A empresa Google sobre a inclusão futura no Chrome 86 de proteção contra o envio inseguro de web forms. A proteção diz respeito a formulários exibidos em páginas carregadas via HTTPS, mas que enviam dados sem criptografia via HTTP, criando uma ameaça de interceptação e alteração de dados durante ataques MITM. Para esses web forms mistos, foram realizadas três mudanças:
- Desativado o preenchimento automático de quaisquer formulários mistos, semelhante ao que foi feito com o preenchimento automático de formulários de autenticação em páginas abertas via HTTP. Se anteriormente o critério para desativação era a abertura de uma página com o formulário via HTTPS ou HTTP, agora também será considerada a aplicação de criptografia ao enviar dados para o processador de formulário. O funcionamento do gerenciador de senhas, que permite o uso de senhas seguras e exclusivas, não será desativado para formulários mistos de autenticação, pois o risco de usar uma senha insegura e reutilizar senhas em diferentes sites supera o risco potencial de interceptação de tráfego.
- Ao começar a digitar em formulários mistos, será exibido um aviso informando o usuário sobre o envio de dados preenchidos por um canal de comunicação não criptografado.
- Ao tentar enviar um formulário misto, uma página separada será exibida com uma notificação sobre o risco potencial de transmissão de dados por um canal de comunicação não criptografado. Em versões anteriores, um indicador de cadeado na barra de endereços era usado para indicar formulários mistos, mas essa marcação não era óbvia para os usuários e não refletia efetivamente os riscos envolvidos.
Fonte: opennet.ru
