Următoarea versiune a Chrome marchează deja parolele și paginile de solicitare a cardului de credit servite ca HTTP ca nesigure

Google a început să anunțe administratorii web că, începând cu ianuarie 2017, versiunea 56, Chrome va marca ca pagini nesigure care solicită parole și/sau informații despre cardul de credit prin HTTP. Google vă va arăta, de asemenea, exemple de pagini care vor declanșa o alertă în browser din ianuarie.

Google nu se va opri aici, deoarece planul său pe termen lung este de a marca toate paginile non-HTTPS ca nesigure în timp.

Comentarii

(bozsikarmand v | 29.12.2016, Joi - 14:58)

Apoi este timpul să activați redirecționarea HTTPS; D

(bodobacs | 29.12.2016, Joi - 15:11)

De ce puneți acest lucru pe o pagină informativă simplă?

(Friczy | Joi 29/12/2016 - 20:50)

Răspunde la un bodobacs Un mesaj informativ simplu

O pagină simplă de informații vă întreabă de ce solicitați un număr de card de credit și/sau o parolă?

(timi | 29.12.2016, Joi - 22:02)

Răspundeți la un mesaj informativ simplu

Să presupunem că ruterul dvs. vă poate întreba și, dacă puteți accesa interfața webadmin doar de la conexiuni cablate interne, atunci este cu adevărat inutil.

(urbalazs | 30.12.2016, p - 08:51)

Ce se întâmplă dacă atacatorul ajunge la vârf acolo în subrețeaua dvs.? Încă nu ai încercat un router în liceu! Crede-mă, există studenți creativi care încearcă totul. Am fost obligat să pun HTTPS și pe OpenWrt.

(gyu v | 12/12/2016, p - 12:09)

Răspunde urbalazs Și dacă atacatorul este acolo pentru mesajul tău

Și ce certificat ați încărcat în acel OpenWRT?

Ce se întâmplă dacă îl privești de la o mașină care nu are certificatul rădăcină al autentificatorului?
Fie unul dintre furnizorii de servicii v-a dat „béla.intranet”, fie un nume similar?
Obsesie.

Sunt curios de asta!

(țelină | sâmbătă, 31.12.2016, 16:24)

+1, deși, dacă cunoașteți hashul cert (sau doar începutul) pe de rost, veți observa totuși un porc care intervine. Dacă mediul de rețea este atât de gazos, nu va fi administrat de la o mașină necunoscută/nesigură.

(Tassadar | 01.01.2017, v - 17:41)

Răspunde țelină +1, totuși, dacă îți poți memora mesajul

Off: există ceva rfc că intermediarul din lanț trebuie să fie, de asemenea, o încredere în cazul în care CA rădăcină este altfel?
Am văzut în Chrome că mobilul necesită, desktopul nu (sau a inclus lanțul Geotrust> Rapidssl în acesta din urmă)

(persicsb | 30/12/2016, p - 12:16)

Răspundeți la un mesaj informativ simplu

Ai alunecat peste punct:
„planul său pe termen lung este de a marca toate site-urile non-HTTPS ca nesigure în timp”.

(Chain-Q v | 29.12.2016, Joi - 15:26)

Google nu se va opri aici, deoarece planul său pe termen lung este de a marca toate paginile care nu sunt HTTPS ca nesigure în timp.

Și are sens? Pe lângă de ex. face ca toate proxy-urile în cache să nu aibă sens, sau cel puțin le complică în mod semnificativ (de exemplu, atunci când organizează evenimente, cu fos uplink acest lucru este încă important, pentru mine este ușor de utilizat) și, de asemenea, ignoră nevoile hardware ale unei pagini HTTP statice de piatră care conține doar informații publice.

Dar veți putea încărca datele dvs. pe Google Cloud într-un mod foarte sigur înainte ca toate serviciile secrete să le descarce direct de acolo. Nu este confortabil? Nu trebuie să vă deranjați cu ascultarea, MITM și altele. Va fi grozav.

(Ps: sunt în favoarea intimității și criptării maxime. Dar simt că exagerez din nou cu bicicleta și, în plus, nu în direcția corectă.)

-= - La care programatorul a spus: "Deci, cine crezi că a făcut haosul?" - =-

(superfly | 29/12/2016, Joi - 16:28)

Bongeszo poate fi, de asemenea, stocat în cache, iar proxy-ul dinamic nu ajută. Și criptarea este aproximativ o încărcare suplimentară de 2% pentru CPU, așa că este timpul să dezbrăcați aceste cămile din anii '90. Tocmai acest tip de isterie este cel care îl împinge pe Google, pentru că te-ai săturat de acel proces de pur și simplu hummogi care merg la jaaaj ar fi bine, totuși. Nu am o avere pentru un certificat (Let's Encrypt = gratuit, dar am și un certificat Comodo pentru un eveniment greu de 9 USD), nu am un Xeon 256 core (+ 2% așa cum l-am găsit), HTTPS cu compania este dezactivat (de ce?!) Și altele. Vorbim despre 20 de ani de tehnologie. Rezolvați-o, site-ul parzazmillio a reușit deja.

Oricum, din cauza unei astfel de sarcini/costuri suplimentare neglijabile, nu are rost să criptăm 100 de pagini în lume, nu celelalte 17. De ce? Mai exact, mai multe joburi (și potențial de eroare) decât 100% împing TLS.

Blue Mobile, pe de altă parte, vă oferă 3 GB de rețea mobilă pentru 2.500, înlocuiți cablul dacă sunteți atât de încăpățânat. Sau nu faceți schimb, pur și simplu nu faceți bule.

(Kobor | 29.12.2016, Joi - 18:07)

Nu chiar laton fos uplink mogott ulo 100-1000 de persoane care ajută bongeszo cacheles.
Nici nu este extraordinar cât de cool este criptarea hardware-ului keycdn dacă clienții mei nu au unul. Oricum, criptarea este doar o parte a vitezei de decriptare ?
Sau să uitați că https poate fi foarte lent pe conexiunile cu latență ridicată.
Folosesc tcpdump de multe ori pentru a depana peste tot, atât de mult cu coerciția https .

Cea mai mare problemă este că nu rezolvă nimic.
De exemplu, mă întâlnesc de multe ori când trimit spam către servere folosind o parolă de adresă de e-mail. În aceste cazuri, nu ajută la forțarea POP3/IMAP la POP3S/IMAPS, deoarece parolele nu sunt obținute de middle man. În schimb, utilizatorul + parola este colectată de un virus din partea clientului dintr-un registru, dintr-un fișier de parolă salvat/de oriunde și, în procente mai mici, utilizatorul este folosit pentru a utiliza „123456”. .
Deci sunt cu Https, toată lumea crede că Kanaan ar trebui să vină doar cu https, da. Singurul lucru care se schimbă este că va fi mai greu de depanat, iar cazurile/configurațiile neobișnuite vor fi suge.

(nit | 29.12.2016, Joi - 19:05)

Ați scris deja suport SSL pentru privoxy. Oh, cum? Atunci de ce râzi de tine cu strigătul uimitor de mai sus?

(țelină | Sâmbătă 31.12.2016 - 16:21)

"Https este dezactivat la companie - de ce?" Sugestie: De exemplu, DLP. Există destul de multe firewall-uri (și politici/reglementări legate de protecția frontierelor rețelei) care pot reambalează conexiunile https trecătoare. Fără aceasta, este practic imposibil să filtrezi traficul, cel mult ip, dar acesta (vezi lista de trafic care trebuie permis pentru Office 365 și clauza că ar trebui să fie direct fără un proxy) este mai mult decât nu.