La empresa Google sobre la aparición en la próxima versión de Chrome 86 de protección contra el envío inseguro de formularios web. La protección se aplica a los formularios que se muestran en páginas cargadas a través de HTTPS, pero que envían datos sin cifrar por HTTP, lo que crea una amenaza de intercepción y sustitución de datos durante ataques MITM. Para tales formularios web mixtos, se implementaron tres cambios:
- Se desactivó la autocompleción de cualquier formulario de entrada mezclada, de manera similar a como ya se había desactivado hace tiempo la autocompleción de formularios de autenticación en páginas abiertas por HTTP. Si antes la señal para desactivar era la apertura de una página con el formulario a través de HTTPS o HTTP, ahora también se tendrá en cuenta el uso de cifrado al enviar datos al procesador del formulario. El funcionamiento del gestor de contraseñas, que permite utilizar contraseñas seguras y únicas, no se desactivará para los formularios de autenticación mezclados, ya que el riesgo de usar una contraseña insegura y la reutilización de contraseñas en diferentes sitios supera el riesgo de una posible interceptación del tráfico.
- Al comenzar a escribir en formularios mixtos, se mostrará una advertencia informando al usuario sobre el envío de datos completados a través de un canal de comunicación no cifrado.
- Al intentar enviar un formulario mezclado, se mostrará una página separada con una notificación sobre el riesgo potencial de transmisión de datos a través de un canal no cifrado. En versiones anteriores, se utilizaba un indicador de candado en la barra de direcciones para indicar formularios mixtos, pero esa señal no era obvia para los usuarios y no reflejaba efectivamente los riesgos involucrados.
Fuente: opennet.ru
