Chrome នឹងចាប់ផ្តើមទប់ស្កាត់ធនធាន HTTP នៅលើទំព័រ HTTPS និងពិនិត្យមើលភាពខ្លាំងនៃពាក្យសម្ងាត់

Google បានព្រមាន អំពីការផ្លាស់ប្តូរវិធីសាស្រ្តក្នុងការដំណើរការមាតិកាចម្រុះនៅលើទំព័រដែលបានបើកតាមរយៈ HTTPS ។ ពីមុនប្រសិនបើមានសមាសធាតុនៅលើទំព័រដែលបានបើកតាមរយៈ HTTPS ដែលត្រូវបានផ្ទុកពីដោយគ្មានការអ៊ិនគ្រីប (តាមរយៈពិធីការ http://) សូចនាករពិសេសត្រូវបានបង្ហាញ។ នៅពេលអនាគត វាត្រូវបានសម្រេចចិត្តដើម្បីទប់ស្កាត់ការផ្ទុកធនធានបែបនេះតាមលំនាំដើម។ ដូច្នេះ ទំព័រដែលបានបើកតាមរយៈ “https://” នឹងត្រូវបានធានាថាមានតែធនធានដែលបានទាញយកតាមរយៈបណ្តាញទំនាក់ទំនងដែលមានសុវត្ថិភាព។

វាត្រូវបានកត់សម្គាល់ថាបច្ចុប្បន្នជាង 90% នៃគេហទំព័រត្រូវបានបើកដោយអ្នកប្រើប្រាស់ Chrome ដោយប្រើ HTTPS ។ វត្តមាននៃសិលាចារឹកដែលបានផ្ទុកដោយគ្មានការអ៊ិនគ្រីបបង្កើតការគំរាមកំហែងផ្នែកសុវត្ថិភាពតាមរយៈការកែប្រែមាតិកាដែលមិនបានការពារ ប្រសិនបើមានការគ្រប់គ្រងលើបណ្តាញទំនាក់ទំនង (ឧទាហរណ៍ នៅពេលភ្ជាប់តាមរយៈ Wi-Fi បើកចំហ)។ សូចនករមាតិកាចម្រុះត្រូវបានរកឃើញថាគ្មានប្រសិទ្ធភាព និងធ្វើឱ្យអ្នកប្រើប្រាស់យល់ច្រឡំ ដោយសារវាមិនផ្តល់នូវការវាយតម្លៃច្បាស់លាស់អំពីសុវត្ថិភាពនៃទំព័រ។

បច្ចុប្បន្ននេះ ប្រភេទខ្លឹមសារចម្រុះដែលមានគ្រោះថ្នាក់បំផុត ដូចជាស្គ្រីប និង iframe ត្រូវបានរារាំងរួចហើយតាមលំនាំដើម ប៉ុន្តែរូបភាព ឯកសារអូឌីយ៉ូ និងវីដេអូនៅតែអាចទាញយកបានតាមរយៈ http:// ។ តាមរយៈការក្លែងបន្លំរូបភាព អ្នកវាយប្រហារអាចជំនួសអ្នកប្រើប្រាស់តាមដានខូគី ព្យាយាមទាញយកភាពងាយរងគ្រោះនៅក្នុងកម្មវិធីដំណើរការរូបភាព ឬប្រព្រឹត្តការក្លែងបន្លំដោយជំនួសព័ត៌មានដែលមាននៅក្នុងរូបភាព។

ការណែនាំនៃការទប់ស្កាត់ត្រូវបានបែងចែកជាដំណាក់កាលជាច្រើន។ Chrome 79 ដែលគ្រោងសម្រាប់ថ្ងៃទី 10 ខែធ្នូ នឹងមានការកំណត់ថ្មីដែលនឹងអនុញ្ញាតឱ្យអ្នកបិទការទប់ស្កាត់សម្រាប់គេហទំព័រជាក់លាក់។ ការកំណត់នេះនឹងត្រូវបានអនុវត្តចំពោះខ្លឹមសារចម្រុះដែលត្រូវបានទប់ស្កាត់រួចហើយ ដូចជាស្គ្រីប និង iframe ហើយនឹងត្រូវបានហៅតាមរយៈម៉ឺនុយដែលទម្លាក់ចុះ នៅពេលអ្នកចុចលើនិមិត្តសញ្ញាចាក់សោ ដោយជំនួសសូចនាករដែលបានស្នើពីមុនសម្រាប់ការបិទការទប់ស្កាត់។

Chrome 80 ដែលត្រូវបានរំពឹងទុកនៅថ្ងៃទី 4 ខែកុម្ភៈ នឹងប្រើគ្រោងការណ៍ទន់ខ្សោយសម្រាប់ឯកសារអូឌីយ៉ូ និងវីដេអូ ដែលបង្កប់ន័យការជំនួសតំណ http:// ដោយស្វ័យប្រវត្តិជាមួយ https:// ដែលនឹងរក្សាមុខងារ ប្រសិនបើធនធានដែលមានបញ្ហាក៏អាចចូលប្រើបានតាមរយៈ HTTPS . រូបភាពនឹងបន្តផ្ទុកដោយគ្មានការផ្លាស់ប្តូរ ប៉ុន្តែប្រសិនបើបានទាញយកតាមរយៈ http:// ទំព័រ https:// នឹងបង្ហាញសូចនាករការតភ្ជាប់ដែលមិនមានសុវត្ថិភាពសម្រាប់ទំព័រទាំងមូល។ ដើម្បីផ្លាស់ប្តូរដោយស្វ័យប្រវត្តិទៅ https ឬរារាំងរូបភាព អ្នកអភិវឌ្ឍន៍គេហទំព័រនឹងអាចប្រើប្រាស់លក្ខណៈសម្បត្តិ CSP upgrade-insecure-requests និង block-all-mixed-content។ Chrome 81 ដែលគ្រោងធ្វើនៅថ្ងៃទី 17 ខែមីនា នឹងកែដោយស្វ័យប្រវត្តិ http:// ទៅ https:// សម្រាប់ការបង្ហោះរូបភាពចម្រុះ។

