כרום מפסיק לסמוך על HTTP: הדפדפן הנפוץ בעולם יבקש אישור לפני כל אתר לא מוצפן
עד עכשיו, מי שנכנס לאתר לא מוצפן בכרום קיבל לכל היותר תווית קטנה של "לא מאובטח" בשורת הכתובת, אחרי שהחיבור כבר נוצר והמידע כבר עבר ברשת. גוגל משנה את הסדר הזה. ההגדרה "השתמש תמיד בחיבורים מאובטחים" הופעלה כברירת מחדל לכל משתמשי כרום, במחשב ובנייד, ומעכשיו הדפדפן מנסה קודם להתחבר ב-HTTPS. אם האתר הציבורי אינו תומך בכך, יופיע מסך שמבקש מהמשתמש אישור לפני שהחיבור הלא מוצפן יוצא לדרך.
המהלך הוכרז מראש ונבנה בשלבים. בשלב הראשון ההגדרה הופעלה למשתמשי מצב ההגנה המשופרת של Safe Browsing, קבוצה שגוגל מעריכה ביותר ממיליארד משתמשים, ועכשיו היא מגיעה לכולם. מבחינה מעשית ההבדל משמעותי. התווית הישנה הופיעה בדיעבד, ובהפניות קצרות בין אתרים היא כמעט לא הוצגה, גם כשהמידע של המשתמש היה חשוף. אזהרה שמופיעה לפני החיבור נותנת הזדמנות לעצור.
הסיכון ב-HTTP פשוט להבנה: הנתונים עוברים כטקסט גלוי, וכל מי שנמצא באמצע הדרך, למשל ברשת Wi-Fi ציבורית, יכול לקרוא אותם או להחדיר לדף תוכן זדוני. גוגל מונה בין הסכנות נוזקות, פישינג וציתות. הנושא הפך לרגיש עוד יותר בתקופה שבה כלי AI מאתרים חולשות במהירות, כפי שקרה עם פרצת PHP שמאיימת על מיליוני אתרים, והתוקפים נעזרים באותם כלים.
כדי שהאזהרות לא יהפכו למטרד, גוגל הכניסה כמה הקלות. המשתמש מאשר אתר HTTP בפעם הראשונה, והדפדפן לא יזהיר שוב כל עוד הוא חוזר אליו לפחות פעם בשבועיים. אזהרות גם לא יוצגו לכתובות פנימיות שאין להן אפשרות לקבל תעודת אבטחה ציבורית, כמו מסך ההגדרות של הנתב הביתי בכתובת 192.168.0.1 או שמות מקומיים ברשת ארגונית. מי שמתעקש יכול לכבות את ההגדרה בתפריט הפרטיות והאבטחה.
הנתונים המוקדמים של גוגל מראים שרוב המשתמשים כמעט לא ירגישו בשינוי. כ-95% ממשתמשי כרום במחשב לא נתקלים באזהרת HTTP אחת במהלך שבוע, ופחות מ-1% רואים שלוש אזהרות או יותר. בנייד השיעורים נמוכים עוד יותר. המספרים האלה משקפים את המעבר הרחב של הרשת להצפנה בעשור האחרון, בין השאר בזכות תעודות אבטחה חינמיות שהוזילו את התהליך לכמעט אפס.
מי שעשוי להרגיש את השינוי הם בעלי אתרים קטנים, מערכות ותיקות של רשויות ומוסדות, וארגונים שמפעילים אתרים פנימיים בכתובות ציבוריות. מבחינתם, מסך אזהרה לפני הכניסה עלול להבריח גולשים ולפגוע במכירות, הרבה יותר מתווית קטנה שאיש לא שם לב אליה. גוגל ממליצה למפתחים ולמנהלי מערכות להפעיל את ההגדרה בעצמם ולבדוק אילו דפים מפעילים אזהרה, וארגונים שמנהלים את כרום באופן מרכזי יכולים להתאים את ההתנהגות למדיניות שלהם.
לגוגל של אלפאבית יש כאן כוח שוק ברור. כרום מחזיק ברוב שוק הדפדפנים, ולכן שינוי בברירת המחדל שלו פועל בפועל כמעין תקן לכל הרשת. החברה מציינת שהיא הדפדפן הראשון שמבצע את הצעד ומקווה שאחרים יצטרפו. אם ספארי של אפל ואדג' של מיקרוסופט יאמצו מדיניות דומה, לאתרים שעדיין עובדים בלי הצפנה כמעט לא תישאר ברירה.
המהלך מצטרף לשורה של צעדים שבהם ספקיות הדפדפנים ומערכות ההפעלה משתמשות במעמדן כדי לכפות אבטחה, מהגבלת עוגיות צד שלישי ועד אימות חזק יותר בכניסה לחשבונות. במקביל, שוק אבטחת המידע ממשיך למשוך הון, וחברות כמו מייב סקיוריטי, שמגייסת לסוכני AI שחוקרים תקיפות, מנסות לנצל את הביקוש. לאתר שעדיין מציג HTTP, ההוצאה הנדרשת קטנה בדרך כלל, והמחיר של דחייה עשוי להתבטא בתנועה שנעלמת במסך האזהרה.
להרחבה:
ה-AI משנה את עולם הסייבר: פרצת PHP חדשה מאיימת על מיליוני אתרים
- גוגל ואמזון פותחות את PyTorch לשבבים שלהן
- הכרטיס נדחה וההעברה תקועה: תקלה רחבה ברבולוט, ושיבוש בענן של גוגל
34 מיליון דולר תוך שנה: מייב סקיוריטי מגייסת לסוכני AI שחוקרים תקיפות
