Chrome HTTPS പേജുകളിൽ HTTP ഉറവിടങ്ങൾ തടയാനും പാസ്‌വേഡുകളുടെ ദൃഢത പരിശോധിക്കാനും തുടങ്ങും

ഗൂഗിൾ മുന്നറിയിപ്പ് നൽകി HTTPS വഴി തുറക്കുന്ന പേജുകളിൽ സമ്മിശ്ര ഉള്ളടക്കം കൈകാര്യം ചെയ്യുന്നതിനുള്ള സമീപനം മാറ്റുന്നതിനെക്കുറിച്ച്. മുമ്പ്, എച്ച്ടിടിപിഎസ് വഴി തുറക്കുന്ന പേജുകളിൽ എൻക്രിപ്ഷൻ ഇല്ലാതെ ലോഡ് ചെയ്ത ഘടകങ്ങൾ ഉണ്ടെങ്കിൽ (http:// പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച്), ഒരു പ്രത്യേക സൂചകം പ്രദർശിപ്പിക്കും. ഭാവിയിൽ, സ്ഥിരസ്ഥിതിയായി അത്തരം ഉറവിടങ്ങൾ ലോഡ് ചെയ്യുന്നത് തടയാൻ തീരുമാനിച്ചു. അതിനാൽ, "https://" വഴി തുറക്കുന്ന പേജുകളിൽ ഒരു സുരക്ഷിത ആശയവിനിമയ ചാനൽ വഴി ഡൗൺലോഡ് ചെയ്ത ഉറവിടങ്ങൾ മാത്രമേ അടങ്ങിയിട്ടുള്ളൂ എന്ന് ഉറപ്പുനൽകും.

നിലവിൽ 90% സൈറ്റുകളും തുറക്കുന്നത് എച്ച്ടിടിപിഎസ് ഉപയോഗിക്കുന്ന ക്രോം ഉപയോക്താക്കളാണ്. കമ്മ്യൂണിക്കേഷൻ ചാനലിൽ നിയന്ത്രണമുള്ളപ്പോൾ (ഉദാഹരണത്തിന്, ഓപ്പൺ വൈഫൈ വഴി കണക്റ്റുചെയ്യുമ്പോൾ) എൻക്രിപ്ഷൻ ഇല്ലാതെ ലോഡ് ചെയ്ത ഇൻസെർട്ടുകളുടെ സാന്നിധ്യം സുരക്ഷിതമല്ലാത്ത ഉള്ളടക്കത്തിന്റെ പരിഷ്ക്കരണത്തിലൂടെ സുരക്ഷാ അപകടസാധ്യതകൾ സൃഷ്ടിക്കുന്നു. സമ്മിശ്ര ഉള്ളടക്ക സൂചകം ഫലപ്രദമല്ലാത്തതും ഉപയോക്താവിനെ തെറ്റിദ്ധരിപ്പിക്കുന്നതുമായി കണക്കാക്കപ്പെടുന്നു, കാരണം ഇത് പേജിന്റെ സുരക്ഷയെക്കുറിച്ച് വ്യക്തമായ ഒരു വിലയിരുത്തൽ നൽകുന്നില്ല.

നിലവിൽ, സ്ക്രിപ്റ്റുകളും ഐഫ്രെയിമുകളും പോലെയുള്ള ഏറ്റവും അപകടകരമായ തരത്തിലുള്ള സമ്മിശ്ര ഉള്ളടക്കങ്ങൾ ഡിഫോൾട്ടായി ബ്ലോക്ക് ചെയ്‌തിട്ടുണ്ട്, എന്നാൽ ചിത്രങ്ങളും ശബ്‌ദ ഫയലുകളും വീഡിയോകളും ഇപ്പോഴും http://-ൽ നിന്ന് ഡൗൺലോഡ് ചെയ്യാനാകും. ഇമേജ് സ്പൂഫിംഗ് വഴി, ഒരു ആക്രമണകാരിക്ക് ഉപയോക്തൃ പ്രവർത്തനങ്ങൾ ട്രാക്കുചെയ്യുന്നതിന് കുക്കികൾക്ക് പകരം വയ്ക്കാൻ കഴിയും, ഇമേജ് പ്രോസസറുകളിലെ കേടുപാടുകൾ ചൂഷണം ചെയ്യാൻ ശ്രമിക്കുക, അല്ലെങ്കിൽ ചിത്രത്തിൽ അവതരിപ്പിച്ച വിവരങ്ങൾ മാറ്റി വഞ്ചന നടത്തുക.

