Artikel top billede

Kontroversielt forslag: HTTP-sider skal hænges ud som usikre i browseren

Sikkerhedsteamet bag Chrome-browseren mener, at det skal tydeliggøres, at helt almindelige HTTP-websider er usikre.

Sikkerhedsteamet bag Googles Chrome-browser mener, at det skal være lettere at gennemskue, når websider er usikre.

"Målet med dette forslag er at vise mere klart for brugerne, at HTTP ikke giver nogen data-sikkerhed," skriver de i et indlæg på chromium.org.

De fleste web-brugere har i dag vænnet sig til, at der ses en lille hængelås sammen med HTTPS, når man eksempelvis går ind på netbanken.

Men når man befinder sig på en helt almindelige HTTP-side, er der modsat ikke nogen advarsel om, at kommunikationen er ukrypteret. 

"Vi har alle brug for, at data-kommunikation på nettet er sikker (privat, autentificeret, uden bekymringer). Når der ikke er nogen data-sikkerhed, skal bruger-agenten eksplicit vise det, så brugerne ud fra informationen kan træffe beslutninger om, hvordan de vil interagere med kilden."

HTTPS-sider har det nemmere i søgemaskinen Google

Chrome-folkene påpeger i deres indlæg, at vi jo alle ved, at manipulering, angreb og overvågning ikke bare er en teoretisk risiko, når man færdes på nettet - men derimod er hverdagskost.

"... den eneste situation, hvor webbrowsere helt sikkert ikke advarer brugerne, er når der ikke er nogen chance for sikkerhed: Når kilden transporteres via HTTP."

Dette gælder for både Chrome-browseren og Safari, Firefox og Internet Explorer. Står det til Chromes sikkerhedsfolk, skal den praksis dog ændres, så det i fremtiden bliver langt mere tydeligt, når man befinder sig på en HTTP-webside, der i sagens natur er mindre sikker end en HTTPS-side.

I indlægget opfordres både andre browserleverandører, webudviklere og brugere til at komme med input - det kan du gøre her.

Forslaget fra Chome-teamet kommer efter, at Google allerede tidligere i år begyndte at tildele HTTPS-sider en mere fremtrædende placering i Google-søgeresultaterne.

HTTPS udsat for kritik

Paradoksalt nok har også HTTPS for nylig været udsat for hård kritik, fordi nogle sikkerhedsfolk mener, at der er tale om falsk tryghed.

"HTTPS er kort fortalt en absolut kritisk, men grundlæggende fejlbehæftet teknologi til cybersikkerhed."

Sådan lød konklusionen i en rapport, som Computerworld omtalte i sidste måned.

Det var sikkerhedsforskere fra universitetet i Amsterdam og i Delft, der angreb markedsmodellen bag HTTPS.

Sikkerhedsforskerne pegede på, at selve HTTPS-autentificerings-modellen, hvor bestemte virksomheder udsteder certifikater, de såkaldte CA'er (certificate authority), halter.

Efterfølgende spurgte Computerworld Ivan Bjerre Damgård, der er professor ved Institut for Datalogi på Aarhus Universitet og forsker i kryptologi, hvad han tænkte om kritikken af HTTPS?

"Jeg er sådan set enig i, at der er en problemstilling."

"Man skal huske, at de her certificate authorities lever af at sælge tillid. De certificerer jo en nøgle som værende en, der hører til et bestemt firma eller en bestemt person. Den sikkerhed, du har for, at du taler med den rigtige på nettet, er kun så god, som den tillid du har til den pågældende CA," sagde Ivan Bjerre Damgård blandt andet.

Professoren tilføjede dog også:

"Det er altid bedre, hvis det er HTTPS, end hvis det ikke er. Hvis der ikke står HTTPS, er virkeligheden, at hvem som helst kan kigge med - alle kan for eksempel se dine dine kreditkortnumre."

Læs også:

Vakler HTTPS-modellen så vi ikke kan stole på de "sikre" websider?

Sikkerhedsfolk i hårdt angreb mod HTTPS - derfor er det alt for usikkert

Sådan kommer dit website sikkert til tops i Google-søgninger




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
IT Relation A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Hjemmearbejdets påvirkning på trivsel, helbred og arbejdsmiljø

Fremtidens arbejdsplads er hybrid, det er der ingen tvivl om. Men hvad fører det egentlig med sig? Og hvordan omstiller du og din arbejdsplads sig til det? Det kan du blive klogere på, på denne digitale konference.

02. februar 2022 | Læs mere


GDPR - persondatabeskyttelse i praksis

Håndteringen af persondata og GDPR er for længst blevet hverdag hos de danske organisationer, men derfor er det til stadighed vigtigt og altafgørende, at den løbende overholdelse af GDPR er på plads. Vær med og hør, hvordan du ved hjælp af processuelle greb, værktøjer og systemer kan sikre dette.

08. februar 2022 | Læs mere


Analytics, BI og data science: Data-behandling i realtid

Datadrevne løsninger er godt på vej til at vinde indpas i næsten alle industrier - og med god grund. For der er store muligheder i at kunne forstå, fortolke og reagere lynhurtigt på de store datamængder, som alle organisationer genererer. På dette seminar kan du høre om nogle af de bedste eksempler inden for praktisk anvendelse af avanceret data-analyse, hvordan du kommer i gang, og hvordan du kan høste udbytte.

22. februar 2022 | Læs mere






CIO
Sådan tager top-CIO Pernille Geneser livtag med 40 år gamle it-systemer i Stark Group med 10.000 medarbejdere