сохранен в истории", а потом "программист 15 лет") это смех)

Answer 1

[Антон]

Странно, что ни одного ответа про защищенный режим.
Защищенный режим, когда строка браузере Зеленая, а не серая это работа Сертификата SSL.
Нужен EV SSL
https://habr.com/ru/company/globalsign/blog/469449/

Comments

[Mico Sanoa]

человек собрался "верстать защищенный режим", несколько попыток разных людей до вас донести ему информацию об SSL не увенчались успехом

[Сергей Кореневский]

Огромное Спасибо. Я как программист с 18 летним стажем впервые сталкиваюсь, но вполне знаю что что то подобное есть. Смешно то что мне советуют изучить CRUD и разойтись.
Спасибо.
в моём коде буду применят политики <meta http-equiv="Content-Security-Policy" />

[Сергей Кореневский]

Mico Sanoa, А причём тут SSL? ну всмысле в том что у меня на сайте SSL и так подключён. И при этом у меня нет ни какого ЗАЩИЩЕННОГО РЕЖИМА, в котором отключены все расширения браузера. А когда делаешь платеж в сбербанке, открывается этот режим и ни одного расширения браузера НЕТ.

[Mico Sanoa]

Сергей Кореневский, несколько минут назад у вас стаж был на 3 года поменьше. хорошо идете)

[Сергей Кореневский]

Mico Sanoa, Я ни где не писал что у меня опыт меньше 3х лет. Я писал 15 лет и 18 лет, так же писал что сбербанк много лет открывает страницы в ЗАЩИЩЕННОМ РЕЖИМЕ.
Между прочим я изначально спрашивал как открыть страницу с отключенными расширениями, а не то включен у меня режим SSL или нет. И включение SSL не дает отключение расширений. А значит говорить мне что я же как раз говорил о защищенном режиме SSL это не тоже самое EV SSL. Ведь это не дает ответ на то как нужно отключить расширения.

[Mico Sanoa]

Сергей Кореневский, вы для начала разберитесь в том что вы хотите от этого режима, который придумали) по поводу выдуманности вы возразите, но выдуманный он 100% потому что его не существует в браузерах, он существует у вас в кастомной версии какого-то г*вна в виде браузера. Безопасности? Безопасности от чего? В первую очередь пользователю нужна безопасность от вас, потому что очевидно по вашим сообщениям и вопросам, что вы даже базового представления об интернете не имеете. Второе, внимательно читать тоже не помешает вам начать.

[FrelFrloich]

Может он про банковский ssl, стоит не помню сколько, но что то в размере 1000$ + - скорее минус чем плюс.

[Сергей Кореневский]

Mico Sanoa, Так я как раз и разобраться здесь хотел. По Вашему Яндекс браузер это г%%вно? Или Вы предлагаете вначале разобраться перед тем как вопросы тут задавать? Тогда зачем мне Ваш экспертный совет, если я уже буду разбираться в этом?

[Сергей Кореневский]

FrelFrloich, Да уж, скорее минус. ни один музей и ни один кинотетр не захочет себе такой сертификат. Помойму даже режим ИНКОГДНИТО, тоже по своему усмотрению фиг откроешь.

[Mico Sanoa]

Сергей Кореневский, вы "как раз разобраться здесь хотели" что вы хотите от "верстки безопасного режима"? откуда мы все здесь собравшиеся знаем что вы хотите) вы либо не читаете вопросы на которые отвечаете, либо я даже не знаю в чем причина таких несвязных реплик

[vreitech]

Сергей Кореневский, по моему мнению - да, гавно. даже безотносительно своих прямых характеристик, начиная с того, каким мусорным полумалварьным образом он производит своё продвижение... т. е. он ещё даже не не компе, а уже ведёт себя как гавно.

