Google har foreslået browserudviklere at indføre blokering af download af farlige filtyper, hvis den henvisende side til download åbnes via HTTPS, men download initieres uden kryptering via HTTP.
Problemet er, at der under download ikke er sikkerhedsindikation, filen downloades blot i baggrunden. Når en sådan download startes fra en side åbnet via HTTP, advares brugeren allerede i adressefeltet om, at webstedet ikke er sikkert. Men hvis webstedet åbnes via HTTPS, vises der en indikator for en sikret forbindelse i adressefeltet, hvilket kan give brugeren en falsk følelse af sikkerhed ved download, der udføres via HTTP, mens indholdet kan være blevet ændret som følge af ondsindet aktivitet.
Det foreslås at blokere filer med filendelser som exe, dmg, crx (Chrome-udvidelser), zip, gzip, rar, tar, bzip og andre populære arkivformater, der anses for at være særligt risikable og normalt anvendes til distribution af malware. Google planlægger kun at tilføje den foreslåede blokering til desktop-versionen af Chrome, da blokering af mistænkelige APK-pakker allerede er implementeret i Chrome til Android via Safe Browsing.
Mozilla-repræsentanter har med interesse modtaget forslaget og udtrykt villighed til at bevæge sig i denne retning, men har foreslået at samle mere detaljeret statistik om den mulige negative indvirkning på eksisterende download-systemer. For eksempel praktiserer nogle virksomheder usikre downloads fra beskyttede websteder, men truslen om kompromittering fjernes gennem digital signaturverifikation af filer.
Kilde: opennet.ru
