Google piano per l'introduzione di nuovi meccanismi di protezione contro il download di file non sicuri in Chrome. Con Chrome 86, il rilascio del quale è previsto per il 26 ottobre, il download di tutti i tipi di file tramite link provenienti da pagine aperte in HTTPS sarà possibile solo se i file vengono forniti utilizzando il protocollo HTTPS. Si osserva che il download di file non crittografati può essere utilizzato per attività dannose tramite la sostituzione dei contenuti durante gli attacchi MITM (ad esempio, malware che colpisce i router domestici può sostituire le applicazioni scaricate o intercettare documenti riservati).
Il blocco sarà implementato progressivamente, a partire dal rilascio di Chrome 82, in cui verrà emesso un avviso quando si tenta di scaricare in modo non sicuro file eseguibili tramite link di pagine HTTPS. In Chrome 83, sarà attivato il blocco per i file eseguibili, mentre l'avviso verrà emesso per gli archivi. In Chrome 84, sarà attivato il blocco per gli archivi e verrà mostrato un avviso per i documenti. In Chrome 85, i documenti saranno bloccati e l'avviso inizierà a comparire durante il download non sicuro di immagini, video, audio e testo, che inizieranno a essere bloccati in Chrome 86.
In un futuro più remoto, si prevede di interrompere completamente il supporto per il download di file senza l'uso di crittografia. Nelle versioni per Android e iOS, il blocco sarà implementato con un ritardo di una versione (ad esempio, invece di Chrome 82, si passerà a 83, e così via). Nella versione 81 di Chrome, nelle impostazioni verrà aggiunta l'opzione "chrome://flags/#treat-unsafe-downloads-as-active-content", che permetterà di attivare avvisi senza attendere l'uscita di Chrome 82.
Fonte: opennet.ru
