Google ha proposto agli sviluppatori di browser di implementare il blocco del download di tipi di file pericolosi nel caso in cui la pagina di riferimento al download sia aperta in HTTPS, ma il download venga avviato senza crittografia tramite HTTP.
Il problema è che durante il download non c'è alcuna indicazione di sicurezza; il file viene semplicemente scaricato in background. Quando un simile download è avviato da una pagina aperta in HTTP, l'utente è già avvertito nella barra degli indirizzi riguardo l'insicurezza del sito. Tuttavia, se il sito è aperto in HTTPS, la barra degli indirizzi mostra l'indicatore di connessione sicura e l'utente può avere una falsa sensazione di sicurezza per il download avviato tramite HTTP, mentre il contenuto potrebbe essere stato alterato a causa di attività dannose.
Si propone di bloccare i file con estensioni exe, dmg, crx (estensioni di Chrome), zip, gzip, rar, tar, bzip e altri formati di archivio popolari considerati particolarmente rischiosi e comunemente utilizzati per la diffusione di malware. Google intende aggiungere il blocco proposto solo nella versione desktop di Chrome, poiché in Chrome per Android il blocco del download di pacchetti APK sospetti è già stato implementato tramite Safe Browsing.
I rappresentanti di Mozilla hanno accolto con interesse la proposta e hanno espresso disponibilità a muoversi in questa direzione, ma hanno suggerito di raccogliere statistiche più dettagliate sul possibile impatto negativo sui sistemi di download esistenti. Ad esempio, alcune aziende praticano download insicuri da siti protetti, ma in tal modo il rischio di compromissione viene mitigato tramite la verifica dei file con firma digitale.
Fonte: opennet.ru
