security - HTTP页面中的HTTPS iframe，我该如何阻止它？

Question

我正在考虑购买机票，我必须在 http://页面中输入我的信用卡详细信息，如下所示:



如果我查看源代码，这实际上是一个带有 HTTPS 源的 iframe，所以这实际上是安全的，但非精通技术的用户无法知道这一点。显然，这很可怕(即使对于精通技术的用户也是如此)。

现在，我的问题是，如果我是提供这个 iframe 的网站(在这种情况下由 Visa 验证)，有没有办法可以强制现代浏览器不允许我的页面在 http://页面上用作 iframe ，但仍允许将其用作 https://页面上的 iframe？ Visa验证是否真的应该在这里使用一种技术？

Answer 1

I'm looking at buying an airline ticket, and I'm having to enter my credit card details in a http:// page

哎哟!有人违反了他们的商家协议(protocol)中的 PCI-DSS 条款，呵呵。

If I look at the source code, this is actually an iframe with an HTTPS source, so this actually secure, but a non-tech-savvy user has no way of knowing that.

确实。您必须查看所有源代码，包括父页面上的每一段脚本，以确保没有干扰 iframe(例如通过点击劫持)，并且您在浏览器页面中看到的图像实际上是安全的 iframe。并确保没有从同一个域打开其他选项卡并引用窗口来跨文档脚本进入它......一个非初学者。

if I was the site offering this iframe (Verified by Visa in this case), is there a way that I could force modern browsers to not allow my page to be used as an iframe on http:// pages, but still allow it to be used as an iframe on https:// pages?

我相信你可以使用 Content Security Policy Level 2 ，例如带有标题:

Content-Security-Policy: frame-ancestors https:

然而支持是零散的:在撰写本文时，即使是最新的 IE 和 Safari 也不支持它，而且在编写 3-D 安全实现时它显然不存在。尽管如此，如果它只是在某些时候提示就足以让不知情的商家知道他们搞砸了他们的支付集成。

他们当时可能能够做的另一件事是检查Referer header 中的http:地址。仍然不可靠(并且可能很难为所有可能的流程工作，包括重定向和弹出，以及中间重定向)，但可能会有所帮助。