തടയുന്നതിന്റെ ആമുഖം പല ഘട്ടങ്ങളായി തിരിച്ചിരിക്കുന്നു. ഡിസംബർ 79-ന് ഷെഡ്യൂൾ ചെയ്‌തിരിക്കുന്ന Chrome 10-ൽ, നിർദ്ദിഷ്‌ട സൈറ്റുകൾക്കുള്ള ബ്ലോക്ക് ചെയ്യുന്നത് ഓഫാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു പുതിയ ക്രമീകരണം ഉണ്ടാകും. ഈ ക്രമീകരണം, സ്ക്രിപ്റ്റുകൾ, ഐഫ്രെയിമുകൾ എന്നിവ പോലെ ഇതിനകം ബ്ലോക്ക് ചെയ്‌തിട്ടുള്ള സമ്മിശ്ര ഉള്ളടക്കത്തിന് ബാധകമാകും, തടയൽ പ്രവർത്തനരഹിതമാക്കുന്നതിന് മുമ്പ് നിർദ്ദേശിച്ച സൂചകത്തിന് പകരമായി ലോക്ക് ചിഹ്നത്തിൽ ക്ലിക്കുചെയ്യുമ്പോൾ ഡ്രോപ്പ്-ഡൗൺ മെനുവിലൂടെ അഭ്യർത്ഥിക്കും.

ഫെബ്രുവരി 80-ന് നടക്കാനിരിക്കുന്ന Chrome 4, http:// എന്നതിനെ സ്വയമേവ https:// ലിങ്കുകൾ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്ന മൃദുവായ ശബ്‌ദ, വീഡിയോ തടയൽ സ്കീം നടപ്പിലാക്കും, പ്രശ്‌നകരമായ ഉറവിടം HTTPS വഴിയും ലഭ്യമാണെങ്കിൽ അത് പ്രവർത്തിക്കുന്നത് തുടരും. ഇമേജുകൾ ലോഡ് ചെയ്യുന്നത് തുടരും, എന്നാൽ https:// പേജുകളിൽ http:// വഴി ലോഡ് ചെയ്യുമ്പോൾ, മുഴുവൻ പേജിനും സുരക്ഷിതമല്ലാത്ത ഒരു കണക്ഷൻ ഇൻഡിക്കേറ്റർ ദൃശ്യമാകും. https-ലേക്ക് സ്വയം തിരുത്തുന്നതിനോ ഇമേജുകൾ തടയുന്നതിനോ സൈറ്റ് ഡെവലപ്പർമാർക്ക് അപ്‌ഗ്രേഡ്-സുരക്ഷിത-അഭ്യർത്ഥനകളും ബ്ലോക്ക്-എല്ലാ-മിക്സഡ്-ഉള്ളടക്ക CSP പ്രോപ്പർട്ടികളും ഉപയോഗിക്കാം. Chrome 81-ന്റെ മാർച്ച് 17-ന് റിലീസിൽ, മിക്സഡ് ഇമേജ് അപ്‌ലോഡുകൾ http://-ൽ നിന്ന് https://-ലേക്ക് സ്വയം ശരിയാക്കും.

