Google ратует за тотальное шифрование Интернета
Специалисты по безопасности Chrome в этом месяце выступили с предложением о том, чтобы все веб-сайты, не шифрующие трафик, обозначались браузерами, как незащищенные.
В настоящее время такие сайты, домену которых предшествует HTTP, не сопровождаются специальными визуальными индикаторами на адресной строке браузера. Названия с префиксом HTTPS, соответствующие веб-ресурсам, закодированным SSL (Secure Socket Layer) или сменяющим его TLS (Transport Security Layer), обозначаются в ряде случаев значком замка.
«Мы, коллектив безопасности Chrome, предлагаем чтобы пользовательские агенты (user agents, UA) постепенно сменили свои UX (User eXperience) на недвусмысленно отображающие небезопасные источники как таковые», — говорится в сообщениях, размещенных на нескольких дискуссионных форумах, в том числе посвященном собственному проекту Google Chromium.
Цель данного предложения — более явно донести до пользователей, что HTTP не обеспечивает защиты данных. «Люди обычно не осознают отсутствия предупреждающего знака. И тем не менее, веб-браузеры гарантированно не предостерегают пользователей именно в той ситуации, когда они лишены защиты: когда исходные данные пересылаются через HTTP».
Google видит эту реформу как последовательный процесс. Сначала, в 2015 г., HTTP- адреса должны отмечаться метками браузера как «сомнительные» и лишь затем — как небезопасные. То, как это будет делаться — используя цвет или пиктограммы — предполагается оставить на усмотрение разработчиков каждого браузера.
На каком-то этапе специальные обозначения для HTTPS исчезнут — зашифрованный трафик станет нормой.
Новый шаг является логичным для компании Google, которая активно продвигает HTTPS в собственных продуктах, включая поисковый механизм и Gmail. В августе, она предупредила, что может занижать поисковый рейтинг тех веб-сайтов, которые не шифруют соединения посредством TLS.
Данная инициатива встретила поддержку со стороны Mozilla, однако инженер по безопасности этого проекта Ричард Барнс (Richard Barnes) считает, что с реализацией ее не следует торопиться: «Вводить в обращение такой индикатор сейчас нецелесообразно, потому что он будет появляться слишком часто».
Следует отметить, что пока не только небольшие сайты, но и многие крупные ресурсы, такие как microsoft.com или apple.com не используют HTTPS, ограничивая его применение только онлайновыми магазинами и сервисами, наподобие Outlook.com и iCloud.