Společnost Google navrhla vývojářům prohlížečů zavést do praxe blokaci stahování nebezpečných typů souborů, pokud je stránka, která na stahování odkazuje, otevřena přes HTTPS, ale stahování je iniciováno bez šifrování přes HTTP.
Problém spočívá v tom, že během stahování není žádná indikace bezpečnosti, soubor se jednoduše stahuje na pozadí. Když je takové stahování spuštěno ze stránky otevřené přes HTTP, uživatel již je varován v adresním řádku o nebezpečnosti stránky. Ale pokud je stránka otevřena přes HTTPS, v adresním řádku je indikátor zabezpečeného spojení a uživatel může mít falešný pocit bezpečnosti při spuštění stahování prováděného přes HTTP, zatímco obsah může být změněn v důsledku škodlivé aktivity.
Navrhuje se blokovat soubory s příponami exe, dmg, crx (přípony Chrome), zip, gzip, rar, tar, bzip a další populární formáty archivů, které jsou považovány za obzvlášť rizikové a obvykle se používají k šíření škodlivého softwaru. Google plánuje přidat navrhovanou blokaci pouze do desktopové verze Chrome, protože v Chromu pro Android je již implementována blokace stahování podezřelých APK balíčků prostřednictvím Safe Browsing.
Zástupci Mozilly s zájmem přijali tento návrh a vyjádřili připravenost postoupit tímto směrem, ale navrhli shromáždit podrobnější statistiky o možném negativním vlivu na stávající systémy stahování. Například některé společnosti praktikují nebezpečná stahování z chráněných stránek, ale přitom je hrozba kompromitace odstraněna prostřednictvím ověření souborů digitálním podpisem.
Zdroj: opennet.ru