[Сергей Кореневский]

vreitech, Что то Вы тут всё в одну кучу. Хамская навязчивость не говорит что продукт г*вно. Вот г*вном является браузер от МайлРу. А Яндекс браузер очень очень даже хорош. Я пользуюсь Vivaldi. Но яндекс браузер в некоторой степени расчитан на пенсионеров. В нём некоторые вещи ограничены для безопасности. А некоторые просто превосходят Chrome: в мобильном вкладки и адресная строка расположены внизу. В декстопном в меню есть надпись "Пароли и карты", а в Хроме эта надпись глубоко в настройках.

[Сергей Кореневский]

Антон vreitech Mico Sanoa
Только что получил письмо из Яндекса, сказали что могут добавить в браузер ЗАЩИЩЁННЫЙ РЕЖИМ для моего сайта, если я захочу.

Answer 2

[rPman]

Все правильно тебе говорят, все что видно в браузере клиенту - может видеть и программа.
Но можно очень простым способом сделать эту задачу очень сложной для "атакующих":

Сайт должен представлять из себя программу удаленного управления, а реальный сайт запускаться на кастомном браузере (без интерфейса, пишется в 10 строчек на любом языке программирования на основе готовых контролов браузерных webview - chromium/firefox/webkit).

Понадобится организовать сервере, что то типа очереди доступа к интерфейсу. Все собирается почти из готовых блоков.

На сервере xvfb + libvnc (лучше реализовывать серверную часть а не брать готовый полнофункциональный, хотя главное ведь запретить отсылку команд закрытия приложения и xserver, кажется у x11vnc есть соответствующие опции), в браузере - что то типа noVNC

Недостатки
- очень высокие требования к серверу (на каждого клиента потребуется десятки мегабайт RAM советую использовать старые или кастрированные версии компонент браузера, можно даже старой версии, например 10-летней давности webkit требовал 5-10 мегабайт, а современный полторы сотни)
- относительно высокий трафик для мультимедиа на сайте (не ваш вариант, у вас магазин)
- потребуется с осторожностью настраивать сайт и окружение (например без доступа к интернету), чтобы уменьшить шансы клиентам обойти ограничения и к примеру серфить или даже ддосить через такой механизм другие сайты

Достоинства:
- на стороне клиента - просто изображение, все что может сделать злоумышленник, это смотреть эту картинку, без какого либо анализа, ни одна рекламная сеть не рассчитывает на такой способ использования
- в некоторых случаях сетевой трафик может быть меньше чем если бы сайт открывается классическим способом (особо кривые реализации, когда html размером мегабайты, при этом без мультимедиа) и зависит не от сложности сайта а от количества действий, совершаемых с сайтом пользователем, а точнее скролинг и смена страниц), отзывчивость работы в таких случаях для пользователя может быть наилучшей, само собой эффективнее исправить сайт

Comments

[d'Ivan]

Похоже на терминальный сервер

Answer 3

[AUser0]

Не сохранять URL в истории вы не сможете. Как и блокировать какие-бы то ни было расширения браузеров.

Но можно сделать по простому - при обычном обращении к странице ничего особенного не делать/не выводить. Но если обращение было с каким-нибудь особенным cookie (или значением в localStorage) - тогда отображать "секретное" содержимое. Тогда сколько не переходи на эту страницу без специального cookie - ничего не увидишь. А у этого cookie время жизни по минимуму, стирание при использовании, привязку к IP/браузеру/ещё чему-нибудь, да что угодно можно наворотить...

А лишний JS на странице - сами удалите, и всё.

Comments

[Сергей Кореневский]

Извените. Забыл сказать. Я хочу реализовать функцию чтобы ссылку страницы с QR кодом можно было пересылать другому пользователю. Например родители купили билеты на киношку детям и послали им ссылку через WhatsApp. Разумеется знаю какова безопасность обычных страниц и как половина расширений в браузере пиратит данные. Но я бы не задавал бы такие вопросы если бы лично не встречал вкладку открытую в режиме как на скрине. Т.е. в ней отключены все расширения. При этом в других вкладках расширения все работают. Я в обычном режиме хотел сделать переход на защищенную вкладку, а потом в ней сделать редирект на вкладку с QR. Разумеется если защищённого режиме не добьюсь, то волшебной ссылки с хешпаролем в параметрах сделать не получится.