Google wil HTTP als onveilig in Chrome weergeven
Als het aan Google ligt zullen straks alle internetgebruikers die een website bezoeken die over HTTP wordt aangeboden te zien krijgen dat deze website niet veilig is. Het Chrome Security Team heeft namelijk een voorstel gedaan om de "gebruikerservaring" bij het bezoeken van HTTP-websites in alle browsers aan te passen. Op deze manier wil Google dat het duidelijker voor gebruikers wordt dat gegevens die over HTTP worden uitgewisseld niet zijn beveiligd.
Volgend jaar gaat Google daarom een plan opstellen om deze overstap in ieder geval binnen Chrome te realiseren. "We moeten allemaal veilig data op het web kunnen uitwisselen. Als er geen dataveiligheid is moet de browser dit expliciet weergeven, zodat gebruikers een geïnformeerde beslissing kunnen maken over hoe ze willen verdergaan", aldus het voorstel.
Beveiligingsniveaus
Volgens het Chrome Security Team zijn er drie beveiligingsniveaus voor websites. Het eerste niveau is veilig, in het geval de website volledig over HTTPS wordt aangeboden. Het tweede niveau is dubieus, als er een geldig SSL-certificaat voor het HTTPS-gedeelte wordt gebruikt, maar er bijvoorbeeld TLS-fouten zijn of er passieve content over HTTP wordt aangeboden. Als laatste is er nog onveilig, in het geval de website over HTTP wordt aangeboden of een ongeldig HTTPS-certificaat of verkeerde implementatie gebruikt.
De opstellers van het voorstel merken op dat mensen over het algemeen de afwezigheid van waarschuwingssignalen niet opvangen. "De enige situatie waarin browsers gebruikers gegarandeerd niet zullen waarschuwen is precies als er geen enkele kans op veiligheid is: als de website via HTTP wordt aangeboden." Het Chrome Security Team roept browserontwikkelaars dan ook op, als ze het met het voorstel eens zijn, om te kijken hoe ze de benodigde aanpassingen kunnen doorvoeren. Google adviseert een gefaseerde aanpak om HTTP-sites langzaam als onveilig weer te geven.
Het bezoeken van bijvoorbeeld de website van het weerbericht, waar je geen enkele gevoelige informatie mee uitwisselt, dient dus als ''onveilig'' ervaren te worden ? Niet met iedere website wordt gevoelige informatie uitgewisseld. En het gebruik van HTTPS is dan ook niet altijd relevant.
Het bezoeken van bijvoorbeeld de website van het weerbericht, waar je geen enkele gevoelige informatie mee uitwisselt, dient dus als ''onveilig'' ervaren te worden ? Niet met iedere website wordt gevoelige informatie uitgewisseld. En het gebruik van HTTPS is dan ook niet altijd relevant.
Is the wrong answer...
Privacy is er toch al niet meer hij deze gigant. Dus waarom andere websites flsggen als onveilig. Een website hoeft niet per se https te hebben om veilig te zijn. Tenzij je een doelwit bent of shit doet die niet legaal is.. Of je een open hotspot gebruikt. Wat dus super stom zou zijn...
Dank voor je beoordeling van mijn reactie. Kan je deze ook nog inhoudelijk onderbouwen ? Denk je dat, ongeacht het risico, HTTPS voor iedere website nodig is ? Ook al wissel je geen enkele vertrouwelijke informatie uit met die website ? Of zou een risk assessment, om te bepalen welke mate van beveiliging nodig is, ook nut hebben ?
Indien je mijn reactie als ''fout'' aanmerkt, dan kan je dat vast ook wel onderbouwen.
het probleem is niet dat het een gerbuiker zal afschrikken, een gebruiker zal het binnen no time als gewoon ervaren!. 2 misschien 3 keer is het wat is dat, en verder met OK klik. en zo waar mist het zijn doel.
voor ons (iets bewustere internet gebruikers) zullen het handig vinden. rood owh ik moet niet inloggen.
groen it's time to post!
hopelijk maar waarschijnlijk niet (snel) zet het beheerdere/organisaties aan het denken https te gaan gebruiken
Waar blijft je korte howto van beide besturingssystemen? Praatjes vullen geen gaatjes ..
Of ik pas het antwoord op je DNS request aan en stuur je naar mijn exploitkit. Jij merk niks want met http heb je geen zekerheid met wie je communiceert!
Je wil weten met wie je praat. Als dat is vastgesteld wil je zeker weten dat de content die je krijgt niet onder weg is aangepast!
https://addons.mozilla.org/en-US/firefox/addon/calomel-ssl-validation/
https://addons.mozilla.org/en-US/firefox/addon/safe/
Tja, en je vertrouwt een compromised website wel, wanneer je er met HTTPS naar toe kan verbinden ? ;))
Of ik pas het antwoord op je DNS request aan en stuur je naar mijn exploitkit. Jij merk niks want met http heb je geen zekerheid met wie je communiceert!
Je wil weten met wie je praat. Als dat is vastgesteld wil je zeker weten dat de content die je krijgt niet onder weg is aangepast!
Goed punt, die had ik zo niet op mijn vizier staan.
(Gisteren, 20:56 door Anoniem)
Tja, en je vertrouwt een compromised website wel, wanneer je er met HTTPS naar toe kan verbinden ? ;))
Een andere punt waarom je nog HTTPS op alle sites zou willen is dat anders je ISP je headers kan aanpassen:
https://www.eff.org/deeplinks/2014/11/verizon-x-uidh
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
