1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
|
---
title: Osäkra lösenord
slug: Web/Security/Osäkra_lösenord
tags:
- GörLäsareAgnostiker
- Mellanliggande
- Osäker
- Säkerhet
- Webb
- lösenord
translation_of: Web/Security/Insecure_passwords
---
<p class="summary">Att betjäna inloggningsformulär genom HTTP är särskilt farligt på grund av det stora utbudet av attacker som kan användas mot dem för att extrahera en användares lösenord. Nätverkstjuvlyssnare skulle kunna stjäla en användares lösenord genom att sniffa nätverket, eller genom att ändra den betjänade sidan i genomresa. Denna sida detaljerar säkerhetsmekanismen som Firefox har infört för att varna användare och utvecklare om risker angående osäkra lösenord och lösenordsstöld.</p>
<p><a href="https://en.wikipedia.org/wiki/HTTP_Secure/en-US/docs/" title="https://en.wikipedia.org/wiki/HTTP_Secure">HTTPS</a>-protokollen är designad för att försvara användardata från tjuvlyssnare (<span class="short_text" id="result_box" lang="sv"><span>konfidentialitet</span></span>) och från ändring (integritet) på nätverket. Webbsidor som hanterar användardata borde använda HTTPS för att försvara deras användare från attackerare. Om en webbsida använder HTTP istället för HTTPS, så är det trivialt att stjäla användarinformation (såsom deras inloggningskreditiv). Detta var känt demonstrerat av <a href="https://codebutler.github.io/firesheep/" title="https://codebutler.github.io/firesheep/">Firesheep</a>.</p>
<p>För att åtgärda denna problem, installera och konfiguera en SSL/TLS cerifikat till din server. Det finns flera säljare som erbjuder gratis och köpta certifikat. Om du använder en molnplattform, så kan de ha deras egna sätt av att göra HTTPS möjligt.</p>
<h2 id="Firefox_lösenordssäkerhetsindikatorer">Firefox lösenordssäkerhetsindikatorer</h2>
<p>För att informera dig om hotet som är beskrivet ovan, genomför Firefox många varningsmekanismer:</p>
<ol>
<li>Firefox 51+ kommer att visa en låsikon med en röd strykt linje i adressfältet när en inloggningsida inte har en säker anslutning, som visas nedan.<br>
<p style="text-align: center;"><img alt="Lock Icon" src="https://support.cdn.mozilla.net/media/uploads/gallery/images/2015-11-17-12-13-18-2faa61.png" style="height: 25px; width: 25px;"></p>
</li>
<li>Firefox 52+ kommer att visa en tydlig varning i URL-fältet och under en fokuserad lösenordsfält i vilken osäker formulär som helst.<br>
<p style="text-align: center;"><img alt="Warning" src="https://support.cdn.mozilla.net/media/uploads/gallery/images/2017-04-21-23-52-53-ba340d.png" style="height: 133px; width: 328px;"></p>
</li>
<li>Firefox 52+ har också inaktiverat autofyll för osäkra inloggningsformulär. Användare kan fortfarande manuellt autofullborda sparade inloggningar från nedfallslistan.</li>
<li>Varningar om osäkra inloggningsformulär kan också hittas i säkerhetspanelen av utvecklarkonsolen i alla Firefox utsläppningar, som är beskrivet i nästa sektion.</li>
</ol>
<h2 id="Webbkonsolsmeddelanden"><strong>Webbkonsolsmeddelanden</strong></h2>
<p>Denna sektion beskriver säkerhetsmeddelanden som är visade i utvecklarkonsolen av Firefox DevTools, i respons till osäkra lösenord.</p>
<h3 id="Att_betjäna_inloggningsformulären_genom_HTTP">Att betjäna inloggningsformulären genom HTTP</h3>
<p>Även om formulärshandlingen är en HTTPS URL, så är användarens inloggningsformulär inte försvarad på grund av att en attackerare kan ändra sidan som är mottagen av användaren (till exempel, attackerare kan ändra formulärsdestinationen för att posta den känsliga datan över till en server som de kontrollerar, eller så kan de föra in en nyckelloggningsmanus som slår till deras lösenord medans de skriver den). Säkerhetsfliken av webbkonsolen kommer att varna utvecklare och användare om säkerhetsproblemet.</p>
<p style="text-align: center;"><img alt="Insecure login form shown with the Web Console and contextual warning on the password field." src="https://mdn.mozillademos.org/files/14783/Insecure_Password_Console_Contextual_sm.png" style="height: 566px; width: 790px;"></p>
<div class="note">
<p><strong>Not</strong>: Det är också inte säkert att bädda in en HTTPS inloggningssida i ett HTTP dokument — en attackerare skulle kunna ändra rut-URL:en till att peka mot en illvillig sida.</p>
</div>
<h3 id="Att_använda_en_HTTP_URL_i_formulärshandlingen"><strong>Att använda en HTTP URL i formulärshandlingen</strong></h3>
<p>I detta fall, vilken data som helst som användaren skriver in är skickat genom nätverket i form av enkel text.</p>
<p style="text-align: center;"><img alt="Insecure login form action shown with the Web Console and contextual warning on the password field." src="https://mdn.mozillademos.org/files/14785/Insecure_Action_Password_Console_Contextual_sm.png" style="height: 566px; width: 790px;"></p>
<h2 id="Not_om_lösenordsåteranvändning">Not om lösenordsåteranvändning</h2>
<p>Ibland kräver webbplatser användarnamn och lösenord, men faktiskt inte lagrar data som är väldigt känsliga. Till exempel, en nyhetssajt kan spara vilka artiklar en användare vill gå tillbaks till och läsa, men sparar inte något annat data om användaren. Webbutvecklare av nyhetssajter kan vara mindre motiverade till att säkra deras sajter och deras användarkreditiv.</p>
<p>Tyvärr, <a href="https://www.lightbluetouchpaper.org/2011/02/09/measuring-password-re-use-empirically/">lösenordsåteranvändning är ett stort problem</a>. Användare använder samma lösenord på flera sajter (nyhetswebbplatser, sociala nätverk, e-postsleverantörer, banker). Därför, även om tillträde till användarnamnet och lösenordet till din sajt inte verkar som en enorm risk till dig, så är det en stor risk till användare som har använt samma användarnamn och lösenord för att logga in på deras bankkonton. Attackerare blir smartare; de stjäl par användarnamn/lösenord från en sajt, och sedan försöker att återanvända dem på mer lukrativa sajter.</p>
<h2 id="Se_även">Se även</h2>
<ul>
<li class="entry-title"><a href="https://blog.mozilla.org/tanvi/2016/01/28/no-more-passwords-over-http-please/">No More Passwords over HTTP, Please!</a> — detaljerad blogginlägg med mer information, och FAQ.</li>
</ul>
<p class="entry-title">{{QuickLinksWithSubpages("/en-US/docs/Web/Security")}}</p>
|
