Aktualizacja Firefoksa będzie domagać się bezpieczeństwa dla pewnych domen

Mozilla wprowadziła wstępnie załadowaną listę domen dla Firefoksa, które można bezpiecznie podłączyć tylko w celu ochrony prywatności i bezpieczeństwa użytkowników.

Aby wymusić Bezpieczne połączenia między przeglądarką a serwerem, Mozilla używa HSTS (HTTP Strict Transport Security), mechanizmu używanego przez serwery, aby wskazać, że łącząca się przeglądarka musi korzystać z bezpiecznego połączenia, napisał w poście na blogu Davida Keelera Mozilli.

Kiedy przeglądarka łączy się z serwerem HSTS po raz pierwszy, jednak przeglądarka nie wie, czy powinna używać bezpiecznego połączenia, ponieważ nigdy nie otrzymała nagłówka HSTS od tego hosta. "W związku z tym aktywny atakujący sieci może uniemożliwić bezpieczną łączność przeglądarki (a co gorsza, użytkownik może nigdy nie zdawać sobie sprawy, że coś jest nie tak)", napisał Keeler, dodając, że konfiguracja połączenia w ten sposób nadal może być narażona na ataki.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]

W celu obejścia tego problemu Mozilla dodała listę do Firefoksa z domenami, które przeglądarka powinna tylko domyślnie łączyć się bezpiecznie.

"Kiedy użytkownik łączy się z jednym z tych hostów po raz pierwszy, przeglądarka będzie wiedziała, że ​​musi korzystać z bezpiecznego połączenia.Jeśli atakujący sieci uniemożliwia bezpieczne połączenia z serwerem, przeglądarka nie będzie próbowała łączyć się za pomocą niezabezpieczonego protokołu, utrzymując w ten sposób bezpieczeństwo użytkownika, "Keeler powiedział.

Lista została zaszczepiona przez domeny z wstępnie załadowanej listy HSTS Chrome, która ma podobną funkcję do Mozilli. Chrome Google wymusza bezpieczne połączenie dla wszystkich poddomen google.com, ale także dodaje wymuszone połączenia HTTPS dla witryn, które o to poprosiły. Bezpieczne połączenia są wymuszane na stronach takich jak paypal.com, twitter.com, lastpass.com i torproject.org.

"HSTS w połączeniu z wstępnie załadowaną listą witryn może być świetnym narzędziem zwiększającym bezpieczeństwo użytkowników", Keeler napisał. Ta funkcja jest obecnie dostępna tylko w Firefoksie Beta.

Loek jest korespondentem w Amsterdamie i zajmuje się kwestiami prywatności, własności intelektualnej, otwartego oprogramowania i płatności online w serwisie IDG News. Śledź go na Twitterze w @loekessers lub wysyłaj porady i komentarze na adres [email protected]