Предотвратить кражу пароля через картинку на другом сайте

Question

[el777]

Коллеги, подскажите как можно защититься от такой атаки пользователя:
На некий 2.0-ный сайт в блог вставляется картинка со своего сайта. Через некоторое время картинка закрывается http-авторизацией. В итоге у пользователя, зашедшего почитать данную блого-запись, появится окно авторизации, в которое он радостно введет пароль. Хорошо, гика так не проймешь, но большинство пользователей поведется.

Я вижу такие варианты:
— запретить внешние картинки — плохо
— сделать форму авторизации на сайте в сильно отличающемся дизайне, чтобы пользователь не путался
— в каждую картинку внешнего сайта добавить атрибут onerror=«return false» — вопрос, когда оно будет вызыватьcя — на первой 401 или после 3-х неудачных попыток
— предзагрузка всех изображений на JS с проверкой и только после этого показ — пример на prototype

Что посоветуете? Как быть если не работает JS?

UPD из коментов: можно кешировать картинки у себя, тогда они точно будут хорошие. Но: трафик, авторские права.

Answer 1

[MT]

— Просвещать пользователей сайта, отображая информативное предупреждение рядом с формой авторизации.

— Лоббировать среди разработчиков браузеров идею отключения по умолчанию отображения диалогов HTTP-авторизации, относящихся не к самОй странице, а к внедрённым ресурсам.

Comments

[el777]

Идеи хорошие, но это долго.
По второму пункту все равно не очень понятно, что делать в такой ситуации — отключать показ контента? Все же как-то надо запрашивать авторизацию.

[MT]

Да, игнорировать внедрённый ресурс (например, изображение), если он закрыт авторизацией, делая/отображая то же самое, как если бы ресурса не существовало (404). Можно перед этим выдавать браузерное уведомление-запрос типа «Внедрённый на страницу внешний ресурс запрашивает авторизацию. Это может использоваться злоумышленниками для кражи ваших конфиденциальных данных. Показать диалог авторизации?». Примерно как сейчас в современных браузерах пользователю выдаётся запрос на разрешение использования локального хранилища текущим сайтом.

Answer 2

[el777]

Вот таким обрзом можно избежать дырки www.daveoncode.com/2010/08/20/image-background-fallback-img-tag-error-handlers/

Answer 3

[el777]

Пока вижу такое решение — сделать прелоадер на базе примера, а во всех картинках написать типа такого
[img src=«javascript:load('http://evil-host/world-evil.png')» /] и в этой функе прогрузить картинку и поставить в нужное место. Да, еще не забыть убрать lowsrc из атрибутов. Надеюсь, все про него помнят? :)

Answer 4

[ComodoHacker]

список разрешенных хостингов с валидацией их урлов регулярками.

недостатки:
могут правда

Answer 5

[ComodoHacker]

Простите.

Список разрешенных хостингов с валидацией их урлов регулярками.

недостатки:
— нужно следить за обновлениями
— могут поломать хостинг
— пользователям может не понравиться ограничение

Comments

[el777]

Мне тоже кажется, что тут будут проблемы. Пользователи будут постоянно просить добавить такой-то сайт. Кроме того, сильно ударит по скорости обновления — например, появился какой-то интересный материал, а фотки на недобавленном хосте — и в итоге придется ждать пока админы разрешат. За это время он уже устареет.

Как, например, Хабр делает?

Answer 6

[DarkRIP]

Как вариант, можно картинку загружать не сразу, а предварительно обратившись по этому адресу с сервера, при этом анализировать код ответа, но сам контент не качать. Не очень уверен как технически это можно реализовать, и возможно ли вообще.

Comments

[el777]

Не очень понял на какой стороне проверять: сервере или клиенте?
Т.к. с одной стороны не очень хочется делать гигансткую нагрузку на сервер, кроме того, сервер можно обмануть, настроив ответ по ip.