Google ha propuesto a los desarrolladores de navegadores que implementen una práctica de bloqueo para la descarga de tipos de archivos peligrosos, si la página desde la que se realiza la descarga está abierta por HTTPS, pero la descarga se inicia sin cifrado a través de HTTP.
El problema radica en que, durante la descarga, la indicación de seguridad es inexistente; el archivo simplemente se descarga en segundo plano. Cuando dicha descarga se inicia desde una página abierta en HTTP, el usuario ya recibe una advertencia en la barra de direcciones sobre la inseguridad del sitio. Sin embargo, si el sitio está abierto por HTTPS, en la barra de direcciones aparece un indicador de conexión segura y el usuario puede tener una falsa sensación de seguridad respecto a la descarga iniciada a través de HTTP, mientras que el contenido puede haber sido alterado debido a actividades maliciosas.
Se propone bloquear archivos con extensiones exe, dmg, crx (extensiones de Chrome), zip, gzip, rar, tar, bzip y otros formatos populares de archivos que se consideran particularmente arriesgados y que comúnmente se utilizan para distribuir malware. Google planea implementar el bloqueo propuesto solo en la versión de escritorio de Chrome, ya que en Chrome para Android ya se ha implementado a través de Safe Browsing un bloqueo para la descarga de paquetes APK sospechosos.
Los representantes de Mozilla han recibido con interés la propuesta y han expresado su disposición a avanzar en esta dirección, pero han sugerido reunir estadísticas más detalladas sobre el posible impacto negativo en los sistemas de descarga existentes. Por ejemplo, algunas empresas realizan descargas inseguras desde sitios seguros, pero el riesgo de compromiso se elimina mediante la certificación de los archivos con firma digital.
Fuente: opennet.ru
