COMPTOIR
  
register

Composé par ————— —— 12667 vues

Google Chrome 68 indiquera clairement un site sans HTTPS

C'est en juillet que cette version de Google Chrome devrait nous être livrée en version finale, et avec celle-ci, Google compte bien pousser les sites récalcitrants dans leurs derniers retranchements afin de leur faire enfin adopter le protocole HTTPS. Comment ? En fait, avec la version 68 de son navigateur, tout site ne faisant pas usage du HTTPS se verra systématiquement attribuer un label "Not Secure / Non sécurisé" dans la barre d'adresse. En procédant ainsi, Google espère pouvoir influencer petit-à-petit les visiteurs de sites non sécurisés à changer leurs habitudes en optant par exemple pour une alternative en HTTPS, de ce fait le géant de la recherche souhaite aussi "encourager" les administrateurs des pages incriminées à mettre à jour la sécurité de leur(s) sites(s).

  google chrome http https not secured v68

Un peu discret tout de même, non ?

 

Google pousse depuis longtemps à l'adoption du HTTPS sur l'ensemble de la toile, et ne manque jamais une opportunité pour le faire savoir haut et fort. En parallèle, comme pour appuyer ses propos et en même temps se donner une accolade, Google nous dévoile aussi quelques chiffres clés sur l’état de l'adoption du HTTPS sur le Web : plus de 68% du trafic sur Android et Windows est déjà protégé grâce au protocole, ainsi que plus de 78% du trafic sur Chrome OS et Mac. Enfin, 81 des 100 sites les plus visités du Web font apparemment usage du HTTPS par défaut (un peu étonnant de ne pas y constater du 100%) Bref, la chose est en néanmoins bon chemin après des années de forcing, mais il reste encore un petit effort à faire.

 

Toujours prêt à promouvoir ses services et à prêter main-forte, Google nous rappelle également l’existence de son utilitaire baptisé Lighthouse, celui-ci est un outil gratuit permettant notamment de scanner automatiquement les pages web afin de révéler rapidement les éléments non HTTPS et ensuite mettre en avant ceux qui peuvent aisément être convertis vers leur équivalent en HTTPS. (Source : blog.chromium.org)

 

nsa logo all your data

[modeparano] HTTPS ? Bwahahaha ! [/modeparano]

Un poil avant ?

ASUSTOR : l'ADM 3.0.5 pour protéger les NAS de la faille Meltdown

Un peu plus tard ...

Live Twitch • Kingdom Come Deliverance, tu peux pas test ? (MAJ)

Les 14 ragots
Les ragots sont actuellement
ouverts à tous, c'est open bar !
par UpsiloNIX, le Mercredi 14 Février 2018 à 15h55  
par Un #ragoteur connecté embusqué le Mercredi 14 Février 2018 à 12h22
Oui, enfin le HTTPS n'est pas non plus une panacée !

...
Non, les querystring (GET parameters), sont bel est bien chiffré en HTTPS. Fait un coup de wireshark chez toi tu verras bien le résultat (avec un peu de bon sens aussi puisque le HTTPS agit sur la couche transport et l'URL et ses paramètres c'est de l'applicatif)
En revanche c'est une mauvaise idée de mettre des infos sensibles dedans car elles sont conservés dans les logs et éventuellement dans l'historique du navigateur web.

Ensuite oui les appels DNS eux passent en clair sur le réseau => C'est pour ça que DNScrypt existe et les serveurs qui vont avec => Problème c'est pas à la portée de Mme Michu, et il faut trouver un serveur de confiance qui le supporte (auto hébergé ? ou OpenNIC).
Pour les serveurs DNS public qui font de la collecte c'est un libre choix de les utiliser ou non

Pour l'OCSP tu as entièrement raison, c'est limite niveau vie privée, mais quand tu utilises Chrome (Firefox aussi ?) c'est pas vraiment ton problème de cacher tes sites préférés à Google je pense.
Pour la blacklist, elle n'est pas téléchargée localement ?

