Chrome wird HTTP-Ressourcen auf HTTPS-Seiten blockieren und die Sicherheit von Passwörtern überprüfen

Das Unternehmen Google warnte Über die Änderung des Ansatzes zur Verarbeitung von gemischtem Inhalt auf Seiten, die über HTTPS geöffnet werden. Früher wurde bei Vorhandensein von Komponenten, die über unverschlüsselte Verbindungen (über das Protokoll http://) auf HTTPS-Seiten geladen wurden, ein spezieller Indikator angezeigt. In Zukunft wurde beschlossen, das Laden solcher Ressourcen standardmäßig zu blockieren. Dadurch werden Seiten, die über "https://" geöffnet werden, garantiert nur Ressourcen enthalten, die über einen geschützten Kommunikationskanal geladen wurden.

Es wird festgestellt, dass derzeit mehr als 90 % der Webseiten von Chrome-Nutzern mit HTTPS geöffnet werden. Das Vorhandensein von nicht verschlüsselten Einbettungen stellt eine Sicherheitsbedrohung dar, da ungeschützter Inhalt während der Kontrolle über den Kommunikationskanal (z. B. bei der Verbindung über offene WLAN-Netzwerke) manipuliert werden kann. Der Indikator für gemischte Inhalte wird als ineffektiv und irreführend angesehen, da er keine eindeutige Bewertung der Sicherheit der Seite bietet.

Derzeit werden die gefährlichsten Arten gemischter Inhalte, wie Skripte und iframes, bereits standardmäßig blockiert, jedoch können Bilder, Audiodateien und Videos weiterhin über http:// geladen werden. Durch das Ersetzen von Bildern kann ein Angreifer Tracking-Cookies der Nutzer einfügen, versuchen, Schwachstellen in Bildverarbeitungsprogrammen auszunutzen oder Fälschungen vorzunehmen, indem er die auf dem Bild angezeigten Informationen ersetzt.

Die Einführung der Blockierung wird in mehrere Phasen unterteilt. In Chrome 79, geplant für den 10. Dezember, wird eine neue Einstellung hinzugefügt, die es ermöglicht, die Blockierung für bestimmte Webseiten zu deaktivieren. Diese Einstellung wird für bereits blockierte gemischte Inhalte, wie Skripte und iframes, angewendet und über ein Menü aufgerufen, das beim Klicken auf das Schlosssymbol angezeigt wird, und ersetzt das zuvor angebotene Indikatorfeld zur Deaktivierung der Blockierung.

In Chrome 80, das für den 4. Februar erwartet wird, wird ein sanftes Schema zur Blockierung von Audio- und Videodateien angewendet, das eine automatische Umstellung in Links von http:// auf https:// beinhaltet und damit die Funktionalität sicherstellt, wenn die problematische Ressource auch über HTTPS verfügbar ist. Bilder werden unverändert geladen, aber wenn sie über http:// auf https://-Seiten geladen werden, wird überall auf der Seite ein Hinweis auf eine ungesicherte Verbindung angezeigt. Für die automatische Umstellung auf https oder die Blockierung von Bildern können Website-Entwickler die CSP- Eigenschaften upgrade-insecure-requests und block-all-mixed-content verwenden. In der Veröffentlichung von Chrome 81, die für den 17. März geplant ist, wird bei der gemischten Bildladung die automatische Umstellung von http:// auf https:// angewendet.

Darüber hinaus plant Google kündigte an die Integration eines neuen Komponenten Password Checkup in eine der nächsten Versionen des Browsers Chrome, die zuvor entwickelt wurde in Form von als externes Add-On. Die Integration wird dazu führen, dass im integrierten Passwortmanager von Chrome Werkzeuge zur Analyse der Sicherheit der vom Benutzer verwendeten Passwörter zur Verfügung stehen. Bei dem Versuch, sich auf einer beliebigen Website anzumelden, wird eine Überprüfung von Benutzername und Passwort gegen eine Datenbank mit kompromittierten Konten durchgeführt, wobei im Falle von Problemen eine Warnung ausgegeben wird. Die Überprüfung erfolgt anhand einer Datenbank, die mehr als 4 Milliarden kompromittierte Konten umfasst, die in Nutzerlecks aufgetaucht sind. Eine Warnung wird auch ausgegeben, wenn versucht wird, triviale Passwörter wie „abc123“ (laut Google verwenden 23% der Amerikaner solche Passwörter) oder dasselbe Passwort auf mehreren Websites zu nutzen. Statistik Um die Vertraulichkeit beim Zugriff auf eine externe API zu wahren, werden nur die ersten zwei Byte des Hashes aus der Kombination von Benutzername und Passwort übertragen (zum Hashing wird der Algorithmus

Argon2 ). Der vollständige Hash wird mit einem auf der Benutzerseite generierten Schlüssel verschlüsselt. Die ursprünglichen Hashes in der Google-Datenbank werden ebenfalls zusätzlich verschlüsselt und nur die ersten zwei Bytes des Hashes bleiben zur Indizierung. Der endgültige Vergleich der Hashes, die unter das übermittelte zweibyte-Präfix fallen, erfolgt auf der Benutzerseite mit einer kryptografischen Technik namens „BlindierungBlendung«, bei der keine der Parteien den Inhalt der überprüften Daten kennt. Zum Schutz vor der Bestimmung des Inhalts einer kompromittierten Datenbank durch das Ausprobieren von Anfragen mit beliebigen Präfixen werden die übermittelten Daten in Verbindung mit einem Schlüssel verschlüsselt, der auf dem überprüften Bundle aus Benutzername und Passwort basiert.

Quelle: opennet.ru