Google wil HTTP als onveilig in Chrome weergeven
Als het aan Google ligt zullen straks alle internetgebruikers die een website bezoeken die over HTTP wordt aangeboden te zien krijgen dat deze website niet veilig is. Het Chrome Security Team heeft namelijk een voorstel gedaan om de "gebruikerservaring" bij het bezoeken van HTTP-websites in alle browsers aan te passen. Op deze manier wil Google dat het duidelijker voor gebruikers wordt dat gegevens die over HTTP worden uitgewisseld niet zijn beveiligd.
Volgend jaar gaat Google daarom een plan opstellen om deze overstap in ieder geval binnen Chrome te realiseren. "We moeten allemaal veilig data op het web kunnen uitwisselen. Als er geen dataveiligheid is moet de browser dit expliciet weergeven, zodat gebruikers een geïnformeerde beslissing kunnen maken over hoe ze willen verdergaan", aldus het voorstel.
Beveiligingsniveaus
Volgens het Chrome Security Team zijn er drie beveiligingsniveaus voor websites. Het eerste niveau is veilig, in het geval de website volledig over HTTPS wordt aangeboden. Het tweede niveau is dubieus, als er een geldig SSL-certificaat voor het HTTPS-gedeelte wordt gebruikt, maar er bijvoorbeeld TLS-fouten zijn of er passieve content over HTTP wordt aangeboden. Als laatste is er nog onveilig, in het geval de website over HTTP wordt aangeboden of een ongeldig HTTPS-certificaat of verkeerde implementatie gebruikt.
De opstellers van het voorstel merken op dat mensen over het algemeen de afwezigheid van waarschuwingssignalen niet opvangen. "De enige situatie waarin browsers gebruikers gegarandeerd niet zullen waarschuwen is precies als er geen enkele kans op veiligheid is: als de website via HTTP wordt aangeboden." Het Chrome Security Team roept browserontwikkelaars dan ook op, als ze het met het voorstel eens zijn, om te kijken hoe ze de benodigde aanpassingen kunnen doorvoeren. Google adviseert een gefaseerde aanpak om HTTP-sites langzaam als onveilig weer te geven.
Het bezoeken van bijvoorbeeld de website van het weerbericht, waar je geen enkele gevoelige informatie mee uitwisselt, dient dus als ''onveilig'' ervaren te worden ? Niet met iedere website wordt gevoelige informatie uitgewisseld. En het gebruik van HTTPS is dan ook niet altijd relevant.
Het bezoeken van bijvoorbeeld de website van het weerbericht, waar je geen enkele gevoelige informatie mee uitwisselt, dient dus als ''onveilig'' ervaren te worden ? Niet met iedere website wordt gevoelige informatie uitgewisseld. En het gebruik van HTTPS is dan ook niet altijd relevant.
Is the wrong answer...
Privacy is er toch al niet meer hij deze gigant. Dus waarom andere websites flsggen als onveilig. Een website hoeft niet per se https te hebben om veilig te zijn. Tenzij je een doelwit bent of shit doet die niet legaal is.. Of je een open hotspot gebruikt. Wat dus super stom zou zijn...
Dank voor je beoordeling van mijn reactie. Kan je deze ook nog inhoudelijk onderbouwen ? Denk je dat, ongeacht het risico, HTTPS voor iedere website nodig is ? Ook al wissel je geen enkele vertrouwelijke informatie uit met die website ? Of zou een risk assessment, om te bepalen welke mate van beveiliging nodig is, ook nut hebben ?
Indien je mijn reactie als ''fout'' aanmerkt, dan kan je dat vast ook wel onderbouwen.
het probleem is niet dat het een gerbuiker zal afschrikken, een gebruiker zal het binnen no time als gewoon ervaren!. 2 misschien 3 keer is het wat is dat, en verder met OK klik. en zo waar mist het zijn doel.
voor ons (iets bewustere internet gebruikers) zullen het handig vinden. rood owh ik moet niet inloggen.
groen it's time to post!
hopelijk maar waarschijnlijk niet (snel) zet het beheerdere/organisaties aan het denken https te gaan gebruiken
Waar blijft je korte howto van beide besturingssystemen? Praatjes vullen geen gaatjes ..
Of ik pas het antwoord op je DNS request aan en stuur je naar mijn exploitkit. Jij merk niks want met http heb je geen zekerheid met wie je communiceert!
Je wil weten met wie je praat. Als dat is vastgesteld wil je zeker weten dat de content die je krijgt niet onder weg is aangepast!
https://addons.mozilla.org/en-US/firefox/addon/calomel-ssl-validation/
https://addons.mozilla.org/en-US/firefox/addon/safe/
Tja, en je vertrouwt een compromised website wel, wanneer je er met HTTPS naar toe kan verbinden ? ;))
Of ik pas het antwoord op je DNS request aan en stuur je naar mijn exploitkit. Jij merk niks want met http heb je geen zekerheid met wie je communiceert!
Je wil weten met wie je praat. Als dat is vastgesteld wil je zeker weten dat de content die je krijgt niet onder weg is aangepast!
Goed punt, die had ik zo niet op mijn vizier staan.
(Gisteren, 20:56 door Anoniem)
Tja, en je vertrouwt een compromised website wel, wanneer je er met HTTPS naar toe kan verbinden ? ;))
Een andere punt waarom je nog HTTPS op alle sites zou willen is dat anders je ISP je headers kan aanpassen:
https://www.eff.org/deeplinks/2014/11/verizon-x-uidh
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.