Mixed content

Mixed content (treść mieszana) to parametr monitoringu stron internetowych, który sprawdza, czy strona wczytana przez HTTPS odwołuje się w kodzie HTML do zasobów pod adresami http://. Wynikiem pomiaru jest lista takich adresów albo jej brak. Według MDN mixed content to sytuacja, w której bezpiecznie wczytana strona korzysta z zasobów pobieranych przez HTTP lub inny niezabezpieczony protokół ^[2].

Jak działa

Specyfikacja W3C uznaje żądanie za mixed content, gdy jego adres URL nie jest potencjalnie godny zaufania, a kontekst, który je wysyła, zabrania mieszania kontekstów bezpieczeństwa ^[1]. Sam dokument HTML przychodzi zaszyfrowany, ale obrazy, arkusze stylów czy skrypty, do których się odwołuje, byłyby pobierane przez nieszyfrowane HTTP ^[3].

Standard dzieli taką treść na dwie kategorie. Treść ulepszalna (ang. upgradeable) to żądania o przeznaczeniu image, audio i video ^[1]. Przeglądarka zmienia w nich schemat adresu z http na https ^[1]. Cała pozostała treść mieszana jest blokowalna (ang. blockable), na przykład skrypty, dane wtyczek i żądania XMLHttpRequest ^[1]. MDN zalicza tu także arkusze stylów wskazane przez link, ramki iframe, wywołania fetch(), czcionki z @font-face oraz obrazy wskazane przez srcset albo element picture ^[2]. Przeglądarki ulepszają obrazy, wideo i audio, a żądania wszystkich pozostałych typów zasobów blokują ^[2].

RYS. 1.1Zasób HTTP a atakujący w sieci

Nawigacja nie jest treścią mieszaną. Specyfikacja wyłącza z kontroli nawigacje najwyższego poziomu ^[1], a web.dev wyjaśnia, że adresy w znacznikach a nie powodują błędów mixed content, bo przenoszą użytkownika na nową stronę ^[4]. Wyjątkiem są skrypty galerii, które zamiast przejścia wczytują obraz spod href w okienku na tej samej stronie ^[4]. Zasoby lokalne, takie jak http://localhost/ czy http://127.0.0.1/, przeglądarka traktuje jak bezpieczne ^[2].

RYS. 1.2Klasyfikacja zasobu http://

Standardy i specyfikacje

• W3C Mixed Content definiuje pojęcie treści mieszanej, kategorie ulepszalną i blokowalną oraz algorytm ulepszenia żądania ^[1]. Wcześniejsza wersja specyfikacji definiowała dyrektywę CSP block-all-mixed-content. Dziś jest ona przestarzała, bo treść mieszana, której nie da się ulepszyć, i tak jest blokowana ^[1].
• CSP upgrade-insecure-requests każe przeglądarce traktować wszystkie adresy http:// witryny tak, jakby zastąpiono je adresami https:// ^[5]. Dyrektywa jest przeznaczona dla witryn z dużą liczbą starych adresów do przepisania ^[5]. Nie ulepsza nawigacji do obcych domen i nie zastępuje nagłówka HSTS ^[5].
• Chrome zapowiedział w 2019 roku stopniowe blokowanie całej treści mieszanej, począwszy od wersji 79, połączone z automatycznym ulepszaniem zasobów do https:// ^[6]. Audio i wideo miały być ulepszane od wersji 80 i blokowane, gdy nie wczytają się po HTTPS ^[6]. Ulepszanie obrazów przesunięto z wersji 81 na co najmniej 84, a strony z mieszanymi obrazami nadal wywoływały ostrzeżenie „Not Secure” ^[6].
• Firefox od wersji 127 ulepsza obrazy, audio i wideo do HTTPS i nie wczytuje ich, gdy nie są dostępne po HTTPS ^[7]. Z ikony kłódki zniknął przy tym znak ostrzeżenia, bo każda treść mieszana jest teraz ulepszona albo zablokowana ^[7].

Zagrożenia i skutki

Podmiana skryptu. Zasób przesłany bez szyfrowania można podejrzeć i zmodyfikować ^[2]. Skrypt wczytany w ten sposób pozwala atakującemu czytać lub zmieniać dane w imieniu użytkownika ^[1]. Atak na aktywną treść mieszaną umożliwia kradzież haseł i ciasteczek sesji albo przekierowanie użytkownika na inną stronę ^[3]. OWASP zaleca, by strona dostępna przez TLS nie ładowała żadnych zasobów, na przykład JavaScript czy CSS, przez nieszyfrowane HTTP, bo pozwala to podsłuchać ciasteczka sesji albo wstrzyknąć do strony złośliwy kod ^[9].

Śledzenie i fałszywa treść. Nawet zasoby pasywne zdradzają obserwatorowi sieci, które strony i produkty ogląda użytkownik ^[3]. Podmieniony obraz może przekazać fałszywą informację albo zmienić pozorne działanie przycisku ^[2].

Niedziałające elementy strony. Współczesne przeglądarki domyślnie blokują aktywną treść mieszaną ^{[3] [9]}. Dla właściciela witryny typowym skutkiem jest więc nie atak, lecz brakujący skrypt, arkusz stylów albo ramka. Obrazy ulepszone do HTTPS nie wczytają się, jeśli serwer nie udostępnia ich po HTTPS ^[7]. Konsola przeglądarki zgłasza wtedy ostrzeżenia i błędy ^[4].

Przykłady

Migracja WordPressa na HTTPS. Po przełączeniu witryny na HTTPS w treściach zapisanych w bazie danych zostają wpisane na stałe adresy http://, które trzeba poprawić, żeby uniknąć ostrzeżeń o treści mieszanej ^[8]. WordPress 5.7 wprowadził funkcję wp_replace_insecure_home_url(), która podmienia takie adresy w locie w treści wpisów, zajawkach, widżetach tekstowych i własnym CSS ^[8]. Nie obsługuje konfiguracji, w których adres witryny i adres WordPressa się różnią ^[8].

Naprawa. Jeśli konsola zgłasza automatyczne ulepszenie zasobu, adres http:// w kodzie można bezpiecznie zmienić na https:// ^[4]. Gdy zasobu nie ma po HTTPS, pozostaje pobranie go z innego hosta, umieszczenie na własnym serwerze, jeśli pozwala na to licencja, albo usunięcie ^[4]. Nagłówek Content-Security-Policy-Report-Only: default-src https: pozwala zbierać raporty o naruszeniach bez blokowania zasobów ^[4].

Odwołanie w HTML	Kategoria	Zachowanie przeglądarki
img z adresem http:// w src	ulepszalna [1]	próba po HTTPS, bez niej obraz się nie wczyta [7]
img z adresem http:// w srcset	blokowalna [2]	żądanie zablokowane [2]
script albo iframe z adresem http://	blokowalna [2]	żądanie zablokowane [2]
arkusz stylów w link z adresem http://	blokowalna [2]	żądanie zablokowane [2]
a z adresem http:// w href	nawigacja, nie mixed content [4]	przejście na nową stronę [4]
dowolny zasób przy nagłówku upgrade-insecure-requests	nie dotyczy	adres traktowany jak https:// [5]