Chrome ще започне да блокира HTTP ресурси на HTTPS страници и да проверява надеждността на паролите

Компания Google предупредила за промяна в подхода към обработката на смесено съдържание на страници, отворени по HTTPS. По-рано, когато на отворените страници по HTTPS имаше компоненти, зареждани без криптиране (по протокол http://), се показваше специален индикатор. В бъдеще е решено по подразбиране да се блокира зареждането на подобни ресурси. Така страниците, отворени по „https://“, гарантирано ще съдържат само ресурси, зареждани по защитен канал за връзка.

Отбелязва се, че в момента над 90% от сайтовете се отварят от потребителите на Chrome с използване на HTTPS. Наличието на вставки, зареждани без криптиране, създава заплахи за нарушаване на сигурността чрез модификация на незащитеното съдържание при наличие на контрол върху канала за връзка (например, при свързване чрез отворени Wi-Fi мрежи). Индикаторът за смесено съдържание е признат за неефективен и подвеждащ за потребителите, тъй като не предоставя ясна оценка за сигурността на страницата.

В момента най-опасните видове смесено съдържание, като скриптове и iframe, вече се блокират по подразбиране, но изображения, звукови файлове и видео все още могат да бъдат зареждани по http://. Чрез замяна на изображения атакуващият може да подмени действията на потребителя с Cookie, да се опита да експлоатира уязвимости в обработките на изображения или да извърши подлог, заменяйки информацията, представена на изображението.

Въвеждането на блокировка е разделено на няколко етапа. В Chrome 79, предвиден за 10 декември, ще се появи нова настройка, която ще позволи деактивиране на блокировката за конкретни сайтове. Указаната настройка ще се прилага за вече блокираното смесено съдържание, такова като скриптове и iframe, и ще се активира чрез меню, което се показва при клик на символа на катинаря, заменяйки предлагания преди това индикатор за деактивиране на блокировката.

В Chrome 80, който се очаква на 4 февруари, ще бъде приложена нежна схема за блокиране на звукови и видео файлове, предвиждаща автоматично заместване на линковете http:// с https://, което ще запази функционалността, ако проблемният ресурс също е достъпен по HTTPS. Изображенията ще продължат да се зареждат без промени, но ако се зареждат по http:// на страниците https://, за цялата страница ще започне да се извежда индикатор за незакрепена връзка. За автоматично заместване на https или блокиране на изображения разработчиците на сайтове ще могат да използват CSP свойства upgrade-insecure-requests и block-all-mixed-content. В изданието Chrome 81, планирано за 17 март, при смесено зареждане на изображения ще бъде приложено автоматично заместване на http:// с https://.

Освен това, компания Google обяви планира да интегрира в един от следващите версии на браузъра Chrome нов компонент Password Checkup, който преди се развиваше доставян като. Интеграцията ще доведе до появата на средства за анализ на надеждността на използваните пароли в стандартния мениджър на пароли на Chrome. При опит за вход на който и да е сайт ще се извършва проверка на логина и паролата спрямо база данни на компрометирани акаунти, с предупреждение в случай на открит проблем. Проверката се извършва спрямо база, обхващаща повече от 4 милиарда компрометирани акаунти, които са се появили в изтичания на потребителски бази. Предупреждение ще бъде изведено и при опити за използване на тривиални пароли, като "abc123" (според на статистиката Google 23% от американците използват подобни пароли), или при използване на една и съща парола на няколко сайта.

За да се запази конфиденциалността при взаимодействие с външно API, се предават само първите два байта от хеша на комбинацията от логин и парола (за хеширане се използва алгоритъм Argon2). Пълният хеш се криптира с ключ, генериран на страна на потребителя. Оригиналните хешове в базата данни на Google също се криптират допълнително и остават за индексиране само първите два байта от хеша. Финалната проверка на хешовете, попадащи под предадения двубайтов префикс, се извършва на страна на потребителя, използвайки криптографска техника "слепота«, при която нито една от страните не знае съдържанието на проверяваните данни. За защита от определяне на съдържанието на компрометирани акаунти чрез подбиране с искане на произволни префикси, предоставените данни се шифроват в зависимост от ключа, генериран на базата на проверяваната комбинация от потребителско име и парола.

Източник: opennet.ru