Google hat Entwicklern von Browsern vorgeschlagen, die Praxis der Blockierung des Downloads gefährlicher Dateitypen einzuführen, wenn die Seite, die den Download verlinkt, über HTTPS geöffnet wird, der Download jedoch unverschlüsselt über HTTP initiiert wird.
Das Problem liegt darin, dass während des Downloads keine Sicherheitsanzeige vorhanden ist; die Datei wird einfach im Hintergrund heruntergeladen. Wenn ein solcher Download von einer Seite initiiert wird, die über HTTP geöffnet ist, wird der Benutzer bereits in der Adresszeile auf die Unsicherheit der Website hingewiesen. Ist die Seite jedoch über HTTPS geöffnet, erscheint in der Adresszeile das Symbol für eine gesicherte Verbindung, und der Benutzer könnte fälschlicherweise ein Gefühl von Sicherheit bezüglich des Downloads haben, der über HTTP durchgeführt wird, während der Inhalt aufgrund böswilliger Aktivitäten manipuliert worden sein könnte.
Es wird empfohlen, Dateien mit den Erweiterungen exe, dmg, crx (Chrome-Erweiterungen), zip, gzip, rar, tar, bzip und anderen gängigen Archivformaten zu blockieren, da diese als besonders riskant gelten und häufig zur Verbreitung von Malware verwendet werden. Google plant, die vorgeschlagene Blockierung nur in der Desktop-Version von Chrome einzuführen, da in der Chrome-Version für Android über Safe Browsing bereits eine Blockierung des Downloads verdächtiger APK-Pakete implementiert ist.
Vertreter von Mozilla haben das Angebot interessiert zur Kenntnis genommen und ihre Bereitschaft signalisiert, in diese Richtung zu arbeiten. Sie schlugen jedoch vor, detailliertere Statistiken über mögliche negative Auswirkungen auf bestehende Download-Systeme zu sammeln. Zum Beispiel praktizieren einige Unternehmen unsichere Downloads von geschützten Seiten, wobei jedoch die Gefahr einer Kompromittierung durch die digitale Signatur der Dateien gemindert wird.
Quelle: opennet.ru
