La société Google Concernant l'ajout dans la future version de Chrome 86 d'une protection contre l'envoi non sécurisé de formulaires web. Cette protection concerne les formulaires affichés sur des pages chargées via HTTPS, mais qui envoient des données sans chiffrement via HTTP, ce qui crée un risque d'interception et de modification des données lors d'attaques MITM. Trois modifications ont été mises en œuvre pour ces formulaires web mixtes :
- La saisie automatique de tous les formulaires mixtes a été désactivée, semblable à la désactivation de la saisie automatique des formulaires d'authentification sur les pages accessibles via HTTP depuis un certain temps déjà. Auparavant, le critère de désactivation était l'ouverture de la page comportant le formulaire via HTTPS ou HTTP ; désormais, l'utilisation d'un chiffrement lors de l'envoi des données au traitement du formulaire sera également considérée. Le gestionnaire de mots de passe, qui permet d'utiliser des mots de passe fiables et uniques, ne sera pas désactivé pour les formulaires d'authentification mixtes, car le risque lié à l'utilisation d'un mot de passe peu fiable et à la réutilisation de mots de passe sur différents sites est supérieur au risque potentiel d'interception du trafic.
- Lors du début de la saisie dans des formulaires mixtes, un avertissement sera affiché, informant l'utilisateur que les données remplies seront envoyées via un canal de communication non chiffré.
- Lors d'une tentative d'envoi d'un formulaire mixte, une page distincte s'affichera avec une notification sur le risque potentiel de transmission des données via un canal de communication non chiffré. Dans les versions précédentes, un indicateur de cadenas dans la barre d'adresse était utilisé pour indiquer les formulaires mixtes, mais cette mention n'était pas évidente pour les utilisateurs et ne reflétait pas efficacement les risques encourus.
Source : opennet.ru
