Chrome ќе започне да ги блокира HTTP ресурсите на страниците HTTPS и да ја проверува јачината на лозинките

Google предупреди за промена на пристапот за обработка на мешани содржини на страници отворени преку HTTPS. Претходно, доколку имало компоненти на страниците отворени преку HTTPS кои биле вчитани без шифрирање (преку протоколот http://), се прикажувал посебен индикатор. Во иднина, одлучено е стандардно да се блокира вчитувањето на таквите ресурси. Така, страниците отворени преку „https://“ ќе се гарантира дека содржат само ресурси преземени преку безбеден канал за комуникација.

Забележано е дека во моментов повеќе од 90% од сајтовите се отворени од корисници на Chrome кои користат HTTPS. Присуството на инсерти вчитани без шифрирање создава безбедносни закани преку модификација на незаштитена содржина доколку има контрола врз каналот за комуникација (на пример, кога се поврзувате преку отворен Wi-Fi). Утврдено е дека индикаторот за мешана содржина е неефикасен и погрешен за корисникот, бидејќи не дава јасна проценка за безбедноста на страницата.

Во моментов, најопасните видови мешани содржини, како што се скрипти и iframes, веќе се стандардно блокирани, но сликите, аудиодатотеките и видеата сè уште може да се преземаат преку http://. Преку измама на слики, напаѓачот може да ги замени колачињата за следење на корисниците, да се обиде да ги искористи пропустите во процесорите на слики или да изврши фалсификување со замена на информациите дадени на сликата.

Воведувањето на блокирањето е поделено во неколку фази. Chrome 79, закажан за 10-ти декември, ќе има нова поставка што ќе ви овозможи да го оневозможите блокирањето за одредени локации. Оваа поставка ќе се примени на мешани содржини што се веќе блокирани, како што се скрипти и iframe, и ќе се повика преку менито што се паѓа кога ќе кликнете на симболот за заклучување, заменувајќи го претходно предложениот индикатор за оневозможување блокирање.

Chrome 80, кој се очекува на 4 февруари, ќе користи шема за меко блокирање за аудио и видео датотеки, што подразбира автоматска замена на http:// линковите со https://, што ќе ја зачува функционалноста доколку проблематичниот ресурс е достапен и преку HTTPS . Сликите ќе продолжат да се вчитуваат без промени, но ако се преземат преку http://, страниците https:// ќе прикажат индикатор за небезбедна врска за целата страница. За автоматско менување во https или блокирање слики, развивачите на сајтови ќе можат да ги користат својствата на CSP за надградба-небезбедни-барања и блокирање на сите мешани содржини. Chrome 81, закажан за 17 март, автоматски ќе го корегира http:// на https:// за мешани прикачувања на слики.

Покрај тоа, Google објави за интеграцијата во едно од следните изданија на прелистувачот Chome на новата компонента за проверка на лозинката, претходно развивање во форма надворешен додаток. Интеграцијата ќе доведе до појавување во редовниот управувач со лозинки на Chrome на алатки за анализа на веродостојноста на лозинките што ги користи корисникот. Кога ќе се обидете да се најавите на која било локација, вашето најавување и лозинка ќе се проверат според базата на податоци на компромитирани сметки, со предупредување прикажано доколку се откријат проблеми. Проверката се спроведува против базата на податоци што опфаќа повеќе од 4 милијарди компромитирани сметки што се појавија во протечените бази на податоци на корисници. Ќе се прикаже предупредување и ако се обидете да користите тривијални лозинки како „abc123“ (од статистика Google 23% од Американците користат слични лозинки), или кога користат иста лозинка на повеќе страници.

За да се одржи доверливоста, при пристап до надворешен API, се пренесуваат само првите два бајта од хашот на најавувањето и лозинката (се користи алгоритмот за хаширање Аргон 2). Целосниот хаш е шифриран со клуч генериран на страната на корисникот. Оригиналните хашови во базата на податоци на Google се исто така дополнително шифрирани и само првите два бајта од хашот се оставени за индексирање. Конечната проверка на хашите што спаѓаат под пренесениот префикс од два бајти се врши на страната на корисникот со помош на криптографска технологија “слепило“, во која ниту една од страните не ја знае содржината на податоците што се проверуваат. За да се заштити од содржината на базата на податоци на компромитирани сметки што се одредува со брутална сила со барање за произволни префикси, пренесените податоци се шифрираат во врска со клучот генериран врз основа на проверена комбинација на најавување и лозинка.

Извор: opennet.ru