Chrome ले HTTPS पृष्ठहरूमा HTTP स्रोतहरू अवरुद्ध गर्न र पासवर्डहरूको बल जाँच गर्न थाल्नेछ

गूगल चेतावनी दिए HTTPS मार्फत खोलिएका पृष्ठहरूमा मिश्रित सामग्री प्रशोधन गर्ने दृष्टिकोण परिवर्तन गर्ने बारे। पहिले, यदि HTTPS मार्फत खोलिएको पृष्ठहरूमा कम्पोनेन्टहरू थिए जुन इन्क्रिप्शन बिना लोड गरिएको थियो (http:// प्रोटोकल मार्फत), एक विशेष सूचक प्रदर्शन गरिएको थियो। भविष्यमा, पूर्वनिर्धारित रूपमा त्यस्ता स्रोतहरूको लोडिङ रोक्ने निर्णय गरिएको छ। यसरी, "https://" मार्फत खोलिएका पृष्ठहरूमा सुरक्षित सञ्चार च्यानल मार्फत डाउनलोड गरिएका स्रोतहरू मात्र समावेश हुने ग्यारेन्टी गरिनेछ।

यो नोट गरिएको छ कि हाल 90% भन्दा बढी साइटहरू क्रोम प्रयोगकर्ताहरूले HTTPS प्रयोग गरेर खोलेका छन्। संचार च्यानल (उदाहरणका लागि, खुला Wi-Fi मार्फत जडान गर्दा) मा नियन्त्रण छ भने एन्क्रिप्शन बिना लोड गरिएको इन्सर्टहरूको उपस्थितिले असुरक्षित सामग्रीको परिमार्जन मार्फत सुरक्षा खतराहरू सिर्जना गर्दछ। मिश्रित सामग्री सूचक अप्रभावी र प्रयोगकर्तालाई भ्रामक भएको पाइयो, किनकि यसले पृष्ठको सुरक्षाको स्पष्ट मूल्याङ्कन प्रदान गर्दैन।

हाल, सबैभन्दा खतरनाक प्रकारका मिश्रित सामग्रीहरू, जस्तै स्क्रिप्ट र iframes, पहिले नै पूर्वनिर्धारित रूपमा अवरुद्ध छन्, तर छविहरू, अडियो फाइलहरू र भिडियोहरू अझै पनि http:// मार्फत डाउनलोड गर्न सकिन्छ। छवि स्पूफिङको माध्यमबाट, आक्रमणकारीले प्रयोगकर्ता ट्र्याकिङ कुकीहरू प्रतिस्थापन गर्न सक्छ, छवि प्रोसेसरहरूमा कमजोरीहरूको शोषण गर्ने प्रयास गर्न सक्छ, वा छविमा प्रदान गरिएको जानकारी प्रतिस्थापन गरेर जालसाजी गर्न सक्छ।

अवरुद्धको परिचय धेरै चरणहरूमा विभाजित छ। क्रोम 79, डिसेम्बर 10 को लागि निर्धारित, एक नयाँ सेटिङ फिचर गर्नेछ जसले तपाईंलाई विशेष साइटहरूको लागि ब्लकिङ असक्षम गर्न अनुमति दिनेछ। यो सेटिङ पहिले नै ब्लक गरिएको मिश्रित सामग्रीमा लागू हुनेछ, जस्तै स्क्रिप्ट र iframes, र मेनु मार्फत कल गरिनेछ जुन ड्रप डाउन जब तपाइँ लक प्रतीकमा क्लिक गर्नुहुन्छ, ब्लकिङ असक्षम गर्नको लागि अघिल्लो प्रस्तावित सूचक प्रतिस्थापन।

