Браузер Google Chrome откажется от привязки открытых ключей

Компания Google объявила о том, что в следующей версии браузера Chrome больше не будет поддерживаться привязка открытых ключей HTTP. Вместо этого в браузере появится более «безопасное» и гибкое решение — заголовки Expect-CT, пишет Threatpost.

Привязка открытых ключей HTTP (HPKP, HTTP Public Key Pinning) представляет собой одну из защитных мер браузера, которая предотвращает атаки с подменой SSL-сертификата на неправильно выданный или поддельный. Эта технология призвана исключить возможность атаки man-in-the-middle и атак с использованием вредоносных аддонов.

«Сначала будет удалена поддержка PKP через HTTP (динамическая привязка), в ходе которой UserAgent узнает список привязки для хостов по HTTP-заголовкам. Мы планируем сделать это в версии Chrome 67, выпуск которой в стабильной ветке должен состояться 29 мая 2018 года», — написал Крис Палмер (Chris Palmer), старший инженер-программист в Google.

Вот как Google описала технологию HPKP, когда она впервые ввела механизм учета состояния HPKP-настроек: «Стандарт позволяет веб-сайтам отправлять HTTP-заголовки, заставляющие браузер запомнить (или привязать) некоторые звенья используемой цепочки SSL-сертификатов. Впоследствии браузер будет отклонять любые подключения, не соответствующие существующим привязкам».

Спустя два года специалисты Google утверждают, что хотя привязка открытых ключей защищает от неправильно выданных сертификатов, она усложняет администраторам выбор надежного набора ключей для привязки. Более того, компания подчеркнула, что технология PKP так и не получила широкого распространения — из миллиона топовых сайтов по рейтингу Alexa лишь 375 применяют ту или иную разновидность HPKP.

Вместо HPKP специалисты Google призывают использовать заголовки Expect-CT.

«Чтобы защититься от неправильно выданных сертификатов, веб-разработчики должны использовать заголовок Expect-CT и его функцию отчетности. Метод Expect-CT безопаснее, чем HPKP, поскольку он позволяет легко восстановить ресурс при любых проблемах с конфигурацией. Кроме того, его изначально поддерживает ряд центров сертификации», — отметил Палмер.

Автор:	Softodrom.ru
Дата:	01.11.2017 23:31