Google Chrome станет блокировать все «незащищенные загрузки»

Под «незащищенными загрузками» Google подразумевает загрузки файлов по протоколу HTTP на HTTPS-сайтах. Данное решение не повлияет на сайты, которые используют протокол HTTP.

Данная мера стала следующим этапом в долгосрочном плане Google по блокировке «всех незащищенных дочерних ресурсов на защищенных веб-страницах» в браузере Google Chrome, о котором было объявлено в прошлом году.

Тогда Google объявил о том, что смешанный контент (это еще один термин для обозначения незащищенного контента на защищенных сайтах) «представляет риски для приватности и безопасности пользователей», потому что злоумышленники могут модифицировать незащищенный контент, например подделывая изображение биржевого графика с целью обмануть инвесторов или внедряя отслеживающий файл куки в смешанную нагрузку.

Незащищенные загрузки представляют дополнительные риски для безопасности и приватности. Например, загруженные по незащищенному протоколу программы могут быть заменены злоумышленниками на вредоносное ПО. Чтобы устранить эти риски, мы планируем в итоге прекратить поддержку небезопасных загрузок в Chrome.

Данное изменение будет внедряться постепенно, начиная с выходом Chrome 81 для настольных компьютеров. Сначала браузер будет показывать предупреждения в консоли браузера, чтобы обратить внимание разработчиков на наличие незащищенных загрузок.

В Chrome 82 предупреждение будет показываться, если исполняемые файлы загружаются по протоколу HTTP, но блокировка на данном этапе применяться не будет. Предупреждение будет показываться для файлов .exe и .apk.

С выходом Chrome 83 браузер будет блокировать незащищенные загрузки исполняемых файлов и будет отображать предупреждение, если архивы загружаются по HTTP.

В Chrome 84 незащищенные загрузки исполняемых файлов и архивов будут блокироваться, а предупреждение будет показывать для «всех небезопасных типов файлов», таких как PDF и DOC.

В Chrome 85 загрузки файлов небезопасных типов также будут блокироваться, в предупреждение будет показываться для мультимедийных и текстовых файлов.

Наконец, в Chrome 86 все незащищенные загрузки будут блокироваться в браузере.

Google отложит интеграцию данной функциональности в мобильные версии Chrome для Android и iOS на один релиз. Это значит, что предупреждение для исполняемых файлов появится в Chrome 83, а не в Chrome 82.

Администраторы могут использовать флаг chrome://flags/#treat-unsafe-downloads-as-active-content для запрета загрузки небезопасных файлов в Chrome 81 и более поздних версиях. Нужно включить флаг и перезапустить браузер.

Администраторы в образовательных учреждениях и в организациях могут переопределять блокировки для каждого отдельного сайта с помощью политики InsecureContentAllowedForUrls.

Одобряете ли вы данное изменение?