Chrome은 HTTPS 페이지에서 HTTP 리소스를 차단하고 비밀번호의 강도를 확인하기 시작합니다.

Google 경고 한 HTTPS를 통해 열린 페이지에서 혼합 콘텐츠를 처리하는 접근 방식 변경에 대해 설명합니다. 이전에는 암호화 없이(http:// 프로토콜을 통해) 로드된 HTTPS를 통해 열린 페이지에 구성 요소가 있는 경우 특수 표시기가 표시되었습니다. 앞으로는 이러한 리소스의 로딩을 기본적으로 차단하기로 결정했습니다. 따라서 "https://"를 통해 열린 페이지에는 보안 통신 채널을 통해 다운로드한 리소스만 포함된다는 것이 보장됩니다.

현재 사이트의 90% 이상이 HTTPS를 사용하는 Chrome 사용자에 의해 열리는 것으로 나타났습니다. 암호화 없이 로드된 삽입물이 있으면 통신 채널에 대한 제어가 있는 경우(예: 개방형 Wi-Fi를 통해 연결하는 경우) 보호되지 않은 콘텐츠를 수정하여 보안 위협이 발생합니다. 혼합 콘텐츠 표시기는 페이지 보안에 대한 명확한 평가를 제공하지 않기 때문에 효과가 없으며 사용자에게 오해를 불러일으킬 수 있는 것으로 나타났습니다.

현재 스크립트 및 iframe과 같은 가장 위험한 유형의 혼합 콘텐츠는 이미 기본적으로 차단되어 있지만 이미지, 오디오 파일 및 비디오는 여전히 http://를 통해 다운로드할 수 있습니다. 공격자는 이미지 스푸핑을 통해 사용자 추적 쿠키를 대체하거나, 이미지 프로세서의 취약점을 악용하거나, 이미지에 제공된 정보를 대체하여 위조를 시도할 수 있습니다.

차단의 도입은 여러 단계로 나누어집니다. 79월 10일 출시 예정인 Chrome XNUMX에는 특정 사이트에 대한 차단을 비활성화할 수 있는 새로운 설정이 포함됩니다. 이 설정은 스크립트 및 iframe과 같이 이미 차단된 혼합 콘텐츠에 적용되며 잠금 기호를 클릭하면 드롭다운 메뉴를 통해 호출되어 이전에 제안된 차단 비활성화 표시기를 대체합니다.

80월 4일로 예상되는 Chrome 81은 오디오 및 비디오 파일에 대해 소프트 차단 방식을 사용하여 http:// 링크를 https://로 자동 교체함을 의미합니다. 이는 문제가 있는 리소스가 HTTPS를 통해서도 액세스할 수 있는 경우 기능을 유지합니다. . 이미지는 변경 없이 계속 로드되지만, http://를 통해 다운로드하면 https:// 페이지 전체 페이지에 대해 안전하지 않은 연결 표시가 표시됩니다. 자동으로 https로 변경하거나 이미지를 차단하기 위해 사이트 개발자는 CSP 속성 업그레이드-안전하지 않은-요청 및 차단-모든-혼합-콘텐츠를 사용할 수 있습니다. 17월 XNUMX일로 예정된 Chrome XNUMX에서는 혼합 이미지 업로드에 대해 http://를 https://로 자동 수정합니다.

게다가 구글은 발표했다. 이전에 새로운 비밀번호 점검 구성 요소의 Chome 브라우저의 다음 릴리스 중 하나로 통합되는 것에 대해 개발 중 의 형태로 외부 추가. 통합하면 사용자가 사용하는 비밀번호의 신뢰성을 분석하기 위한 도구의 일반 Chrome 비밀번호 관리자에 표시됩니다. 어떤 사이트에든 로그인을 시도하면 손상된 계정 데이터베이스와 비교하여 로그인 및 비밀번호를 확인하고 문제가 발견되면 경고가 표시됩니다. 이번 점검은 유출된 사용자 데이터베이스에 나타난 4억 개 이상의 손상된 계정을 다루는 데이터베이스에 대해 수행됩니다. "abc123"과 같은 사소한 비밀번호를 사용하려고 하면 경고가 표시됩니다(by 통계 Google 미국인의 23%는 유사한 비밀번호를 사용하거나 여러 사이트에서 동일한 비밀번호를 사용할 때 사용합니다.

기밀성을 유지하기 위해 외부 API에 접근할 때 로그인 및 비밀번호 해시의 처음 XNUMX바이트만 전송됩니다. (해싱 알고리즘이 사용됩니다.) 아르곤 2). 전체 해시는 사용자 측에서 생성된 키로 암호화됩니다. Google 데이터베이스의 원본 해시도 추가로 암호화되며 색인 생성을 위해 해시의 처음 XNUMX바이트만 남습니다. 전송된 XNUMX바이트 접두사에 해당하는 해시의 최종 검증은 암호화 기술을 사용하여 사용자 측에서 수행됩니다.맹목', 어느 쪽도 확인 중인 데이터의 내용을 알지 못합니다. 임의의 접두어를 요청하는 무차별 공격에 의해 손상된 계정 데이터베이스의 내용을 보호하기 위해 전송된 데이터는 확인된 로그인 및 비밀번호 조합을 기반으로 생성된 키와 관련하여 암호화됩니다.

출처 : opennet.ru