क्रोम HTTPS पेजों पर HTTP संसाधनों को ब्लॉक करना और पासवर्ड की ताकत की जांच करना शुरू कर देगा

गूगल उन्होंने चेतावनी दी HTTPS के माध्यम से खोले गए पृष्ठों पर मिश्रित सामग्री को संसाधित करने के दृष्टिकोण को बदलने के बारे में। पहले, यदि HTTPS के माध्यम से खोले गए पृष्ठों पर ऐसे घटक थे जो बिना एन्क्रिप्शन (http:// प्रोटोकॉल के माध्यम से) से लोड किए गए थे, तो एक विशेष संकेतक प्रदर्शित किया गया था। भविष्य में, ऐसे संसाधनों की लोडिंग को डिफ़ॉल्ट रूप से ब्लॉक करने का निर्णय लिया गया है। इस प्रकार, "https://" के माध्यम से खोले गए पृष्ठों में केवल सुरक्षित संचार चैनल के माध्यम से डाउनलोड किए गए संसाधन शामिल होने की गारंटी होगी।

यह ध्यान दिया गया है कि वर्तमान में 90% से अधिक साइटें क्रोम उपयोगकर्ताओं द्वारा HTTPS का उपयोग करके खोली जाती हैं। एन्क्रिप्शन के बिना लोड किए गए इंसर्ट की उपस्थिति संचार चैनल पर नियंत्रण होने पर असुरक्षित सामग्री के संशोधन के माध्यम से सुरक्षा खतरे पैदा करती है (उदाहरण के लिए, खुले वाई-फाई के माध्यम से कनेक्ट करते समय)। मिश्रित सामग्री संकेतक उपयोगकर्ता के लिए अप्रभावी और भ्रामक पाया गया, क्योंकि यह पृष्ठ की सुरक्षा का स्पष्ट मूल्यांकन प्रदान नहीं करता है।

वर्तमान में, सबसे खतरनाक प्रकार की मिश्रित सामग्री, जैसे स्क्रिप्ट और आईफ्रेम, पहले से ही डिफ़ॉल्ट रूप से अवरुद्ध हैं, लेकिन छवियां, ऑडियो फ़ाइलें और वीडियो अभी भी http:// के माध्यम से डाउनलोड किए जा सकते हैं। छवि स्पूफिंग के माध्यम से, एक हमलावर उपयोगकर्ता ट्रैकिंग कुकीज़ को प्रतिस्थापित कर सकता है, छवि प्रोसेसर में कमजोरियों का फायदा उठाने की कोशिश कर सकता है, या छवि में दी गई जानकारी को प्रतिस्थापित करके जालसाजी कर सकता है।

अवरोधन की शुरूआत को कई चरणों में विभाजित किया गया है। 79 दिसंबर को आने वाले क्रोम 10 में एक नई सेटिंग होगी जो आपको विशिष्ट साइटों के लिए ब्लॉकिंग को अक्षम करने की अनुमति देगी। यह सेटिंग मिश्रित सामग्री पर लागू की जाएगी जो पहले से ही अवरुद्ध है, जैसे स्क्रिप्ट और आईफ्रेम, और उस मेनू के माध्यम से कॉल किया जाएगा जो लॉक प्रतीक पर क्लिक करने पर नीचे चला जाता है, जो अवरोधन को अक्षम करने के लिए पहले प्रस्तावित संकेतक को बदल देता है।

Chrome 80, जो 4 फरवरी को अपेक्षित है, ऑडियो और वीडियो फ़ाइलों के लिए एक सॉफ्ट ब्लॉकिंग योजना का उपयोग करेगा, जिसका अर्थ है https:// के साथ http:// लिंक का स्वचालित प्रतिस्थापन, जो कार्यक्षमता को संरक्षित करेगा यदि समस्याग्रस्त संसाधन HTTPS के माध्यम से भी पहुंच योग्य है . छवियां बिना बदलाव के लोड होती रहेंगी, लेकिन यदि http:// के माध्यम से डाउनलोड किया जाता है, तो https:// पेज पूरे पेज के लिए एक असुरक्षित कनेक्शन संकेतक प्रदर्शित करेंगे। स्वचालित रूप से https में बदलने या छवियों को ब्लॉक करने के लिए, साइट डेवलपर्स सीएसपी गुणों अपग्रेड-असुरक्षित-अनुरोधों और ब्लॉक-ऑल-मिश्रित-सामग्री का उपयोग करने में सक्षम होंगे। 81 मार्च के लिए निर्धारित क्रोम 17, मिश्रित छवि अपलोड के लिए http:// से https:// तक स्वतः सही करेगा।

इसके अलावा, गूगल की घोषणा की नए पासवर्ड चेकअप घटक के चोम ब्राउज़र के अगले रिलीज़ में से एक में एकीकरण के बारे में, पहले विकसित होना जैसा बाह्य जोड़. एकीकरण से उपयोगकर्ता द्वारा उपयोग किए गए पासवर्ड की विश्वसनीयता का विश्लेषण करने के लिए नियमित क्रोम पासवर्ड मैनेजर में उपकरण दिखाई देंगे। जब आप किसी भी साइट पर लॉग इन करने का प्रयास करते हैं, तो आपके लॉगिन और पासवर्ड की जाँच छेड़छाड़ किए गए खातों के डेटाबेस से की जाएगी, और समस्या पाए जाने पर एक चेतावनी प्रदर्शित की जाएगी। जाँच एक डेटाबेस के विरुद्ध की जाती है जिसमें लीक हुए उपयोगकर्ता डेटाबेस में दिखाई देने वाले 4 बिलियन से अधिक समझौता किए गए खातों को शामिल किया गया है। यदि आप "abc123" (द्वारा) जैसे तुच्छ पासवर्ड का उपयोग करने का प्रयास करते हैं तो एक चेतावनी भी प्रदर्शित की जाएगी आंकड़े Google में 23% अमेरिकी समान पासवर्ड का उपयोग करते हैं), या कई साइटों पर एक ही पासवर्ड का उपयोग करते समय।

गोपनीयता बनाए रखने के लिए, बाहरी एपीआई तक पहुंचते समय, लॉगिन और पासवर्ड के हैश के केवल पहले दो बाइट्स प्रसारित होते हैं (हैशिंग एल्गोरिदम का उपयोग किया जाता है) Argon2). पूर्ण हैश उपयोगकर्ता की ओर से उत्पन्न एक कुंजी के साथ एन्क्रिप्ट किया गया है। Google डेटाबेस में मूल हैश भी अतिरिक्त रूप से एन्क्रिप्ट किए गए हैं और हैश के केवल पहले दो बाइट्स अनुक्रमण के लिए छोड़े गए हैं। प्रेषित दो-बाइट उपसर्ग के अंतर्गत आने वाले हैश का अंतिम सत्यापन क्रिप्टोग्राफ़िक तकनीक का उपयोग करके उपयोगकर्ता की ओर से किया जाता है।अंधापन“, जिसमें कोई भी पक्ष जाँचे जा रहे डेटा की सामग्री को नहीं जानता है। समझौता किए गए खातों के डेटाबेस की सामग्री को मनमाने उपसर्गों के अनुरोध के साथ क्रूर बल द्वारा निर्धारित किए जाने से बचाने के लिए, प्रेषित डेटा को लॉगिन और पासवर्ड के सत्यापित संयोजन के आधार पर उत्पन्न कुंजी के संबंध में एन्क्रिप्ट किया जाता है।

स्रोत: opennet.ru