Mozilla gaat een lijst met websites aan Firefox toevoegen die standaard verbinding over HTTPS maken en zo niet door derden zijn af te luisteren. Hiervoor gebruikt de browser HSTS (HTTP Strict Transport Security). Het is een mechanisme waarmee een server kan aangeven dat de browser tijdens de communicatie een veilige verbinding moet gebruiken.

"Het kan een effectieve tool zijn om de privacy en veiligheid van gebruikers en hun data te beschermen", zegt Mozilla's David Keeler.

Als er voor de eerste keer verbinding met een website wordt gemaakt, weet de browser nog niet dat die een veilige verbinding moet gebruiken, omdat het nog nooit eerder de HSTS-header van die website heeft ontvangen. Daarnaast kan een aanvaller op het netwerk voorkomen dat de browser op veilige wijze verbinding maakt.

Lijst
Om deze aanval te voorkomen heeft Mozilla een lijst met websites toegevoegd waar HSTS standaard voor staat ingeschakeld. Als een gebruiker deze websites voor de eerste keer bezoekt, zal de browser daardoor toch een veilige verbinding gebruiken.

In het geval een aanvaller op het netwerk de veilige verbinding voorkomt, zal de browser niet op een onveilige verbinding terugvallen. "En zo de veiligheid van de gebruiker blijven beschermen", merkt Keeler op.

De 'preload list' die Mozilla gebruikt is gebaseerd op een soortgelijke lijst die in Google Chrome aanwezig is. Op die lijst staan naast de domeinen van Google ook tientallen andere websites, waaronder Paypal, Lastpass, Tor en Twitter. De optie is nu in de bètaversie van Firefox te testen.