លើសពីនេះទៀត Google បានប្រកាស អំពីការរួមបញ្ចូលទៅក្នុងកំណែបន្ទាប់មួយនៃកម្មវិធីរុករក Chome នៃសមាសភាគពិនិត្យពាក្យសម្ងាត់ថ្មីពីមុន កំពុងអភិវឌ្ឍ នៅក្នុងសំណុំបែបបទ ការបន្ថែមខាងក្រៅ. ការរួមបញ្ចូលនឹងនាំឱ្យមានរូបរាងនៅក្នុងកម្មវិធីគ្រប់គ្រងពាក្យសម្ងាត់ Chrome ធម្មតានៃឧបករណ៍សម្រាប់ការវិភាគភាពជឿជាក់នៃពាក្យសម្ងាត់ដែលបានប្រើដោយអ្នកប្រើប្រាស់។ នៅពេលអ្នកព្យាយាមចូលទៅក្នុងគេហទំព័រណាមួយ ការចូល និងពាក្យសម្ងាត់របស់អ្នកនឹងត្រូវបានពិនិត្យប្រឆាំងនឹងមូលដ្ឋានទិន្នន័យនៃគណនីដែលត្រូវបានសម្របសម្រួល ដោយមានការព្រមានបង្ហាញប្រសិនបើបញ្ហាត្រូវបានរកឃើញ។ ការត្រួតពិនិត្យនេះត្រូវបានអនុវត្តប្រឆាំងនឹងមូលដ្ឋានទិន្នន័យដែលគ្របដណ្តប់លើគណនីសម្របសម្រួលជាង 4 ពាន់លានដែលបានលេចធ្លាយនៅក្នុងមូលដ្ឋានទិន្នន័យអ្នកប្រើប្រាស់។ ការព្រមានក៏នឹងត្រូវបានបង្ហាញផងដែរ ប្រសិនបើអ្នកព្យាយាមប្រើពាក្យសម្ងាត់មិនសំខាន់ដូចជា "abc123" (ដោយ ស្ថិតិ Google 23% នៃជនជាតិអាមេរិកប្រើពាក្យសម្ងាត់ស្រដៀងគ្នា) ឬនៅពេលប្រើពាក្យសម្ងាត់ដូចគ្នានៅលើគេហទំព័រជាច្រើន។

ដើម្បីរក្សាការសម្ងាត់ នៅពេលចូលប្រើ API ខាងក្រៅ មានតែពីរបៃដំបូងនៃ hash នៃការចូល និងពាក្យសម្ងាត់ប៉ុណ្ណោះដែលត្រូវបានបញ្ជូន (ក្បួនដោះស្រាយ hashing ត្រូវបានប្រើ អាហ្គុន ២០០) សញ្ញាសម្ងាត់ពេញលេញត្រូវបានអ៊ិនគ្រីបដោយប្រើសោដែលបង្កើតនៅខាងអ្នកប្រើប្រាស់។ ហាសដើមនៅក្នុងមូលដ្ឋានទិន្នន័យ Google ក៏ត្រូវបានអ៊ិនគ្រីបបន្ថែមដែរ ហើយមានតែពីរបៃដំបូងនៃ hash ប៉ុណ្ណោះដែលត្រូវបានទុកសម្រាប់ធ្វើលិបិក្រម។ ការផ្ទៀងផ្ទាត់ចុងក្រោយនៃសញ្ញាដែលស្ថិតនៅក្រោមបុព្វបទពីរបៃដែលបានបញ្ជូនគឺធ្វើឡើងនៅខាងអ្នកប្រើប្រាស់ដោយប្រើបច្ចេកវិទ្យាគ្រីបគ្រីប "ពិការភ្នែក“ ដែលភាគីទាំងពីរមិនដឹងពីខ្លឹមសារនៃទិន្នន័យដែលកំពុងត្រួតពិនិត្យនោះទេ។ ដើម្បីការពារប្រឆាំងនឹងមាតិកានៃមូលដ្ឋានទិន្នន័យនៃគណនីដែលត្រូវបានសម្របសម្រួលត្រូវបានកំណត់ដោយកម្លាំង brute ជាមួយនឹងសំណើសម្រាប់បុព្វបទបំពាន ទិន្នន័យដែលបានបញ្ជូនត្រូវបានអ៊ិនគ្រីបដោយភ្ជាប់ជាមួយសោដែលបានបង្កើតដោយផ្អែកលើការរួមបញ្ចូលគ្នានៃការចូល និងពាក្យសម្ងាត់ដែលបានផ្ទៀងផ្ទាត់។

ប្រភព: opennet.ru