Google Chrome tự động nâng cấp để kết nối an toàn cho tất cả người dùng
Google đã thực hiện một bước quan trọng nhằm tăng cường bảo mật Internet của Chrome bằng cách tự động nâng cấp các yêu cầu HTTP không an toàn lên các kết nối HTTPS cho toàn bộ người dùng.
Tính năng nâng cấp mới
Theo các kỹ sư của Google, tính năng này được gọi là “HTTPS-Upgrades” và sẽ bảo mật các liên kết cũ sử dụng HTTP bằng cách tự động kết nối với URL trước tiên qua giao thức HTTPS được mã hóa.
Ví dụ: nếu một trang web có liên kết như http://www.example.com thì Chrome sẽ thay đổi liên kết đó thành https://www.example.com trước khi điều hướng. Điều này buộc các kết nối thông qua giao thức HTTPS an toàn hơn, giao thức này mã hóa lưu lượng truy cập và ngăn chặn việc tấn công giả mạo. Quá trình nâng cấp diễn ra liền mạch trong nền, do đó người dùng sẽ không nhận thấy bất kỳ thay đổi nào ngoại trừ việc chuyển URL từ giao thức này sang giao thức khác.
Việc triển khai có giới hạn tính năng này trong Google Chrome đã bắt đầu vào tháng 7 nhưng kể từ ngày 16/10, Google hiện đã triển khai tính năng này cho tất cả người dùng trên bản phát hành Stable (đây là phiên bản mà nhóm phát triển của Chrome khuyến nghị người dùng cài đặt).
HTTPS-Upgrades là một tính năng của Google Chrome tự động nâng cấp tất cả điều hướng mainframe lên HTTPS. Trước đây, các trình duyệt thường đưa ra các yêu cầu HTTP không an toàn tới các trang web có khả năng hỗ trợ HTTPS.
Cho dù đó là do người dùng nhấp vào liên kết cũ hay do nội dung trên trang web chưa được nâng cấp để sử dụng giao thức mới, thì các kết nối qua giao thức HTTP đều không được mã hóa và có thể bị các tác nhân đe dọa “rình rập” để đánh cắp thông tin xác thực hoặc dữ liệu nhạy cảm khác.
Google cho biết điều này cũng có thể xảy ra bằng cách tải tài nguyên HTTP từ:
-
Người dùng điều hướng đến một trang web bằng HSTS (HTTP Strict Transport Security) lần đầu tiên.
-
Truy cập một trang web mặc định sử dụng HTTPS nhưng không sử dụng HSTS.
-
Truy cập trang web hỗ trợ cả HTTPS và HTTP mà không tự động chuyển hướng sang HTTPS.
Trong mỗi trường hợp, quyền riêng tư và bảo mật của người dùng đều bị xâm phạm thông qua các kết nối không an toàn không cần thiết.
Các phương pháp hiện có để thực thi HTTPS, chẳng hạn như danh sách tải trước HSTS hoặc danh sách nâng cấp được quản lý thủ công, đều có những hạn chế. Chúng liên quan đến các thiết lập phức tạp và rủi ro hoặc phục vụ cho một phạm vi trang web hạn chế. Ngoài ra, việc duy trì danh sách cập nhật các trang web được hỗ trợ HTTPS có thể gặp khó khăn và tốn nhiều băng thông.
Google đang khắc phục các sự cố bảo mật với bản nâng cấp HTTP
Với bản cập nhật này, Chrome đặt mục tiêu tự động nâng cấp các liên kết HTTP trong trang lên HTTPS, triển khai cơ chế dự phòng nhanh chóng thành HTTP nếu cần. Việc nâng cấp tác động đến nhiều khía cạnh khác nhau của việc duyệt web:
-
Nó bị giới hạn trong các điều hướng trên mainframe.
-
Điều hướng được bắt đầu thông qua thanh URL hoặc JavaScript đủ điều kiện để nâng cấp.
-
Việc nâng cấp chỉ ảnh hưởng đến các yêu cầu bình thường như GET.
-
Chuyển hướng tới HTTP từ điều hướng HTTPS ban đầu cũng được nâng cấp.
Một số ít trang web vẫn phân phối nội dung khác nhau qua HTTP và HTTPS. Google thừa nhận việc nâng cấp những thứ đó có thể gây ra sự cố, mặc dù HTTPS tự động vẫn riêng tư hơn HTTP mặc định. Tác động của điều này đến người dùng sẽ trở nên rõ ràng hơn khi tính năng này được triển khai rộng rãi hơn.
Hiện tại, thay đổi này có nghĩa là người dùng Chrome sẽ tự động được tăng cường bảo mật khi duyệt web. Theo thời gian, nó cũng có thể thúc đẩy nhiều trang web hơn hỗ trợ HTTPS đúng cách để tránh các vấn đề hạ cấp.
Với xu hướng đánh dấu các trang HTTP là “Not secure”, nâng cấp này là một biện pháp chủ động để bảo vệ người dùng, đặc biệt là trên các trang web khó có thể được cập nhật lên HTTPS.
Theo Tạp chí An toàn thông tin
