گوگل تغییری را در مرورگر کروم (Chrome) اعمال کرده است که پیش از برقراری یک اتصال ناامن HTTP، از کاربران اجازه می‌گیرد. این قابلیت محافظتی که پیش‌تر تنها برای کاربران فعال در حالت Enhanced Protection (حفاظت پیشرفته) در سرویس Safe Browsing در دسترس بود، اکنون به صورت پیش‌فرض برای تمامی کاربران فعال شده است.
طبق اعلام گوگل، اکثریت قریب به اتفاق اتصالات در کروم از پروتکل HTTPS استفاده می‌کنند. با این حال، ترافیک ناامن HTTP می‌تواند کاربران را در معرض بدافزار (Malware)، فیشینگ (Phishing)، شنود (Eavesdropping) و سایر تهدیدات قرار دهد. هر درخواست HTTP فرصتی را برای مهاجمان فراهم می‌کند تا بدون اینکه کاربر متوجه ریسک شود، محتوای مخرب را به تجربه مرورگری او تزریق (Inject) کنند.
اگرچه کروم در حال حاضر صفحات ناامن را با برچسب “Not Secure” مشخص می‌کند، اما این شرکت معتقد است که این هشدارهای غیرفعال (Passive) محدودیت‌های قابل توجهی دارند. کاربران ممکن است این هشدارها را نادیده بگیرند و مرورگر نیز نمی‌تواند این برچسب را در طول ترافیک‌های کوتاه‌مدت، مانند تغییر مسیرها (Redirects)، نمایش دهد. از همه مهم‌تر، این برچسب تنها پس از برقراری اتصال و زمانی نمایش داده می‌شود که داده‌های کاربر در معرض خطر قرار گرفته‌اند.
مکانیزم عملکرد و استثنائات
گوگل اذعان دارد که پذیرش HTTPS در سطح جهانی کامل نیست و برخی کاربران همچنان نیاز به دسترسی منظم به سایت‌های HTTP دارند. مکانیزم جدید به شرح زیر عمل می‌کند:
- درخواست اجازه: کروم در اولین باری که کاربر قصد بازدید از یک سایت HTTP را دارد، از او اجازه می‌گیرد.
- مدیریت تکرار: پس از تایید کاربر، مرورگر تا دو هفته دیگر (در صورتی که کاربر از آن سایت بازدید نکرده باشد) مجدداً سوالی نخواهد پرسید.
- استثنائات محلی: برای سایت‌هایی که نمی‌توانند گواهی HTTPS معتبر دریافت کنند، مانند نام‌های میزبان تک‌کلمه‌ای (Single-label hostnames) در شبکه‌های اینترانت یا آدرس‌های IP محلی (مانند 192.168.0.1) که معمولاً برای تنظیمات روترهای خانگی استفاده می‌شوند، هشداری نمایش داده نخواهد شد. این میزبان‌ها معمولاً ریسک کمتری دارند زیرا مهاجم باید در شبکه محلی کاربر حضور داشته باشد تا بتواند در ترافیک دستکاری کند.
داده‌های اولیه نشان می‌دهد که این رویکرد باعث ایجاد مزاحمت برای کاربران نشده است؛ به طوری که تقریباً ۹۵٪ کاربران دسکتاپ در یک هفته با هیچ هشدار HTTP مواجه نمی‌شوند. گوگل اعلام کرده است که کروم اولین مرورگری است که این محافظت را به صورت پیش‌فرض فعال کرده و امیدوار است سایر مرورگرها نیز از این الگو پیروی کنند.
