Facebook beschermt sinds gisteren alle gebruikers tegen afluisteren, aangezien al het verkeer met de sociale netwerksite voortaan standaard via HTTPS verloopt. De optie om HTTPS te gebruiken werd twee jaar geleden aangeboden. Gebruikers moesten echter zelf instellen dat ze Facebook via een beveiligde verbinding wilden bezoeken.

Na de introductie werd dit door meer dan een derde van de Facebookgebruikers ingesteld. Volgens software engineer Scott Renfro was het overschakelen naar HTTPS lastiger dan het op het eerste gezicht lijkt. "Het is niet alleen een kwestie van gebruikers doorsturen van http://www.facebook.com naar https://www.facebook.com."

Cookies
Zo moest een 'secure attribute' voor authenticatiecookies worden ingesteld. Standaard versturen browsers alle cookies, ook waar in staat vermeld dat de gebruiker is ingelogd, via een onbeveiligde request. Door middel van de secure attribute wordt dit via een HTTPS-verbinding gedaan. Daardoor zijn de cookies niet zichtbaar als een gebruiker een onbeveiligde link op Facebook bezoekt.

Een ander probleem was dat alle third-party platform-applicaties ook HTTPS moesten gebruiken. Ontwikkelaars van deze apps kregen 150 dagen de tijd om hun certificaten in orde te maken en hun applicatie naar HTTPS te upgraden.

Prestaties
Eén van de grootste uitdagingen bij het standaard inschakelen van HTTPS zijn de prestaties. Het vereist namelijk meer communicatie tussen de browser en Facebook-servers voor het opzetten van de verbinding. Zeker op locaties waar de verbinding al traag is, kan HTTPS voor een grote belasting zorgen. Facebook besloot in dit geval om de infrastructuur te upgraden en 'afgekorte handshakes' te gebruiken.

Hoewel HTTPS nu standaard staat ingeschakeld, is Facebook nog niet klaar. Zo wil de sociale netwerksite voor het einde van dit jaar op 2048-bit encryptiesleutels zijn overgestapt en cryptografie met behulp van elliptische krommen gaan gebruiken.

Pinning
Een andere toekomstig geplande verbetering is 'certificaat pinning'. Hierin wordt vastgelegd via welk Certificate Authority (CA) het SSL-certificaat van Facebook is uitgegeven. Als bijvoorbeeld een andere CA wordt gehackt en de aanvallers maken hier een Facebook SSL-certificaat aan, dan kunnen browsers dit herkennen.

Een andere optie die Facebook wil doorvoeren is HTTP Strict TransportSecurity (HSTS). Hierbij krijgen browser de instructie om alleen via HTTPS verbinding met de website te maken.

"Het standaard inschakelen van HTTPS is een droom die uitkomt", aldus Renfro. "We zijn echt blij met hoeveel van het Facebook-verkeer versleuteld is en kijken uit naar de toekomstige aanpassingen die we van plan zijn."