Chrome усиливает безопасность: Always Use Secure Connections по умолчанию

Google объявил о следующем шаге в направлении повышения безопасности в интернете. Хотя большая часть веб-трафика (от 95% до 99%) уже использует безопасный протокол HTTPS, браузер Chrome намерен сделать его еще более защищенным для всех пользователей.

Начиная с октября 2026 года, с выходом версии Chrome 154, функция Always Use Secure Connections (Всегда использовать безопасные соединения) будет включена по умолчанию для всех общедоступных сайтов. Это означает, что перед первым подключением к общедоступному сайту, который не поддерживает HTTPS, Chrome будет запрашивать разрешение пользователя.

Для пользователей, уже активировавших функцию Enhanced Safe Browsing (Улучшенная защита от фишинга), этот переход произойдет раньше. В апреле 2024 года, с релизом Chrome 147, данная настройка также станет активной по умолчанию.

Google последовательно укрепляет веб-безопасность: с 2018 года браузер предупреждает о незащищенных HTTP-сайтах, а с апреля 2021 года по умолчанию предлагает перенаправление на HTTPS. В 2022 году появилась возможность включать Always Use Secure Connections вручную.

Небезопасные HTTP-соединения представляют значительный риск. Злоумышленники могут легко перехватить такой трафик, используя вредоносное ПО, фишинговые атаки или другие уязвимости. Как отмечают разработчики Chrome, возможность для таких атак существует, поскольку программное обеспечение для перехвата трафика широко доступно, а злоумышленники уже использовали HTTP для компрометации устройств. Даже одна незащищенная навигация может стать точкой входа, а некоторые HTTP-сайты могут моментально перенаправлять на HTTPS, делая незащищенный переход незаметным для пользователя.

Функция Always Use Secure Connections призвана минимизировать эти риски.

Стоит отметить, что HTTP-соединения по-прежнему актуальны для приватных сетей, таких как локальные IP-адреса или корпоративные интрасети. Получение HTTPS-сертификата для таких сетей может быть затруднительным из-за особенностей их конфигурирования. Однако, риски для HTTP-соединений в приватных сетях значительно ниже, так как основной вектор атаки ограничен пределами локальной сети.