Chrome ostrzeże przed wejściem na strony HTTP. Zmiana właśnie trafia do wszystkich
By Paweł Lisowski
Spis treści
Google włączyło domyślnie w Chrome funkcję „Zawsze używaj bezpiecznych połączeń”. Przeglądarka próbuje najpierw otworzyć stronę przez HTTPS, a jeśli witryna obsługuje wyłącznie starszy protokół HTTP, pyta użytkownika o zgodę przed nawiązaniem połączenia.
To istotna różnica względem dotychczasowego komunikatu „Niezabezpieczona”. Taki komunikat pojawiał się dopiero po otwarciu strony, więc nie dawał możliwości uniknięcia wcześniejszego połączenia. Google wyjaśnia, że niezabezpieczony ruch HTTP może ułatwić przechwycenie danych, podmianę treści, phishing albo dostarczenie złośliwego kodu. Firma opisuje zmianę na swoim blogu bezpieczeństwa.
Ostrzeżenie nie będzie pojawiać się przy każdej wizycie
Chrome poprosi o decyzję przy pierwszym wejściu na daną stronę HTTP. Jeśli użytkownik zaakceptuje połączenie, przeglądarka nie powinna ponownie ostrzegać o tej samej witrynie, dopóki nie miną co najmniej dwa tygodnie od ostatniej wizyty. Dzięki temu funkcja ma chronić przed przypadkowym połączeniem, ale nie zamieniać codziennego przeglądania w serię powtarzających się komunikatów.
Google podaje, że w trakcie wczesnego wdrożenia prawie 95 procent użytkowników Chrome na komputerach nie zobaczyło w ciągu tygodnia żadnego ostrzeżenia HTTP, a mniej niż 1 procent otrzymał ich trzy lub więcej. Na urządzeniach mobilnych ostrzeżenia pojawiały się jeszcze rzadziej.
Co z routerem i firmowym intranetem?
Domyślna wersja ustawienia dotyczy publicznych stron. Chrome nie pokazuje ostrzeżeń dla części adresów prywatnych, których nie da się łatwo zabezpieczyć publicznie zaufanym certyfikatem, na przykład lokalnego adresu routera 192.168.0.1 albo krótkiej nazwy intranetowej intranet/. W takich przypadkach potencjalny napastnik musiałby zwykle znajdować się w tej samej sieci lokalnej.
Ustawienie można znaleźć w sekcji Ustawienia > Prywatność i bezpieczeństwo > Bezpieczeństwo > Zawsze używaj bezpiecznych połączeń. Google przewiduje dwa warianty: ostrzeganie tylko przed publicznymi stronami albo także przed adresami prywatnymi. W razie potrzeby funkcję można wyłączyć, choć bezpieczniejszym rozwiązaniem jest pozostawienie jej aktywnej i traktowanie ostrzeżenia jako sygnału, by nie wpisywać na stronie HTTP haseł ani danych płatniczych.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.