Google a mené une guerre contre les pages Web non sécurisées et, bien que cela ait eu un certain impact positif, les avantages des pages sécurisées deviennent obsolètes lorsque le contenu de ces pages est téléchargé de manière non sécurisée. Google appelle ces téléchargements non HTTPS de pages HTTPS des « téléchargements de contenu mixte ».
Et, le géant de la recherche vient d’annoncer une nouvelle fonctionnalité de sécurité pour Chrome qui bloquerait essentiellement les téléchargements non sécurisés par défaut. Techniquement, Google considère comme non sécurisés les fichiers qui sont proposés au téléchargement à partir de pages HTTP après avoir utilisé un site HTTPS.
Le bloqueur de téléchargements de contenus mixtes sera mis en place dans le cadre d’un déploiement progressif à partir de Chrome 82, qui sera opérationnel en avril 2020. « Les fichiers téléchargés de manière non sécurisée constituent un risque pour la sécurité et la vie privée des utilisateurs. Par exemple, les applications téléchargées de manière non sécurisée peuvent être échangées contre des logiciels malveillants par des hackers, qui peuvent lire les relevés bancaires des utilisateurs téléchargés de manière non sécurisée. Pour faire face à ces risques, nous prévoyons de supprimer à terme la prise en charge des téléchargements non sécurisés dans Chrome », déclare Joe DeBlasio, membre de l’équipe de sécurité de Chrome.
À partir de Chrome 81, le navigateur émettra des avertissements sur la console pour les exécutables, les archives, les images, les fichiers audio, les textes, les vidéos et les documents chaque fois que des téléchargements de contenu mixte seront détectés. Le déploiement se poursuivra avec une mise à jour dans Chrome 82, où des avertissements seront également émis pour les exécutables.
Dans Chrome 83, les téléchargements de contenus mixtes d’exécutables seront bloqués par défaut, et chaque nouvelle version du navigateur ajoutera des restrictions supplémentaires pour les autres formats de fichiers.
Idem pour le mobile
Des fonctionnalités analogues seront également mises en œuvre dans Chrome sur les appareils mobiles, de sorte que les utilisateurs d’Android et d’iOS seront également protégés contre les téléchargements de contenus mixtes. Toutefois, le déploiement sur les appareils mobiles sera retardé d’une version, ce qui signifie que les avertissements seront émis à partir de Chrome 83. « Les plateformes mobiles disposent d’une meilleure protection native contre les fichiers malveillants, et ce retard donnera aux développeurs une longueur d’avance pour mettre à jour leurs sites avant d’avoir un impact sur les utilisateurs mobiles », explique DeBlasio.
Il est fort probable que les autres navigateurs basés sur Chrome, dont Microsoft Edge, suivront les traces de Chrome avec des bloqueurs supplémentaires pour les téléchargements de contenus mixtes à partir des prochaines mises à jour pour le canal stable. Certains pourraient considérer l’approche de Google comme un peu lourde, mais elle pourrait aussi avoir l’effet positif souhaité. Lorsque les sites et les téléchargements cessent de fonctionner sur l’un des navigateurs Web les plus utilisés au monde, les propriétaires et les développeurs de sites sont plus susceptibles de prendre des mesures qu’un simple laissez-passer.
