Mozilla Hacks

请使用 HTTPS 登录表单

Avatar photo 作者 Tanvi Vyas

发布于 2016 年 1 月 28 日 分类于 Firefox 版本，隐私，以及 安全

更新：此功能现已 在 Firefox Beta 版中启用，从 Firefox Beta 50 版开始。

几乎所有使用网页的人都会用密码登录。并且几乎所有使用密码的人都会在不安全的表单中输入密码，从而将密码置于风险之中。

在 Firefox 46 开发版 中，我们向开发者展示了有关此风险的显著警告。当包含密码字段的页面没有通过安全方式传送时，Firefox 会在地址栏中显示一个带有红色删除线的锁。

Firefox Developer Edition 46 shows a struck-through lock icon for non-secure pages that have a password field

如果您正在通过 HTTPS 提交登录表单，这很好，但这还不够。您还必须通过 HTTPS 传送该表单。如果登录表单没有通过安全通道传送，那么攻击者就可以注入 JavaScript 代码来窃取用户的密码——用户输入的每个字符都可能被攻击者窃取。

我们将在开发版中发布此功能，因为开发者最终需要确保他们在构建的网站上登录更加安全。（目前没有计划向 Beta 版和正式版 Firefox 用户展示这些警告。）我们已经在 开发者工具 Web 控制台 中显示警告很长时间了；在 URL 栏中添加带有删除线的锁图标可以使问题更加突出。

您可以在 此处 了解有关此功能的更多信息。

关于 Tanvi Vyas

Mozilla 安全/隐私工程师和技术主管 - @TanviHacks

更多由 Tanvi Vyas 撰写的文章...

12 条评论

  1. Bjarni R. Einarsson

    您好！这是向前迈出的重大一步。

    但是，我们可以对本地主机添加例外吗？将浏览器用作本地 Web 服务器的前端是开发非常引人入胜的应用程序（披露：我在开发 Mailpile，它就是这样的应用程序）的一种有趣方式，在这种情况下，HTTPS 并不适用（甚至不可用 - 您无法为本地主机获取证书）。

    2016 年 1 月 29 日 08:02

    1. Tanvi Vyas

      您不应该在本地主机上看到此警告。

      2016 年 1 月 29 日 10:06

  2. Chris

    虽然开发者需要确保表单安全，但我认为对于普通用户来说，看到此信息仍然很有用。即使用户无法修复它，至少他们可以得到警告。

    2016 年 1 月 29 日 09:45

  3. Robert Thille

    密码字段的背景应该为红色，源页面/代码不应该能够覆盖它。

    2016 年 1 月 29 日 09:57

  4. Germ Torrentez

    好主意，但我认为这应该只保留在开发版中。虽然我们中的一些人很幸运地能在我们可以控制“技术栈”的环境中工作，但并非所有开发者都那么幸运。

    另外，在“Let's Encrypt”或其他信誉良好的 SSL 证书免费颁发之前，期望每个人都能负担得起 SSL 证书是不公平的。

    2016 年 1 月 29 日 13:06

  5. allo

    > 密码字段的背景应该为红色，源页面/代码不应该能够覆盖它。
    好主意，但很容易阻止：将整个登录表单设置为红色。那么就没有人会注意到它了。

    2016 年 1 月 29 日 14:24

  6. voracity

    路由器和其他本地网络设备呢？

    2016 年 1 月 30 日 18:33

  7. Fabio

    请考虑在标准版本中也启用它。这将防止许多网络钓鱼攻击（它们通常使用普通 HTTP）。

    然后还要针对没有密码字段的表单（以避免使用文本字段作为密码的网络钓鱼攻击）。

    谢谢！

    2016 年 1 月 31 日 02:47

  8. zdidit

    这对开发者来说确实很好，但使用标准版的人也会使用密码登录许多个人帐户，如果将其添加到所有版本中，将会是一个很好的补充。

    是的，获得 SSL 证书是大多数使用标准版的人无法做到的事情，但他们仍然可以选择在需要时添加它。

    2016 年 2 月 5 日 08:30

  9. 234234

    qweqwe

    2016 年 2 月 11 日 10:40

  10. Albert

    很高兴看到它从 Nightly 版中冒出来！期待在 2017 年，不使用 HTTPS 会导致警告。

    希望尽快在其他浏览器中看到此类警告！

    2016 年 2 月 22 日 19:00

  11. Wellington Torrejais da Silva

    非常好！

    2016 年 2 月 24 日 14:18

本文的评论已关闭。