Chrome დაიწყებს HTTP რესურსების დაბლოკვას HTTPS გვერდებზე და პაროლების სიძლიერის შემოწმებას

Google გააფრთხილეს HTTPS-ით გახსნილ გვერდებზე შერეული შინაარსის დამუშავების მიდგომის შეცვლის შესახებ. ადრე, თუ HTTPS-ით გახსნილ გვერდებზე არსებობდა კომპონენტები, რომლებიც იტვირთებოდა დაშიფვრის გარეშე (http:// პროტოკოლით), ნაჩვენები იყო სპეციალური მაჩვენებელი. სამომავლოდ გადაწყდა ნაგულისხმევად დაბლოკოს ასეთი რესურსების ჩატვირთვა. ამრიგად, "https://"-ით გახსნილი გვერდები გარანტირებული იქნება, რომ შეიცავდეს მხოლოდ უსაფრთხო საკომუნიკაციო არხის მეშვეობით ჩამოტვირთულ რესურსებს.

აღნიშნულია, რომ ამჟამად საიტების 90%-ზე მეტი იხსნება Chrome-ის მომხმარებლების მიერ HTTPS-ის გამოყენებით. დაშიფვრის გარეშე დატვირთული ჩანართების არსებობა ქმნის უსაფრთხოების საფრთხეებს დაუცველი შინაარსის მოდიფიკაციის გზით, თუ არსებობს კონტროლი საკომუნიკაციო არხზე (მაგალითად, ღია Wi-Fi-ით დაკავშირებისას). შერეული შინაარსის ინდიკატორი აღმოჩნდა არაეფექტური და შეცდომაში შემყვანი მომხმარებლისთვის, რადგან ის არ იძლევა გვერდის უსაფრთხოების მკაფიო შეფასებას.

ამჟამად, შერეული კონტენტის ყველაზე საშიში ტიპები, როგორიცაა სკრიპტები და iframes, უკვე დაბლოკილია ნაგულისხმევად, მაგრამ სურათების, აუდიო ფაილების და ვიდეოების ჩამოტვირთვა მაინც შესაძლებელია http://-ის საშუალებით. სურათის გაყალბების საშუალებით თავდამსხმელს შეუძლია შეცვალოს მომხმარებლის თვალთვალის ქუქიები, სცადოს გამოეყენებინა დაუცველობა გამოსახულების პროცესორებში, ან ჩაიდინოს გაყალბება სურათზე მოცემული ინფორმაციის შეცვლით.

ბლოკირების შემოღება დაყოფილია რამდენიმე ეტაპად. Chrome 79, რომელიც დაგეგმილია 10 დეკემბერს, იქნება ახალი პარამეტრი, რომელიც საშუალებას მოგცემთ გამორთოთ დაბლოკვა კონკრეტული საიტებისთვის. ეს პარამეტრი გამოყენებული იქნება შერეულ კონტენტზე, რომელიც უკვე დაბლოკილია, როგორიცაა სკრიპტები და iframe, და გამოიძახება მენიუდან, რომელიც ჩამოვარდება, როდესაც დააწკაპუნებთ დაბლოკვის სიმბოლოზე, ჩაანაცვლებს ადრე შემოთავაზებულ ინდიკატორს დაბლოკვის გამორთვისთვის.

Chrome 80, რომელიც მოსალოდნელია 4 თებერვალს, გამოიყენებს რბილ დაბლოკვის სქემას აუდიო და ვიდეო ფაილებისთვის, რაც გულისხმობს http:// ბმულების ავტომატურ ჩანაცვლებას https://-ით, რაც შეინარჩუნებს ფუნქციონირებას, თუ პრობლემური რესურსი ხელმისაწვდომი იქნება HTTPS-ითაც. . სურათები გააგრძელებს ჩატვირთვას ცვლილებების გარეშე, მაგრამ თუ ჩამოტვირთულია http://-ით, https:// გვერდებზე გამოჩნდება არასაიმედო კავშირის მაჩვენებელი მთელი გვერდისთვის. https-ზე ავტომატურად გადასვლის ან სურათების დაბლოკვის მიზნით, საიტის დეველოპერებს შეეძლებათ გამოიყენონ CSP თვისებების განახლება-დაუცველი-მოთხოვნები და დაბლოკოს ყველა შერეული კონტენტი. Chrome 81, რომელიც დაგეგმილია 17 მარტისთვის, ავტომატურად შეასწორებს http://-ს https://-ზე შერეული სურათების ატვირთვისთვის.

გარდა ამისა, Google გამოაცხადა პაროლის შემოწმების ახალი კომპონენტის Chome ბრაუზერის ერთ-ერთ მომდევნო გამოშვებაში ინტეგრაციის შესახებ, ადრე განვითარებადი სახით გარე დამატება. ინტეგრაცია გამოიწვევს ინსტრუმენტების რეგულარულ Chrome-ის პაროლის მენეჯერის გამოჩენას მომხმარებლის მიერ გამოყენებული პაროლების სანდოობის გასაანალიზებლად. როდესაც თქვენ ცდილობთ შეხვიდეთ ნებისმიერ საიტზე, თქვენი ლოგინი და პაროლი შემოწმდება გატეხილი ანგარიშების მონაცემთა ბაზაში, პრობლემების აღმოჩენის შემთხვევაში გამოჩნდება გაფრთხილება. შემოწმება ტარდება მონაცემთა ბაზის წინააღმდეგ, რომელიც მოიცავს 4 მილიარდზე მეტ კომპრომეტირებულ ანგარიშს, რომლებიც გამოჩნდა მომხმარებლის მონაცემთა ბაზებში. გაფრთხილება ასევე გამოჩნდება, თუ თქვენ ცდილობთ გამოიყენოთ ტრივიალური პაროლები, როგორიცაა "abc123" (by სტატისტიკა Google ამერიკელების 23% იყენებს მსგავს პაროლებს), ან როდესაც იყენებთ იმავე პაროლს მრავალ საიტზე.

კონფიდენციალურობის შესანარჩუნებლად, გარე API-ზე წვდომისას გადაიცემა შესვლისა და პაროლის ჰეშის მხოლოდ პირველი ორი ბაიტი (გამოიყენება ჰეშირების ალგორითმი არგონი 2). სრული ჰეში დაშიფრულია მომხმარებლის მხარეს გენერირებული გასაღებით. ორიგინალური ჰეშები Google მონაცემთა ბაზაში ასევე დამატებით არის დაშიფრული და ინდექსაციისთვის რჩება ჰეშის მხოლოდ პირველი ორი ბაიტი. ჰეშების საბოლოო გადამოწმება, რომლებიც მიეკუთვნება გადაცემული ორ ბაიტის პრეფიქსის ქვეშ, ხორციელდება მომხმარებლის მხარეს კრიპტოგრაფიული ტექნოლოგიის გამოყენებით.სიბრმავე“, რომელშიც არცერთმა მხარემ არ იცის შემოწმებული მონაცემების შინაარსი. იმისათვის, რომ დავიცვათ კომპრომეტირებული ანგარიშების მონაცემთა ბაზის შინაარსი, რომელიც განისაზღვრება უხეში ძალის გამოყენებით, თვითნებური პრეფიქსების მოთხოვნით, გადაცემული მონაცემები დაშიფრულია შესვლისა და პაროლის დადასტურებული კომბინაციის საფუძველზე წარმოქმნილ გასაღებთან დაკავშირებით.

წყარო: opennet.ru