Azienda Google sull'adeguamento dell'approccio alla gestione del contenuto misto nelle pagine aperte tramite HTTPS. In passato, quando erano presenti componenti caricati non crittografati (tramite il protocollo http://) su pagine aperte tramite HTTPS, veniva mostrato un indicatore speciale. In futuro, si è deciso di bloccare per impostazione predefinita il caricamento di tali risorse. Pertanto, le pagine aperte tramite "https://" conterranno garantitamente solo risorse caricate tramite un canale di comunicazione sicuro.
Si osserva che attualmente oltre il 90% dei siti viene aperto dagli utenti di Chrome utilizzando HTTPS. La presenza di contenuti caricati senza crittografia crea minacce alla sicurezza a causa della modifica di contenuti non protetti quando è presente un controllo sul canale di comunicazione (ad esempio, con una connessione tramite Wi-Fi aperto). L'indicatore del contenuto misto è stato riconosciuto come inefficace e fuorviante per l'utente, in quanto non offre una valutazione chiara della sicurezza della pagina.
Attualmente, i tipi di contenuti misti più pericolosi, come script e iframe, vengono già bloccati per impostazione predefinita, ma le immagini, i file audio e i video possono ancora essere caricati tramite http://. Attraverso la sostituzione delle immagini, un attaccante può inserire cookie di tracciamento delle azioni dell'utente, tentare di sfruttare vulnerabilità nei gestori delle immagini o effettuare frodi sostituendo le informazioni presentate nell'immagine.
L'introduzione del blocco è suddivisa in diverse fasi. In Chrome 79, previsto per il 10 dicembre, verrà introdotta una nuova impostazione che consentirà di disattivare il blocco per siti specifici. Tale impostazione si applicherà ai contenuti misti già bloccati, come script e iframe, e sarà accessibile tramite un menu a discesa facendo clic sull'icona del lucchetto, sostituendo l'indicatore precedentemente proposto per disattivare il blocco.
Con Chrome 80, atteso per il 4 febbraio, verrà applicato un sistema morbido di blocco dei file audio e video, che presuppone la sostituzione automatica dei link http:// in https://, consentendo di mantenere la funzionalità, se la risorsa problematica è accessibile anche tramite HTTPS. Le immagini continueranno a essere caricate senza modifiche, ma nel caso di caricamento tramite http:// su pagine https://, verrà visualizzato un indicatore di connessione non sicura per l'intera pagina. Per la sostituzione automatica su https o il blocco delle immagini, gli sviluppatori dei siti potranno utilizzare le proprietà CSP upgrade-insecure-requests e block-all-mixed-content. Nella versione Chrome 81, prevista per il 17 marzo, verrà applicata la sostituzione automatica da http:// a https:// durante il caricamento misto delle immagini.
Inoltre, Google sta integrando in uno dei prossimi aggiornamenti del browser Chrome un nuovo componente Password Checkup, precedentemente come . L'integrazione porterà all'emergere nel gestore password di Chrome di strumenti per analizzare l'affidabilità delle password utilizzate dall'utente. Quando si tenta di accedere a qualsiasi sito, verrà effettuato un controllo di login e password contro un database di account compromessi, con un avviso emesso in caso di problemi. Il controllo viene effettuato su un database che comprende oltre 4 miliardi di account compromessi apparso in leak di dati utente. Un avviso verrà emesso anche nel caso di tentativi di utilizzo di password triviali, come "abc123" (secondo Google, il 23% degli americani utilizza password simili), o nel caso di utilizzo della stessa password su più siti.
Per garantire la riservatezza nell'accesso a un'API esterna, vengono trasmessi solo i primi due byte dell'hash della combinazione di login e password (per l'hashing viene utilizzato l'algoritmo ). L'hash completo è crittografato con una chiave generata lato utente. Gli hash originali nel database Google sono anche ulteriormente crittografati e solo i primi due byte dell'hash vengono mantenuti per l indicizzazione. Il controllo finale degli hash che corrispondono al prefisso di due byte fornito viene effettuato lato utente utilizzando la tecnica crittografica "«, in cui nessuna delle parti conosce il contenuto dei dati verificati. Per proteggere dall'identificazione del contenuto del database di account compromessi mediante tentativi di accesso mediante richieste di prefissi casuali, i dati restituiti vengono crittografati in relazione a una chiave generata sulla base della coppia di login e password verificata.
Fonte: opennet.ru
