Google waarschuwt websites die inloggen via http aanbieden
Google heeft eigenaren van websites gewaarschuwd die gebruikers via het onbeveiligde http laten inloggen of creditcardbetalingen laten uitvoeren. Eind januari zal Chrome 56 deze websites namelijk als onveilig gaan bestempelen. Via de Google Search Console worden webmasters nu gewaarschuwd.
Dit is een dienst van Google waarmee webmasters kunnen zien hoe hun website wordt geïndexeerd en hoe goed zichtbaar die is. Webmasters die hun website voor deze dienst hebben opgegeven krijgen nu een bericht als ze onbeveiligde webpagina's aanbieden waar gebruikers hun wachtwoord of creditcardgegevens kunnen invoeren. Vervolgens worden tips gegeven hoe het probleem kan worden opgelost, laat Search Engine Land weten.
Volgens Google is de maatregel onderdeel van een plan om uiteindelijk alle http-websites op internet als onveilig te bestempelen. "Het inschakelen van https op je gehele website is belangrijk, maar als je website wachtwoorden, betaalgegevens of andere persoonlijke informatie verzamelt, is het essentieel om https te gebruiken. Zonder https kunnen kwaadwillenden deze vertrouwelijke gegevens stelen", waarschuwt Google webmasters via Google Plus.
Of de klant, en/of de verkoper is hardleers, onwetend of negeert het 'http-gevaar' onder het mom dat er nooit klachten zijn ofwel "het gaat toch altijd goed". Ja uitgezonderd die ene keer en dan zijn de poppen aan het dansen!
Twee weken terug heb ik nog meegemaakt dat ik een artikel wilde bestellen op een Nederlandse website, maar alle noodzakelijke informatie via http moest zenden.
Dit niet gedaan uiteraard en daarop per email uitgelegd het waarom, en of ik de bestelling per email kon doorgeven.
De dag erop werd ik gebeld door een medewerker van het bedrijf die mij vertelde dat zij deze klacht/opmerking nog nooit eerder hadden gehoord.
Kortom: Tijd dat browsers gaan ingrijpen!
Ga eens naar een willekeurige website en doe eens een scannetje hier: http://cyh.herokuapp.com/cyh
en kijk dan ook eens wat een security extensie als Recx Security Analyser v. 1.3.0.4 aangeeft aan niet gevolgde 'best practices' of alleen gedeeltelijk gevolgde 'best practices'. Blader ook eens door de https everywhere atlas.
Iets anders, doe ook eens een scan hier: https://sritest.io/ of via https://observatory.mozilla.org/
Ik durf keihard te bewerken dat 60% van alle sites niet aan de vereiste beveiligingseisen voldoet, ofwel aan de kant van het website client beheer of aan de kant van de hoster of aan de kant van de cdn (i.e. clouddienst e.d.).
Warom laat men dit toe? Alleen omdat het geld kost. Omdat het perse voor bepaalde doeleinden onveilig gehouden moet worden (commercie en surveillance) of omdat de benodigde kennis ten enen male ontbreekt bij die die de veiligheid moeten handhaven. Ik zie geen verbetering,
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
