Чи справді проблема безпеки мати незахищені активи на сторінці ssl?

Я розумію, що це лише приклад того, щоб бути надмірно обережними, але якщо моя форма оформлення замовлення містить незахищений актив на ній, це не загрожує чиїм-небудь номерам кредитної картки не потрапляти людиною середнього.

Я запитую це тому, що раз у раз, можливо, через кешований вміст чи щось таке, хтось пише, кажучи, що вони бачать цю "помилку" (хоча на моїй сторінці немає незахищених активів), але вони хочуть пояснення.

Так, так, я можу розповісти все про шифрування та сертифікати, довіру та проміжне середовище. Але що я їм про це скажу. Як я переконаю їх у тому, що сайт на 100% безпечний (і якщо він не дає мені знати, що я помиляюся!)

Уразливість «змішаного сценарію» викликається, коли сторінка, що надходить через HTTPS, завантажує сценарій, CSS або ресурс плагіну через HTTP. Зловмисник "посередник" (наприклад, хтось у одній бездротовій мережі), як правило, може перехопити завантаження ресурсів HTTP та отримати повний доступ до веб-сайту, що завантажує ресурс. Це часто так само погано, як якщо б веб-сторінка зовсім не використовувала HTTPS.

http://googleonlinesecurity.blogspot.com/2011/06/trying-to-end-mixed-scripting.html

Дослідники безпеки та багато веб-розробників добре розуміють та чітко формулюють загрозу. Є три простих кроки для атаки на користувача через змішану вразливість вмісту ...

1) Налаштуйте атаку "Людина в середині". Це найпростіше зробити в громадських мережах, наприклад, у кав’ярнях або аеропортах.

2) Використовуйте змішану вразливість вмісту, щоб ввести шкідливий файл JavaScript. Зловмисний код працюватиме на веб-сайті HTTPS, на якому переглядають користувач. Ключовим моментом є те, що сайт HTTPS має на ньому змішану вразливість вмісту, це означає, що він виконує контент, завантажений через HTTP. Саме тут атака "Людина в середині" та вразливість змішаного вмісту поєднуються в небезпечний сценарій.

"Якщо якийсь зловмисник здатний підробляти файли Javascript або таблиці стилів, він також може ефективно підробляти інший вміст на вашій сторінці (наприклад, змінюючи DOM). Так це все або нічого. Якщо всі ваші елементи подаються за допомогою SSL, тоді ви захищені. Або ви завантажуєте деякі файли Javascript або стилів із звичайного HTTP-з'єднання, тоді ви вже не захищені. "- мені

3) Вкрасти особу користувача (або зробити інші погані речі).

http://ie.microsoft.com/testdrive/Browser/MixedContent/Default.html?o=1

Питання, пов’язані з цим: /programming/3778819/browser-mixed-content-warning-whats-the-point