क्रोम 80, जुन फेब्रुअरी 4 मा अपेक्षित छ, अडियो र भिडियो फाइलहरूका लागि सफ्ट ब्लकिङ योजना प्रयोग गर्नेछ, https:// सँग http:// लिङ्कहरूको स्वचालित प्रतिस्थापनलाई संकेत गर्दछ, जसले समस्याग्रस्त स्रोत HTTPS मार्फत पनि पहुँचयोग्य छ भने कार्यक्षमता सुरक्षित गर्नेछ। । छविहरू परिवर्तन बिना लोड गर्न जारी रहनेछ, तर यदि http:// मार्फत डाउनलोड गरियो भने, https:// पृष्ठहरूले सम्पूर्ण पृष्ठको लागि असुरक्षित जडान सूचक प्रदर्शन गर्नेछ। स्वतः https मा परिवर्तन गर्न वा छविहरू ब्लक गर्न, साइट विकासकर्ताहरूले CSP गुणहरू अपग्रेड-असुरक्षित-अनुरोधहरू र ब्लक-सबै-मिश्रित-सामग्री प्रयोग गर्न सक्षम हुनेछन्। क्रोम 81, मार्च 17 को लागि निर्धारित, मिश्रित छवि अपलोडहरूको लागि http:// मा https:// मा स्वत: सुधार हुनेछ।

साथै, गुगल घोषणा गरियो नयाँ पासवर्ड चेकअप कम्पोनेन्टको Chome ब्राउजरको अर्को रिलीज मध्ये एकमा एकीकरणको बारेमा, पहिले विकास गर्दै फारममा बाह्य थप। एकीकरणले प्रयोगकर्ताद्वारा प्रयोग गरिएका पासवर्डहरूको विश्वसनीयताको विश्लेषण गर्न उपकरणहरूको नियमित क्रोम पासवर्ड प्रबन्धकमा देखा पर्नेछ। जब तपाइँ कुनै पनि साइटमा लग इन गर्ने प्रयास गर्नुहुन्छ, तपाइँको लगइन र पासवर्ड सम्झौता खाताहरूको डाटाबेस विरुद्ध जाँच गरिनेछ, यदि समस्याहरू फेला परेमा एक चेतावनी प्रदर्शित हुन्छ। चेक लिक भएको प्रयोगकर्ता डाटाबेसमा देखा परेका 4 अरब भन्दा बढी सम्झौता खाताहरू कभर गर्ने डाटाबेस विरुद्ध गरिन्छ। यदि तपाईँले "abc123" (द्वारा तथ्या .्क गुगल 23% अमेरिकीहरूले समान पासवर्डहरू प्रयोग गर्छन्), वा धेरै साइटहरूमा एउटै पासवर्ड प्रयोग गर्दा।

गोपनीयता कायम राख्न, बाह्य API पहुँच गर्दा, लगइन र पासवर्डको ह्यासको पहिलो दुई बाइटहरू मात्र प्रसारण गरिन्छ (ह्यासिङ एल्गोरिदम प्रयोग गरिन्छ। Argon2)। पूर्ण ह्यास प्रयोगकर्ताको छेउमा उत्पन्न गरिएको कुञ्जीसँग इन्क्रिप्ट गरिएको छ। गुगल डाटाबेसमा मूल ह्यासहरू पनि थप रूपमा इन्क्रिप्टेड छन् र अनुक्रमणिकाको लागि ह्यासको पहिलो दुई बाइटहरू मात्र बाँकी छन्। हस्तान्तरण गरिएको दुई-बाइट उपसर्ग अन्तर्गत पर्ने ह्यासहरूको अन्तिम प्रमाणीकरण क्रिप्टोग्राफिक टेक्नोलोजी प्रयोग गरेर प्रयोगकर्ताको पक्षमा गरिन्छ।अन्धोपन", जसमा कुनै पनि पक्षलाई जाँच गरिँदै आएको डाटाको सामग्री थाहा छैन। स्वेच्छाचारी उपसर्गहरूको लागि अनुरोधको साथ ब्रूट फोर्स द्वारा निर्धारण गरिएको सम्झौता खाताहरूको डाटाबेसको सामग्रीहरूबाट जोगाउन, लगइन र पासवर्डको प्रमाणित संयोजनको आधारमा उत्पन्न गरिएको कुञ्जीसँग ट्रान्समिट गरिएको डाटा इन्क्रिप्ट गरिएको छ।

स्रोत: opennet.ru