കൂടാതെ, ഗൂഗിൾ പ്രഖ്യാപിച്ചു മുമ്പ്, ചോം ബ്രൗസറിന്റെ അടുത്ത റിലീസുകളിലൊന്നിലേക്ക് പുതിയ പാസ്‌വേഡ് പരിശോധന ഘടകം സംയോജിപ്പിക്കുന്നതിനെക്കുറിച്ച് വികസിപ്പിക്കുന്നു രൂപത്തിൽ ബാഹ്യ കൂട്ടിച്ചേർക്കൽ. ഉപയോക്താവ് ഉപയോഗിക്കുന്ന പാസ്‌വേഡുകളുടെ ദൃഢത വിശകലനം ചെയ്യുന്നതിനുള്ള ടൂളുകളുടെ സാധാരണ Chrome പാസ്‌വേഡ് മാനേജറിലേക്ക് സംയോജനം നയിക്കും. നിങ്ങൾ ഏതെങ്കിലും സൈറ്റിലേക്ക് ലോഗിൻ ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, പ്രശ്നങ്ങളുണ്ടായാൽ മുന്നറിയിപ്പ് നൽകിക്കൊണ്ട്, അപഹരിക്കപ്പെട്ട അക്കൗണ്ടുകളുടെ ഡാറ്റാബേസിൽ ലോഗിൻ, പാസ്വേഡ് എന്നിവ പരിശോധിക്കും. ഉപയോക്തൃ ഡാറ്റാബേസുകളുടെ ചോർച്ചയിൽ പ്രത്യക്ഷപ്പെട്ട 4 ബില്യണിലധികം അപഹരിക്കപ്പെട്ട അക്കൗണ്ടുകൾ ഉൾക്കൊള്ളുന്ന ഒരു ഡാറ്റാബേസിനെതിരെയാണ് പരിശോധന നടത്തുന്നത്. "abc123" പോലുള്ള നിസ്സാരമായ പാസ്‌വേഡുകൾ ഉപയോഗിക്കാൻ ശ്രമിക്കുമ്പോൾ ഒരു മുന്നറിയിപ്പും പ്രദർശിപ്പിക്കും (അതനുസരിച്ച് സ്ഥിതിവിവരക്കണക്കുകൾ ഗൂഗിൾ 23% അമേരിക്കക്കാരും സമാന പാസ്‌വേഡുകൾ ഉപയോഗിക്കുന്നു), അല്ലെങ്കിൽ ഒന്നിലധികം സൈറ്റുകളിൽ ഒരേ പാസ്‌വേഡ് ഉപയോഗിക്കുമ്പോൾ.

രഹസ്യസ്വഭാവം നിലനിർത്താൻ, ഒരു ബാഹ്യ API ആക്സസ് ചെയ്യുമ്പോൾ, ലോഗിൻ, പാസ്സ്‌വേർഡ് എന്നിവയുടെ സംയോജനത്തിൽ നിന്നുള്ള ഹാഷിന്റെ ആദ്യ രണ്ട് ബൈറ്റുകൾ മാത്രമേ കൈമാറുകയുള്ളൂ (ഹാഷിംഗിനായി അൽഗോരിതം ഉപയോഗിക്കുന്നു ആർഗോൺ2). ഉപയോക്താവ് സൃഷ്ടിച്ച കീ ഉപയോഗിച്ച് മുഴുവൻ ഹാഷും എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. ഗൂഗിൾ ഡാറ്റാബേസിലെ ഒറിജിനൽ ഹാഷുകളും അധികമായി എൻക്രിപ്റ്റ് ചെയ്തിട്ടുണ്ട്, കൂടാതെ ഹാഷിന്റെ ആദ്യ രണ്ട് ബൈറ്റുകൾ മാത്രമേ സൂചികയിലാക്കാൻ ശേഷിക്കുന്നുള്ളൂ. ട്രാൻസ്മിറ്റ് ചെയ്ത ടു-ബൈറ്റ് പ്രിഫിക്‌സിന് കീഴിൽ വരുന്ന ഹാഷുകളുടെ അന്തിമ സ്ഥിരീകരണം ക്രിപ്‌റ്റോഗ്രാഫിക് ടെക്‌നിക് ഉപയോഗിച്ച് ഉപയോക്തൃ ഭാഗത്ത് നടത്തുന്നു.അന്ധത“, അതിൽ പരിശോധിക്കപ്പെടുന്ന ഡാറ്റയുടെ ഉള്ളടക്കം ഇരു കക്ഷികൾക്കും അറിയില്ല. അനിയന്ത്രിതമായ പ്രിഫിക്‌സുകൾക്കായുള്ള അഭ്യർത്ഥനയോടെ ബ്രൂട്ട് ഫോഴ്‌സ് ഉപയോഗിച്ച് അപഹരിക്കപ്പെട്ട അക്കൗണ്ടുകളുടെ ഡാറ്റാബേസിന്റെ ഉള്ളടക്കം നിർണ്ണയിക്കുന്നതിൽ നിന്ന് പരിരക്ഷിക്കുന്നതിന്, നൽകിയിരിക്കുന്ന ഡാറ്റ എൻക്രിപ്റ്റുചെയ്‌ത ലോഗിൻ, പാസ്‌വേഡ് എന്നിവയെ അടിസ്ഥാനമാക്കി ജനറേറ്റ് ചെയ്യുന്ന കീയുമായി ബന്ധപ്പെട്ട്.

അവലംബം: opennet.ru