Chrome: stop al mixed content su HTTPS

Il team di Chrome ha annunciato che nelle future release del browser i mixed content presenti nelle pagine HTTPS saranno bloccati. L’obbiettivo degli ingegneri Google è assicurare che durante la navigazione vengano caricati unicamente contenuti sicuri.

A confermare questa novità è stata Emily Stark, componente del Chrome security team, sul blog del’azienda:

Oggi annunciamo che Chrome inizierà gradualmente a garantire che le pagine HTTPS possano caricare solo subresources “https://” sicure. Inizieremo quindi a a bloccare i contenuti misti (subresources HTTP non sicure in pagine HTTPS) come impostazione predefinita. Questa modifica migliorerà la privacy e la sicurezza degli utenti sul Web.

Secondo le stime di Big G oggi gli utenti di Chrome trascorrono il 90% del loro tempo di navigazione su pagine HTTPS: Gli sforzi della compagnia per l’adozione massiccia di questo protocollo hanno dato i loro frutti, dunque adesso il team di Mountain View si sta focalizzando sulle configurazioni HTTPS poco sicure.

I “mixed content” sono dei contenuti secondari delle pagina HTTPS, come ad esempio le immagini o altri contenuti multimediali, che sono stati caricati tramite connessioni HTTP. Di base Chrome blocca già tutti gli script e gli iframe che tentanto di caricarsi tramite tale protocollo, questo blocco verrà quindi esteso alle immagini e ai video.

I mixed content espongono l’utente a rischi non indifferenti, un utente malintenzionato potrebbe alterare una foto o un grafico caricato tramite HTTP e indurre gli utilizzatori a scaricare codice malevolo o degli script per il tracking.

Oltre al blocco di tali contenuti gli sviluppatori di Chrome hanno previsto anche degli avvisi a schermo che andranno a segnalare una pagina web come non completamente sicura.

Per evitare disagi il blocco dei mixed content sarà un processo graduale che dovrebbe ultimarsi entro la release di Chrome 81 prevista per febbraio 2020. In particolare su Chrome 79 verrà garantita la possibilità di sbloccare i mixed content su specifici siti web.

Via Security Googleblog