Google Chrome blokkeert al bepaalde soorten "gemengde inhoud" op internet. Nu, Google bekend gemaakt het wordt nog serieuzer: vanaf begin 2020 blokkeert Chrome standaard alle gemengde inhoud, waardoor sommige bestaande webpagina's worden verbroken. Dit is wat dat betekent.
Wat is gemengde inhoud?
Er zijn hier twee soorten inhoud: inhoud die wordt geleverd via een veilige, gecodeerde HTTPS-verbinding , en inhoud geleverd via een niet-versleutelde HTTP-verbinding. Wanneer u HTTPS gebruikt, kan er tijdens de overdracht niet naar de inhoud worden gesnuffeld of er kan mee worden geknoeid. Daarom bieden de kritieke websites codering bij het omgaan met financiële informatie of privégegevens.
Het web beweegt zich naar beveiligde HTTPS-websites. Als u verbinding maakt met een oudere HTTP-website zonder versleuteling, Google Chrome waarschuwt u nu dat deze websites 'niet veilig' zijn. Google nu zelfs verbergt standaard de "https: //" -indicator , aangezien sites standaard beveiligd zouden moeten zijn. En de nieuwe HTTP / 3-standaard heeft ingebouwde versleuteling.
Maar sommige webpagina's kunnen noch volledig HTTPS, noch volledig HTTP zijn. Sommige webpagina's worden geleverd via een beveiligde HTTPS-verbinding, maar ze halen afbeeldingen, scripts of andere bronnen op via een niet-versleutelde HTTP-verbinding. Dergelijke webpagina's hebben "gemengde inhoud" omdat ze niet volledig beveiligd zijn. Er kan niet met de webpagina zelf worden geknoeid, maar er kan een script, afbeelding of iframe (een webpagina in een 'frame' op een andere webpagina) worden opgehaald waarmee had kunnen worden geknoeid.
Waarom gemengde inhoud slecht is
Gemengde inhoud is verwarrend. U bekijkt op de een of andere manier een webpagina die zowel veilig als niet beveiligd is. Een doorgaans veilige webpagina kan bijvoorbeeld een JavaScript-bestand binnenhalen via HTTP. Dat script kan worden aangepast, bijvoorbeeld als u zich op een openbaar Wi-Fi-netwerk bevindt dat niet betrouwbaar is, om veel vervelende dingen op de webpagina te doen, van het controleren van uw toetsaanslagen tot het plaatsen van een trackingcookie.
Hoewel scripts en iframes ('actieve inhoud') het gevaarlijkst zijn, kunnen zelfs afbeeldingen, video's en audio-gemengde inhoud riskant zijn. Stel dat u een beveiligde website voor aandelenhandel bekijkt die via HTTP een afbeelding van de geschiedenis van een aandeel ophaalt. Die afbeelding is niet veilig: er kan tijdens het transport mee zijn geknoeid om onjuiste details weer te geven. Ook omdat het werd afgeleverd via een niet-versleutelde verbinding, iedereen snuffelen in de gegevens die onderweg zijn weet waarschijnlijk naar welk aandeel u kijkt.
Het is een slecht idee om op deze manier inhoud te combineren. Als een webpagina HTTPS gebruikt, moeten al zijn bronnen ook via HTTPS worden binnengehaald. Het is gewoon een historisch ongeluk: internet begon met HTTP en websites werden geleidelijk geüpgraded naar HTTPS. Zoals ze deden, werkten ze niet altijd bij om overal HTTPS-bronnen te gebruiken. Of ze waren mogelijk afhankelijk van een externe bron die op dat moment geen HTTPS ondersteunde.
Nu Google en andere browserleveranciers gemengde inhoud moeilijker en ontmoedigender maken, zullen websites dingen moeten opruimen zodat hun webpagina's standaard blijven werken.
Wat verandert er precies in Chrome?
Chrome blokkeert momenteel gemengde scripts en iframes. In Chrome 80, dat in januari 2020 wordt vrijgegeven voor kanalen met vroege uitgave, blokkeert Chrome gemengde audio- en videobronnen. Technisch gezien zal het proberen ze te laden via een beveiligde HTTPS-verbinding en ze te blokkeren als dat niet het geval is. Gemengde afbeeldingen worden geladen, maar Chrome zegt dat de webpagina 'Niet beveiligd' is. In Chrome 81 stopt Chrome met het laden van gemengde afbeeldingen. Gebruikers kunnen toestaan dat de gemengde inhoud wordt geladen, maar dit wordt niet standaard gedaan.
Het maakt allemaal deel uit van het veiliger maken van internet. In de blogpost van Google staat dat het verwacht dat het bericht 'Niet beveiligd' 'websites zal motiveren om hun afbeeldingen naar HTTPS te migreren'.
Hoe u met Chrome gemengde inhoud kunt deblokkeren
Chrome blokkeert al bepaalde soorten gemengde inhoud met een schildpictogram in de adresbalk en een bericht 'Onveilige inhoud geblokkeerd'. U kunt zien hoe het hierop werkt voorbeeldpagina met gemengde inhoud gemaakt door Google. Als u bijvoorbeeld een script met gemengde inhoud wilt deblokkeren, moet u op een link met de naam 'Onveilige scripts laden' klikken.
Als u akkoord gaat met het uitvoeren van de gemengde inhoud, verandert de webpagina van Veilig in Niet beveiligd.
Google zal dit vereenvoudigen in Chrome 79, dat ergens in december 2019 uitkomt. U moet op het vergrendelingspictogram links van het adres van de pagina klikken, op 'Site-instellingen' klikken en vervolgens gemengde inhoud voor die site deblokkeren.
De optie wordt meer begraven, maar dat is het punt: de meeste mensen zouden nooit gemengde inhoud voor een site moeten inschakelen. Website-ontwikkelaars moeten hun websites repareren om veilig bronnen te kunnen leveren. Deze optie zorgt ervoor dat iedereen die een oudere bedrijfssite gebruikt, deze kan blijven openen, zelfs als gemengde inhoud voor iedereen is uitgeschakeld.
Als u een site nodig heeft die dit vereist, hoeft u zich geen zorgen te maken: Google heeft geen datum aangekondigd waarop de optie voor het laden van gemengde inhoud in Chrome wordt verwijderd. De webbrowser van Google blokkeert standaard alle gemengde inhoud, maar blijft een optie bieden om gemengde inhoud in de nabije toekomst in te schakelen.
Hoe zit het met andere browsers?
Chrome is niet de enige. Firefox blokkeert ook gemengde inhoud zoals scripts en iframes, en vereist dat u op een ' Schakel de bescherming voorlopig uit ”Instelling om het in te schakelen. We verwachten dat Mozilla in de voetsporen van Google treedt. Apple's Safari is agressief over het blokkeren van gemengde inhoud ook.
En natuurlijk zal de nieuwe Edge-browser van Microsoft gebaseerd zijn op de Chromium-code die de basis vormt voor Google Chrome en zich gedragen als Chrome.
VERWANT: Waarom zegt Google Chrome dat websites "niet veilig" zijn?
