Google sulla futura introduzione nella versione Chrome 86 della protezione contro l'invio insicuro di moduli web. La protezione riguarda i moduli visualizzati su pagine caricate tramite HTTPS, ma che inviano dati non crittografati tramite HTTP, il che crea una minaccia di intercettazione e manomissione dei dati durante attacchi MITM. Sono stati implementati tre cambiamenti per tali moduli web misti:
- Disabilitato il completamento automatico di qualsiasi modulo di input misto, analogamente a come il completamento automatico dei moduli di autenticazione su pagine aperte in HTTP è stato disabilitato già da tempo. Se in precedenza il criterio per disabilitare era l'apertura della pagina con il modulo in HTTPS o HTTP, d'ora in poi sarà preso in considerazione anche l'uso della crittografia durante l'invio dei dati al gestore del modulo. La funzionalità del gestore delle password, che consente di utilizzare password sicure e uniche, non sarà disabilitata per i moduli di autenticazione misti, poiché il rischio di utilizzare una password insicura e il riutilizzo di password su diversi siti supera il rischio di una potenziale intercettazione del traffico.
- All'inizio dell'inserimento in forme miste verrà visualizzato un avviso che informa l'utente dell'invio dei dati compilati tramite un canale di comunicazione non crittografato.
- Quando si tenta di inviare un modulo misto, verrà visualizzata una pagina separata con una notifica sul potenziale rischio di trasmissione dei dati tramite un canale di comunicazione non crittografato. Nelle versioni precedenti, per indicare le forme miste si usava un indicatore di lucchetto nella barra degli indirizzi, ma tale segnalazione non era evidente per gli utenti e non rifletteva efficacemente i rischi.
Fonte: opennet.ru
