Команда ИБ-экспертов Chromium разрабатывает план, в соответствии с которым пользователи будут получать информацию о том, что протокол HTTP не гарантирует им никакой безопасности.
В Google предсказывают, что однажды HTTPS-соединения станут настолько распространенными, что их не надо будет помечать соответствующим значком – так же, как HTTP сегодня.
В блоге Chromium Projects ИБ-команда Chromium предлагает, чтобы с течением времени строка программного агента User Agent (UA) в веб-интерфейсе постепенно применяла новую маркировку сайтов таким образом, чтобы небезопасные сайты имели видимую отметку «небезопасное соединение». Предполагаемые изменения будут, скорее всего, заключаться в появлении особых индикаторов для адресной строки в браузерах.
Такие предупреждения, по замыслу разработчиков, должны быть похожи на существующие индикаторы, которые, наоборот, используются для обозначения безопасных сайтов с поддержкой HTTPS, но при этом иметь противоположное предназначение, то есть уведомлять о том, что соединение с веб-сайтом, почтовым сервисом или другим ресурсом незащищено.
Айван Ристич (Ivan Ristic), автор исследовательского проекта SSL Labs и книги Bulletproof SSL and TLS, поддерживает решение Google и утверждает, что это шаг в правильном направлении.
«Текущее состояние, при котором сайты по умолчанию не используют шифрование, и только некоторые ресурсы предлагают защищенное соединение как опцию, не способствует повышенной безопасности, и необходимо менять сложившийся порядок, – сказал Ристич. – Необходимая степень безопасности достижима только тогда, когда шифрование используется для 100% трафика. При частичном шифровании возникает столько подводных камней, что обеспечить безопасность надлежащим образом не представляется возможным. Но, конечно, такие масштабные цели недостижимы за короткий срок. Нам предстоит предпринять ряд небольших шагов, понемногу осваивая незащищенные интернет-соединения, стремясь к применению шифрования ко всем сайтам в интернете».
Google предлагает разделить UA-соединения на три класса в соответствии с уровнем безопасности TLS: безопасное, имеющее валидный HTTPS-сертификат; сомнительное, имеющее валидный HTTPS-сертификат, но также характеризующееся наличием как безопасных, так и небезопасных пассивных соединений, либо же располагающее HTTPS-сертификатом с незначительными ошибками соединения по TLS; небезопасное (недействительный HTTPS-сертификат или обычное HTTP-соединение).
Google предлагает участникам отрасли внедрять изменения постепенно. Например, в среднесрочной перспективе можно относить сомнительные и небезопасные соединения к одной группе и только потом классифицировать HTTP-соединения как недоверенные, что можно планировать в долгосрочной перспективе.
«Наша главная задача – обеспечить безопасность всех коммуникаций в интернете, чтобы они были конфиденциальными, предлагали аутентификацию, исключали стороннее вмешательство, – пишут эксперты из ИБ-команды Chromium. – Если безопасность данных на соединении не может быть гарантирована, пользователи должны знать об этом и принимать соответствующие решения».
