Chrome יתחיל לחסום משאבי HTTP בדפי HTTPS ולבדוק את עוצמת הסיסמאות

גוגל הזהיר על שינוי הגישה לעיבוד תוכן מעורב בדפים שנפתחו באמצעות HTTPS. בעבר, אם היו רכיבים בדפים שנפתחו באמצעות HTTPS שנטענו ללא הצפנה (באמצעות פרוטוקול http://), הוצג מחוון מיוחד. בעתיד, הוחלט לחסום טעינת משאבים כאלה כברירת מחדל. לפיכך, דפים שנפתחו דרך "https://" יהיו מובטחים שיכילו רק משאבים שהורדו דרך ערוץ תקשורת מאובטח.

יצוין כי כיום יותר מ-90% מהאתרים נפתחים על ידי משתמשי Chrome באמצעות HTTPS. הנוכחות של תוספות נטענות ללא הצפנה יוצרת איומי אבטחה באמצעות שינוי של תוכן לא מוגן אם יש שליטה על ערוץ התקשורת (לדוגמה, בעת חיבור באמצעות Wi-Fi פתוח). אינדיקטור התוכן המעורב נמצא כלא יעיל ומטעה את המשתמש, מכיוון שאינו מספק הערכה ברורה לגבי אבטחת העמוד.

נכון לעכשיו, הסוגים המסוכנים ביותר של תוכן מעורב, כגון סקריפטים ו-iframes, כבר חסומים כברירת מחדל, אך עדיין ניתן להוריד תמונות, קבצי אודיו וסרטונים דרך http://. באמצעות זיוף תמונות, תוקף יכול להחליף עוגיות למעקב אחר משתמשים, לנסות לנצל נקודות תורפה במעבדי תמונה, או לבצע זיוף על ידי החלפת המידע המסופק בתמונה.

הכנסת החסימה מחולקת למספר שלבים. Chrome 79, המיועד ל-10 בדצמבר, יכלול הגדרה חדשה שתאפשר לך להשבית חסימה עבור אתרים ספציפיים. הגדרה זו תוחל על תוכן מעורב שכבר חסום, כגון סקריפטים ואיפריימים, ותקרא דרך התפריט הנפתח כאשר תלחץ על סמל הנעילה, ויחליף את המחוון שהוצע קודם לכן לביטול חסימה.

Chrome 80, שצפוי ב-4 בפברואר, ישתמש בסכימת חסימה רכה עבור קובצי אודיו ווידאו, מה שמרמז על החלפה אוטומטית של קישורי http:// ב-https://, מה שישמור על הפונקציונליות אם המשאב הבעייתי יהיה נגיש גם באמצעות HTTPS . התמונות ימשיכו להיטען ללא שינויים, אך אם הורדה דרך http://, דפי https:// יציגו מחוון חיבור לא מאובטח עבור העמוד כולו. כדי לעבור אוטומטית ל-https או לחסום תמונות, מפתחי אתרים יוכלו להשתמש במאפייני ה-CSP upgrade-insecure-requests ו-block-all-mixed-content. Chrome 81, המתוכנן ל-17 במרץ, יתקן אוטומטית את http:// ל-https:// עבור העלאות תמונות מעורבות.

בנוסף, גוגל הוכרז על השילוב באחת מהגרסאות הבאות של דפדפן Chome של רכיב בדיקת הסיסמאות החדש, בעבר מתפתח בצורה של תוספת חיצונית. האינטגרציה תוביל להופעה במנהל הסיסמאות הרגיל של כרום של כלים לניתוח מהימנות הסיסמאות שבהן משתמש המשתמש. כאשר אתה מנסה להיכנס לאתר כלשהו, ​​הכניסה והסיסמה שלך ייבדקו מול מסד נתונים של חשבונות שנפגעו, עם אזהרה שתוצג אם יתגלו בעיות. הבדיקה מתבצעת מול מסד נתונים המכסה למעלה מ-4 מיליארד חשבונות שנפגעו שהופיעו במאגרי מידע של משתמשים שדלפו. אזהרה תוצג גם אם תנסה להשתמש בסיסמאות טריוויאליות כגון "abc123" (על ידי נתונים סטטיסטיים גוגל 23% מהאמריקאים משתמשים בסיסמאות דומות), או כאשר משתמשים באותה סיסמה במספר אתרים.

כדי לשמור על סודיות, בעת גישה ל-API חיצוני, רק שני הבייטים הראשונים של ה-hash של הכניסה והסיסמה משודרים (משתמשים באלגוריתם ה-hashing 2. ארגון). ה-hash המלא מוצפן בעזרת מפתח שנוצר בצד המשתמש. גם ה-hash המקוריים במסד הנתונים של גוגל מוצפנים בנוסף ורק שני הבייטים הראשונים של ה-hash נותרו לאינדקס. האימות הסופי של hashes הנופלים תחת הקידומת של שני בתים המשודרת מתבצע בצד המשתמש באמצעות טכנולוגיה קריפטוגרפית "עיוורון", שבו אף אחד מהצדדים אינו יודע את תוכן הנתונים הנבדקים. כדי להגן מפני קביעת תוכן של מסד נתונים של חשבונות שנפגעו בכוח גס עם בקשה לקידומות שרירותיות, הנתונים המועברים מוצפנים בקשר למפתח שנוצר על בסיס שילוב מאומת של כניסה וסיסמה.

מקור: OpenNet.ru