Google heeft webbrowserontwikkelaars voorgesteld om de praktijk van het blokkeren van de download van gevaarlijke bestandstypen in te voeren, in gevallen waarin de pagina die de download linkt geopend is via HTTPS, maar de download wordt gestart zonder encryptie via HTTP.
Het probleem is dat er tijdens de download geen beveiligingsindicator is; het bestand wordt gewoon op de achtergrond gedownload. Wanneer een dergelijke download wordt gestart vanaf een pagina die geopend is via HTTP, wordt de gebruiker al gewaarschuwd in de adresbalk over de onveiligheid van de site. Maar als de site geopend is via HTTPS, is er een indicator van een beveiligde verbinding in de adresbalk, waardoor de gebruiker een valse indruk van veiligheid kan krijgen over de start van de download, die via HTTP plaatsvindt, terwijl de inhoud kan zijn vervormd als gevolg van kwaadwillige activiteiten.
Er wordt voorgesteld om bestanden met extensies zoals exe, dmg, crx (Chrome-extensies), zip, gzip, rar, tar, bzip en andere populaire archiefformaten te blokkeren, die als bijzonder risicovol worden beschouwd en meestal worden gebruikt voor de verspreiding van malware. Google is van plan om de voorgestelde blokkering alleen in de desktopversie van Chrome toe te voegen, omdat in Chrome voor Android al een blokkering van verdachte APK-pakketten is gerealiseerd via Safe Browsing.
Vertegenwoordigers van Mozilla hebben het voorstel met belangstelling ontvangen en hebben hun bereidheid uitgesproken om in deze richting te bewegen, maar hebben voorgesteld om meer gedetailleerde statistieken te verzamelen over de mogelijke negatieve impact op bestaande downloadsystemen. Sommige bedrijven hanteren bijvoorbeeld onveilige downloads van beveiligde sites, maar de dreiging van compromittering wordt weggehaald door bestanden te verifiƫren met een digitale handtekening.
Bron: opennet.ru
