Firefox, Gmail y el contenido mixto Http/Https

Como muchos ya sabéis, yo soy el confidente de Bil Gates y tengo línea directa con él, así que podéis seguir enviándome todos vuestros problemas con tecnología Microsoft. Será un placer para mí hacer caso a vuestras demandas de información o no. En este caso quiero hacer una rápida respuesta al tema de “No veo las imágenes de Gmail con IE8”.

Sí, supongo que muchos habréis oído eso de “Joder, es que Internet Explorer es una mierda y por eso no se ven las imágenes”. Claro, es porque esos chavalotes de RedMond no deben saber programar.

El caso de la historia se remonta a BlackHat 2008, donde un chavalote rubio con rastas en el pelo de Pittsburg, daba una charla sobre, como él dice: “Puentes”. Sí, sobre los puentes que se construyen entre páginas con contenido transmitido con conexiones seguras https y contenido transmitido con conexiones sin cifrar http.

La idea es que la gente se conecta a un banco por su URL sin especificar su conexión http a la web pública, es decir, con http://www.mibanco.com y espera ser conectado, mediante un link a la parte de login, es decir, a https://www.mibanco.com/login.aspx [.NET, que es más mejor].

Con un juguetito que hizo él, que se llama ssltrip, el objetivo es que, mediante un ataque de Man In The Middle, cuando se reciba el código html de la página, todos los links https son “strippeados”, es decir, se les quita la “s”. De tal forma que el usuario, acostumbrado a conectarse con un link a su conexión segura, no se da cuenta de nada. Además, para que la gracia sea mejor, lo que Moxie propone es no quitar todos los https, es decir, dejar parte del contenido en https y lo que nos interesa en http con lo que algunos navegadores, que admiten contenido mixto http y https no mostrarán ninguna alerta al usuario e incluso mantendrán el candadito de conexión segura https en la barra de título. ¿A que no mola si te lo hacen a ti?

Para eso, en MS Internet Explorer 8, cuando estás en una conexión segura, eres tú el que decide como quieres que se comporte el navegador ante esas situaciones. Basta irse a las opciones de seguridad (¿benditas opciones, verdad?) y elegir el comportamiento deseado. En mi caso he elegido que se me informe.


Figura 1: Configuración de comportamiento ante contenido mixto
En este ejemplo, si yo entro a ver el Tchenews en mi conexión segura de Gmail, obtendré una alerta si lo hago desde Internet Explorer 8 que me informa de que las imágenes se cargan con http (sí, así lo hacemos en el Technews) y yo puedo decidir si me fío o no del contenido pero, está claro, que si alguien me pide una password en esa página ya sé que puedo estar en riesgo.


Figura 2: Alerta de contenido con http en una conexión https


Figura 3: Y se cargan las imágenes
Sin embargo, si hago lo mismo con Firefox, lo que obtengo es que se me cargan las imágenes ipso facto. ¿Qué guay no? Sin avisar ni nada, y en la barra de título el protocolo sigue siendo https por defecto. Así que debes tenerlo presente y configurar las opciones de seguridad.


Figura 4: En Firefox del tirón
Para evitar comportamientos de riesgo en este tipo de navegadores, el Killer MS Outlook Web Access, uses el navegador que uses, si las imagenes se cargan sin ser de forma segura, te avisa él mismo. Eso quiere decir que podría implementarlo Gmail... si le importase de verdad la seguridad, ¿no?


Figura 5: OWA 2k7 bloqueando el contenido inseguro
Saludos Malignos!

ACTUALIZACIÓN:

No me creía que no recordara la opción de FF así que he instalado una nueva copia y el campeón, primero carga el contenido remoto inseguro y luego te avisa. A tutiplén.


Figura: La imagen cargada y encima la alerta de seguridad
Vamos a probar una de Chrome por defecto, que dicen las malas lenguas que tampoco lo hace bien