Azienda Google riguardo all'introduzione nella prossima versione di Chrome 86 di protezione contro l'invio non sicuro di moduli web. La protezione riguarda i moduli visualizzati su pagine caricate tramite HTTPS, ma che inviano dati non crittografati tramite HTTP, creando una minaccia di intercettazione e sostituzione dei dati durante attacchi MITM. Per tali moduli web misti sono state implementate tre modifiche:
- Disattivazione dell'autocompletamento di qualsiasi modulo di input misto, analogamente a come è già stato disattivato l'autocompletamento dei moduli di autenticazione su pagine aperte tramite HTTP. Se in precedenza il segnale per disattivare era l'apertura della pagina con il modulo tramite HTTPS o HTTP, ora verrà considerato anche l'uso della crittografia durante l'invio dei dati al gestore del modulo. La funzionalità del gestore delle password, che consente di utilizzare password sicure e uniche, non verrà disattivata per i moduli di autenticazione misti, poiché il rischio di utilizzare password inaffidabili e di riutilizzare password su siti diversi supera il rischio di potenziale intercettazione del traffico.
- Quando si inizia a inserire dati in moduli misti, verrà visualizzato un avviso che informa l'utente dell'invio dei dati compilati tramite un canale di comunicazione non crittografato.
- Quando si tenta di inviare un modulo misto, verrà visualizzata una pagina separata con una notifica riguardante il potenziale rischio di trasmissione dei dati tramite un canale di comunicazione non crittografato. Nelle versioni precedenti, per indicare moduli misti veniva utilizzato l'indicatore di blocco nella barra degli indirizzi, ma tale notazione non era evidente per gli utenti e non rifletteva efficacemente i rischi emergenti.
Fonte: opennet.ru
