Säkerhetsbrist på ICA.se

[Ulvas]

Vid inloggning till Mina sidor på ica.se fås följande meddelande:
"Det finns innehåll på webbsidan som inte levereras via en säker anslutning, vilket innebär att sidans säkerhet äventyras."
Hur bör man se på detta?

[Cecilia]

Det betyder att en del av sidan inte är krypterad. Normalt är inte webbsidor krypterade, men inloggninssidor brukar vara krypterade för att lösenordet inte enkelt ska kunna avlyssnas på vägen. Förhoppningsvis så är ju den del av sidan där lösenordet ska skrivas in krypterad och det är en del som visar något annat som inte är krypterad, men det är ju inget jag vet.

Att en sida är krypterad visas med hänglås, annan färg i adressfältet etc beroende på webbläsare.

[esd]

Det betyder att en del av den information som skickas mellan dig och icas server inte krypteras. Om den informationen som inte krypteras inte är någon viktig information så spelar det inte så stor roll.

Men när du har loggat in på ica ser du ett lås till höger om adressraden i din webbläsare (internet explorer 7/8).

Den här frågan kanske är bäst om du skickar den direkt till ica, eftersom det är deras sida så borde dom veta.

[Ulvas]

Ok, har skickat frågan till ICA. Men, bör man blanda krypterad och okrypterad information på samma sida? Det skaver i min IT-säkerhetssjäl.

[Ulvas]

Jag har nu fått svar från ICA. Ett riktigt nonsenssvar ? självklart, något annat var väl inte att vänta dessvärre. "Vi tar alla säkerhetsfrågor på största allvar och håller säkerheten högt" (ungefär). Samtidigt har jag talat med en mycket välrenommerad IT-säkerhetschef, som dömer ut det här. Krypterat och okrypterat ska inte blandas på det här sättet på en sådan här sida. Han säger emellertid också, att den här sortens blandning inte är helt ovanlig på "mindre" köpsidor.

Att?stora? ICA har den här blandningen tycker han är anmärkningsvärt. Värt att notera för ICA-kunder med ICA-kort. Bristande säkerhet. Så här säger Microsoft:

?Säkert och osäkert innehåll, eller blandat innehåll, innebär att en webbsida försöker visa element genom att använda både säkra (HTTPS/SSL) och osäkra (HTTP) webbserveranslutningar. Så sker ofta med onlinebutiker eller finanswebbplatser som visar bilder, banderoller eller skript som kommer från en server som inte är säker.

Risken med att visa blandat innehåll är att en osäker webbsida eller ett osäkert skript kan komma åt information från det säkra innehållet.?

[Alexa]

Detta uppstår i Internet Explorer 8. Detta händer för mig om jag tex går in in på https://mittidg.idg.se/ eller https://register.facebook.com/editaccount.php (inloggning krävs)

[Ulvas]

Ibland går det fort. Nu verkar blandningen av säkert och osäkert material vara borta. Om detta står sig, så är det utmärkt.