افزایش سختگیری گوگل در قوانین پروتکل امنیتی HTTPS

گواهی اس اس ال

از سال آینده گوگل در مرورگر Google Chrome تغییراتی در نمایش صفحات mixed content ایجاد خواهد کرد که منجر به افزایش سختگیری در مورد پروتکل HTTPS می شود.

به عبارت دیگر از سال آینده مرورگر گوگل کروم سختگیری بیشتری بر روی وب سایت هایی که دارای پروتکل امنیتی HTTPS نمی باشند و یا اینکه هنوز برخی از منابع صفحات سایت ها همچون اسکریپت، تصویر، ویدئو و صدا با HTTPS بارگذاری نمیشوند، اعمال می کند.

این رویکرد با نام Mixed content (محتوای ترکیبی) شناخته شده و از همان ابتدای امر و شروع سایت ها به استفاده از HTTPS وجود داشته است.

در چند سال اخیر ،مشکل mixed content به دلیل بارگذاری دامنه ی اصلی سایت با HTTPS توسط مرورگر ها نادیده گرفته شده است. و دلیل بروز چنین مشکلی به تاریخچه ی اینترنت باز می گردد.

از گذشته HTTPS به عنوان داده های خارج از محدوده شناخته شده و تنها تعداد معدودی از سایت ها آن را اجرا می کردند و بزرگترین مشکل این بود که این پروتکل اکثرا به عنوان یک پیش نیاز فنی وجودش الزامی شناخته نمیشد.

در سال های اخیر شرکت های گوگل و موزیلا تلاش های زیادی در راستای تشویق تمامی سایت ها به استفاده از پروتکل امنیتی HTTPS و گواهی SSL کردند.

شرکت موزیلا و تمامی شرکای تجاری آن با هدف تشویق صاحبان سایت به استفاده از HTTPS سرویس جدیدی به نام let’s Encrypt را راه اندازی کردند که از طریق آن به به صورت رایگان به مدیران سرورها دسترسی به مجوزهای TLS ارائه داده که این امر منجر به تسهیل پیاده سازی پروتکل HTTPS بر روی سایت می شود.

مطلب مرتبط چگونه از حملات DDOS در وردپرس جلوگیری کنیم؟

شرکت گوگل نیز برای گسترش HTTPS به صورت مدوام در مرورگر خود یعنی گوگل کروم تغییراتی اعمال می کند. با توجه به این که گوگل کروم محبوب ترین مرورگر در جهان می باشد از این رو اعمال قوانین و اعمال رویکردهای جدید برای استفاده از پروتکل HTTPS اهمیت بالایی در گسترش استفاده از آن دارد.

در اقدامات متعددی کروم تلاش کرد تا امنیت بسیار پایین یک سایت در صورت عدم استفاده از پروتکل HTTPS را به کاربران یادآور شود. در ابتدا، عبارت Not secure (ایمن نیست) در تمامی فرم ها و بخش های ورودی سایت هایی که از HTTPS استفاده نمیکردند نمایش داده میشد. پس از مدتی دامنه ی وب سایت هایی که دارای HTTPS بوده ولی محتوای ترکیبی (mixed content) در آن وجود داشت علامت سبز که نشانه ای از امنیت سایت می باشد در کنار سایت نمایش داده نمیشود و در آخر امکان دانلود از وب سایت های HTTP متوقف گردید.

کمپانی گوگل همچنین رویکرد خود در مقابل وب سایت های HTTPS و HTTP را تغییر داده است. به صورتی که دیگر به جای نمایش عبارت secure در وب سایت هایی دارای HTTPS ، عبارت Not secure را در وب سایت های HTTP نمایش میدهد. با این هدف که نمایش این عبارت منجر به تنبیه این وب سایت ها گردد.

گواهینامه SSL

90% ترافیک های گوگل کروم با استفاده از HTTPS منتقل میشود

به طور کلی می توان گفت که تمامی رویکردهای این دو کمپانی معتبر تاثیر مثبتی بر گسترش استفاده از پروتکل HTTPS داشته است و هر روزه تعداد سایت ها و سرویس های آنلاینی که از HTTPS استفاده می کنند افزایش میابد، به طوری که گوگل در وبلاگ خود اعلام کرده است که کاربران گوگل کروم 90 درصد از زمان گشت گذار خود در اینترنت را در وب سایت های حاوی HTTPS انجام می دهند.

مطلب مرتبط لوگوی سرویس گوگل پلی پس از 10 سال (مثلا) تغییر کرد

اخیراً و در ادامه ی تلاش های گوگل برای گسترش استفاده از HTTPS و گواهی SSL، صاحبان سایت ها را با مسدود کردن نمایش صفحات mixed content تشویق به انتقال کامل سایت به پروتکل HTTPS کرده است.

گوگل در بیانیه ی خود اعلام کرده است:

“برای کاهش مشکلات عدم برگذاری وب سایت ها، mixed content را به صورت خودکار به HTTPS به روز رسانی میکنیم. از این رو اگر وب سایتی تمامی منابع سایت خود را بر روی بستر HTTPS ارائه کند، لذا مشکلی برای نمایش آن ایجاد نخواهد شد.”

علاوه بر موارد بالا، برای جلوگیری از دسترسی کاربران به این سایت ها، گوگل تنظیماتی به مرورگر کروم اضافه خواهد کرد که در صورت نیاز کاربران بتوانند به محتوای ترکیبی بلاک شده توسط مرورگر دسترسی داشته باشند.

در انتها گوگل به وب مسترها پیشنهاد داده است تا سایت خود را مجدد بررسی کرده و از عدم بارگذاری منابع سایت از طریق HTTP اطمینان حاصل نمایند. این منابع شامل کوکی ها، فایل های CSS و جاوا اسکریپت، هرگونه محتوای Iframe، تصویر، ویدئو و صدا می باشند. مهندسان گوگل برای شروع اعمال تغییر در روند بارگذاری منابع زیر را پیشنهاد می کنند:

از ابزارهای content security policy و lighthouse برای شناسایی محتوای ترکیبی در سایت خود استفاده کنید.
برای اطلاع از منابع لازم برای انتقال به HTTPS این لینک را مطالعه کنید.
CDN، میزانی وب و سیستم های مدیریت محتوای سایت خود را بررسی کنید. برخی از این سیستم ها ابزاهای لازم برای رفع اشکال mixed content را دارا می باشند. به عنوان مثال وردپرس دارای پلاگین های متعددی برای این منظور می باشد که در مطالب آموزش نحوه نصب گواهی SSL در وردپرس و آموزش نحوه رفع خطاهای گواهی نامه ssl در وردپرس به بررسی آن پرداخته ایم.

مطلب مرتبط متا فروشگاه لباس دیجیتال راه‌اندازی می‌کند

منبع : zdnet