Проект Mozilla заявил о намерении отказаться от незащищенного HTTP

Проект Mozilla заявил о намерении отказаться от незащищенного HTTP

Ричард Барнс (Richard Barnes), лидер команды, отвечающей за безопасность Firefox, объявил о намерении поэтапного ухода от поддержки незашифрованных коммуникаций с использованием протокола HTTP в пользу HTTPS.

По мнению Mozilla, в условиях современных реалий, повсеместный переход на использование шифрованных соединений является закономерным путём развития Web. При этом, для устаревшего контента Mozilla сохранит поддержку использования схемы "http://", но возможности для таких соединений будут ограничены.

Для продвижения HTTPS проект Mozilla намеревается постепенно сокращать функциональность, доступную для незашифрованных HTTP-соединений. Таким образом, возможность обращения к сайтам по HTTP будет сохранена, но доступные для таких сайтов web-технологии будут ограничены. В настоящее время планируется определить дату, начиная с которой некоторые добавляемые в браузер новые возможности станут доступны только при использовании HTTPS. Какие именно возможности будут блокироваться пока точно не определено, например, предлагается оставить доступ к новшествам, связанным с CSS и отрисовкой, но запретить возможность использования новых API, связанных с взаимодействием с оборудованием, сообщает opennet.ru.

Кроме того, для HTTP планируется поэтапно ограничить доступ к уже реализованным технологиям, которые могут привести к рискам, связанным с безопасностью и приватностью, в случае работы по незашифрованным каналам связи. В этом случает отмечается важность сохранения баланса между безопасностью и сохранением совместимости, т.е. важно не допустить нарушения работы существующих сайтов, работающих по HTTP. В качестве примеров приводится уже внедрённая для незащищённых сайтов практика запроса подтверждения при обращении к API доступа к камере или микрофону, а также предложения по ограничению области видимости незашифрованных Сookie.

Так как перевод всего интернета на HTTPS неподъёмная для одного проекта задача, Mozilla призывает подключиться к данной инициативе сообщество web-разработчиков, используя принимаемые в Firefox меры как сигнал для информирования, что движение в этой области уже началось. На официальном уровне планирует подготовить предложение для рассмотрения рабочей группой W3C WebAppSec, занимающейся продвижением web-стандартов, связанных с безопасностью web-приложений. Примечательно, что инициатива Mozilla по продвижению HTTPS не является единственной, в частности, консорциум W3C рассматривает возможность повышения безопасности в Web через повсеместное внедрение шифрования, комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры Интернет, признал атакой повсеместный мониторинг трафика, совет по архитектуре интернет заявил о необходимости решения проблемы с нарушением приватности пользователей Cети, правительство США работает над стандартом, обязывающих использовать на государственных сайтах и web-сервисах только HTTPS. 

Android 17 закручивает гайки: после 20 ошибок ПИН-код уже не перебрать

Google решила всерьез осложнить жизнь тем, кто пытается подобрать ПИН-код к чужому смартфону. В Android 17 компания радикально ужесточила защиту экрана блокировки, сократив допустимое число неверных попыток ввода практически в 90 раз.

В старых версиях системы злоумышленник теоретически мог сделать до 1800 попыток ввода ПИН-кода или пароля в течение пяти лет.

В Android 17 этот лимит сократили всего до 20 попыток. После двадцатой ошибки система полностью перестанет принимать новые варианты.

Ограничения начинают действовать практически сразу. Теперь в первую минуту разрешено лишь шесть неверных попыток, в течение шести минут — семь, за 25 минут — восемь, а за сутки — всего двенадцать.

По мнению Google, прежние лимиты оставляли слишком много пространства для атак. Многие пользователи выбирают простые ПИН-коды, связанные с датой рождения, годовщиной или другими легко угадываемыми комбинациями. Если злоумышленник знает подобную информацию, вероятность успешного подбора заметно возрастает.

Впрочем, о забывчивых владельцах смартфонов тоже подумали. Если пользователь несколько раз подряд случайно вводит один и тот же неправильный ПИН-код, Android 17 не будет считать такие ошибки отдельными попытками. Система распознает повторение и сообщит, что одинаковые неверные комбинации не засчитываются в общий лимит.

Google также немного переработала интерфейс блокировки. Вместо длинных таймеров вроде «Попробуйте снова через 1800 секунд» теперь будут отображаться привычные сообщения наподобие «Попробуйте снова через 30 минут».

Кроме того, на экране блокировки появится кнопка быстрого перехода к восстановлению доступа, чтобы пользователь мог быстрее найти инструкции по восстановлению учетной записи с другого устройства.

Для обычных пользователей изменения будут почти незаметны, а вот любителям подбирать чужие ПИН-коды станет значительно сложнее.

RSS: Новости на портале Anti-Malware.ru