HTTP skal udfases, fordi protokollen er for usikker.
Så kontant er udmeldingen fra Mozilla, der står bag Firefox-browseren.
Fremover vil Mozilla arbejde på at eliminere de rene HTTP-elementer fra nettet, så de krypterede HTTPS-sider kan tage over i højere grad end i dag.
Firefox’ sikkerhedsansvarlige, Richard Barnes, forklarer i et blogindlæg, at Mozilla arbejde på at fastsætte en dato, hvorfra alle nye funktioner i Firefox kun vil være tilgængelige for krypterede websider.
Samtidig ønsker Firefox-holdet at “gradvist udfase adgangen til browser-funktioner for ikke-sikre websider, særligt funktioner, der udgør en risiko for brugernes sikkerhed og privatliv.”
Richard Barnes forklarer, at en nærmere dialog med udviklerne og webmiljøet nu skal føre til de helt konkrete handlinger.
“At fjerne funktioner fra det ikke-sikre internet vil formentlig få nogle sider til at gå i stykker. Derfor skal vi monitorere graden af ødelæggelse og balancere det med de sikkerhedsmæssige fordele.”
“Da vores mål med denne indsats er at sende en besked til webudvikler-miljøet om, at man er nødt til at være sikker, vil vores arbejde være mest effektivt, hvis det koordineres på tværs af web-miljøet. Vi forventer snart at komme med forslag til W3C WebAppSec Working Group,” lyder det fra Richard Barnes.
Chrome angriber også HTTP
Strategien fra Firefox minder en del om de tanker, man gør sig hos konkurrenten Google Chrome.
Chrome-lejren har planer om at gøre det klart for brugerne, at HTTP ikke giver nogen data-sikkerhed.
De fleste web-brugere har i dag vænnet sig til, at der ses en lille hængelås sammen med HTTPS, når man eksempelvis går ind på netbanken.
Men når man befinder sig på en helt almindelige HTTP-side, er der modsat ikke nogen advarsel om, at kommunikationen er ukrypteret.
“Vi har alle brug for, at data-kommunikation på nettet er sikker (privat, autentificeret, uden bekymringer). Når der ikke er nogen data-sikkerhed, skal bruger-agenten eksplicit vise det, så brugerne ud fra informationen kan træffe beslutninger om, hvordan de vil interagere med kilden,” har Chrome-lejren tidligere forklaret.
Læs også:
Kontroversielt forslag: HTTP-sider skal hænges ud som usikre i browseren
Vakler HTTPS-modellen så vi ikke kan stole på de “sikre” websider?
Sikkerhedsfolk i hårdt angreb mod HTTPS – derfor er det alt for usikkert
Sådan kommer dit website sikkert til tops i Google-søgninger
Leave a Reply