Artikel top billede

Kontroversielt forslag: HTTP-sider skal hænges ud som usikre i browseren

Sikkerhedsteamet bag Chrome-browseren mener, at det skal tydeliggøres, at helt almindelige HTTP-websider er usikre.

Sikkerhedsteamet bag Googles Chrome-browser mener, at det skal være lettere at gennemskue, når websider er usikre.

"Målet med dette forslag er at vise mere klart for brugerne, at HTTP ikke giver nogen data-sikkerhed," skriver de i et indlæg på chromium.org.

De fleste web-brugere har i dag vænnet sig til, at der ses en lille hængelås sammen med HTTPS, når man eksempelvis går ind på netbanken.

Men når man befinder sig på en helt almindelige HTTP-side, er der modsat ikke nogen advarsel om, at kommunikationen er ukrypteret. 

"Vi har alle brug for, at data-kommunikation på nettet er sikker (privat, autentificeret, uden bekymringer). Når der ikke er nogen data-sikkerhed, skal bruger-agenten eksplicit vise det, så brugerne ud fra informationen kan træffe beslutninger om, hvordan de vil interagere med kilden."

HTTPS-sider har det nemmere i søgemaskinen Google

Chrome-folkene påpeger i deres indlæg, at vi jo alle ved, at manipulering, angreb og overvågning ikke bare er en teoretisk risiko, når man færdes på nettet - men derimod er hverdagskost.

"... den eneste situation, hvor webbrowsere helt sikkert ikke advarer brugerne, er når der ikke er nogen chance for sikkerhed: Når kilden transporteres via HTTP."

Dette gælder for både Chrome-browseren og Safari, Firefox og Internet Explorer. Står det til Chromes sikkerhedsfolk, skal den praksis dog ændres, så det i fremtiden bliver langt mere tydeligt, når man befinder sig på en HTTP-webside, der i sagens natur er mindre sikker end en HTTPS-side.

I indlægget opfordres både andre browserleverandører, webudviklere og brugere til at komme med input - det kan du gøre her.

Forslaget fra Chome-teamet kommer efter, at Google allerede tidligere i år begyndte at tildele HTTPS-sider en mere fremtrædende placering i Google-søgeresultaterne.

HTTPS udsat for kritik

Paradoksalt nok har også HTTPS for nylig været udsat for hård kritik, fordi nogle sikkerhedsfolk mener, at der er tale om falsk tryghed.

"HTTPS er kort fortalt en absolut kritisk, men grundlæggende fejlbehæftet teknologi til cybersikkerhed."

Sådan lød konklusionen i en rapport, som Computerworld omtalte i sidste måned.

Det var sikkerhedsforskere fra universitetet i Amsterdam og i Delft, der angreb markedsmodellen bag HTTPS.

Sikkerhedsforskerne pegede på, at selve HTTPS-autentificerings-modellen, hvor bestemte virksomheder udsteder certifikater, de såkaldte CA'er (certificate authority), halter.

Efterfølgende spurgte Computerworld Ivan Bjerre Damgård, der er professor ved Institut for Datalogi på Aarhus Universitet og forsker i kryptologi, hvad han tænkte om kritikken af HTTPS?

"Jeg er sådan set enig i, at der er en problemstilling."

"Man skal huske, at de her certificate authorities lever af at sælge tillid. De certificerer jo en nøgle som værende en, der hører til et bestemt firma eller en bestemt person. Den sikkerhed, du har for, at du taler med den rigtige på nettet, er kun så god, som den tillid du har til den pågældende CA," sagde Ivan Bjerre Damgård blandt andet.

Professoren tilføjede dog også:

"Det er altid bedre, hvis det er HTTPS, end hvis det ikke er. Hvis der ikke står HTTPS, er virkeligheden, at hvem som helst kan kigge med - alle kan for eksempel se dine dine kreditkortnumre."

Læs også:

Vakler HTTPS-modellen så vi ikke kan stole på de "sikre" websider?

Sikkerhedsfolk i hårdt angreb mod HTTPS - derfor er det alt for usikkert

Sådan kommer dit website sikkert til tops i Google-søgninger




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
EG Danmark A/S
Udvikling, salg, implementering og support af software og it-løsninger til ERP, CRM, BA, BI, e-handel og portaler. Infrastrukturløsninger og hardware. Fokus på brancheløsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere