A Google a böngészőfejlesztőknek azt javasolta, hogy vezessék be a veszélyes fájltípusok letöltésének blokkolását, ha a letöltésre mutató oldal HTTPS-en nyílik meg, de a letöltés titkosítás nélkül HTTP-n keresztül történik.
A probléma az, hogy a letöltés során a biztonsági jelzés hiányzik, a fájl egyszerűen a háttérben töltődik le. Amikor egy ilyen letöltés egy HTTP-n nyitott oldalról indul, a felhasználó már figyelmeztetve van a webhely biztonságtalanságáról a címsorban. De ha az oldal HTTPS-en nyílik meg, a címsorban a védett kapcsolat jelzése látható, és a felhasználónak hamis biztonságérzete alakulhat ki a HTTP segítségével végrehajtott letöltéssel kapcsolatban, miközben a tartalom rosszindulatú tevékenység következtében megváltozhat.
Javasolják, hogy blokkolják az exe, dmg, crx (Chrome kiterjesztések), zip, gzip, rar, tar, bzip és más népszerű archív formátumok letöltését, amelyek különösen kockázatosnak számítanak és általában a rosszindulatú szoftverek terjesztésére használják őket. A Google ezt a blokkolást csak a Chrome asztali verziójához tervezi hozzáadni, mivel a Chrome Androidra már a Safe Browsing keretében bevezette a gyanús APK csomagok letöltésének blokkolását.
A Mozilla képviselői érdeklődéssel fogadták az ajánlást és készen álltak a lépésre, de azt javasolták, hogy gyűjtsenek részletes statisztikákat a meglévő letöltési rendszerekre gyakorolt lehetséges negatív hatásokról. Például egyes vállalatok gyakran végeznek biztonságtalan letöltéseket védett webhelyekről, de a fájlok digitális aláírással való hitelesítése révén csökkentik a kompromittálás veszélyét.
Forrás: opennet.ru