Enfin le but de l'HTTPS (au delà de l'authentification du site), c'est surtout de protéger les données que tu transmets au serveur web cible (intégrité et secret) pas de te cacher sur Internet
par Un ragoteur de transit embusqué, le Mercredi 14 Février 2018 à 14h44  
par Un champion du monde embusqué le Mercredi 14 Février 2018 à 14h15
Mais la mention "secure" n'exite pas. Uniquement "not secure" ou rien. Libre à chacun d'interpréter le rien. L'optimiste se fourvoiera en pensant que c'est sûr. Le pessimiste se demandera pourquoi différencier "not secure" et "not secure".
Faux!

source: https://minnov8.com/2016/11/05/google-chromes-https-warnings-start-january-2017/
par Un champion du monde embusqué, le Mercredi 14 Février 2018 à 14h15  
par Un #ragoteur connecté embusqué le Mercredi 14 Février 2018 à 13h30
D'ailleurs même la mention "secure" est un sophisme car il n'est pas 100 % garanti qu'un chiffrement ne peut être cassé.
Mais la mention "secure" n'exite pas. Uniquement "not secure" ou rien. Libre à chacun d'interpréter le rien. L'optimiste se fourvoiera en pensant que c'est sûr. Le pessimiste se demandera pourquoi différencier "not secure" et "not secure".
par Un #ragoteur connecté embusqué, le Mercredi 14 Février 2018 à 13h30  
 

En procédant ainsi, Google espère pouvoir influencer petit-à-petit les visiteurs de sites non sécurisés à changer leurs habitudes en optant par exemple pour une alternative en HTTPS, de ce fait le géant de la recherche souhaite aussi "encourager" les administrateurs des pages incriminées à mettre à jour la sécurité de leur(s) sites(s).


Quel est l'intérêt pour un site de publication lambda genre une page promotionnelle à offrir un accès sécurisé sans collecte de données privées?

La mention "not secure" est un sophisme dont le but dissimulé n'est que de vendre du certificat SSL tandis que l'activité des registrars s'essoufle malgré la création de noms de domaine exotiques de type ".zob". Il aurait été plus honnête de simplement indiquer que le trafic est privé avec la mention "encrypted". D'ailleurs même la mention "secure" est un sophisme car il n'est pas 100 % garanti qu'un chiffrement ne peut être cassé.

De plus, cela permet de rassurer les utilisateurs de Google Chrome tandis qu'ils disposent d'un mouchard installé sur leur machine en supplément de la collecte de leurs requêtes Google Search. Le geôlier du web est vraiment trop généreux...
par Un #ragoteur connecté embusqué, le Mercredi 14 Février 2018 à 12h22  
Oui, enfin le HTTPS n'est pas non plus une panacée !

Pour commencer, toutes les requêtes "GET" (les URL avec des & et des ? dedans) passent en clair, puisque les URL elle-mêmes ne sont pas chiffrées par le protocole HTTPS (seul le contenu échangé l'est).

En plus, avec l'OCSP, vos requêtes HTTPS passent aussi sur des serveurs tiers, pour vérifier que le certificat n'est pas révoqué: les serveurs OCSP (et ceux qui écoutent leur trafic - bonjour NSA) sont donc au courant des sites que vous visitez.

Il y a aussi, bien sûr, les sites DNS (dont celui de Gogole, qui adore "faire des statistiques" - lisez: qui stocke votre IP et les requêtes associées) et les "boîtes noires" branchées dessus par nos chers services de sécurité.

Mentionnons enfin les "listes noires de sites" propres à votre navigateur, puisqu'à chaque requête le navigateur va aussi interroger Gogole, Mozilla ou autre avec l'URL du site.

Bref, si vous voulez vraiment éviter d'être espionné trop facilement, en plus du HTTPS, utilisez les méthodes suivantes:
- Ne remplissez pas de formulaire sur les sites qui transmettent les requêtes par méthode GET (URL avec & et ? pour passer les champs du formulaire).
- Désactivez la vérification OCSP.
- Désactivez la détection des sites dangereux par liste noire distante.
- Utilisez des DNS chiffrés (dnscrypt).

Ne vous faites guère d'illusions, la NSA (et d'autres) vous garde(nt) à l'oeil, de toutes façons !
par Pascal M., le Mercredi 14 Février 2018 à 11h56  
par Un ragoteur qui aime les embusqué le Mercredi 14 Février 2018 à 10h09
Faut aussi une émoticône de BX.
owi
par Anadrol, le Mercredi 14 Février 2018 à 11h21  
C'est curieux j'ai déjà cette fonction, pas vous ?!
par Cristallix, le Mercredi 14 Février 2018 à 10h32  
par Un ragoteur qui aime les embusqué le Mercredi 14 Février 2018 à 10h09
Faut aussi une émoticône de BX.
J'avoue. très bonne remarque

par Un ragoteur qui aime les embusqué, le Mercredi 14 Février 2018 à 10h09  
par Thomas N. le Mercredi 14 Février 2018 à 10h03
Faudra ajouter une émoticône de fouet sur la V2 de CDH...
Faut aussi une émoticône de BX.
par Thomas N., le Mercredi 14 Février 2018 à 10h03  
Faudra ajouter une émoticône de fouet sur la V2 de CDH...
par Matthieu S., le Mercredi 14 Février 2018 à 09h58  
par UpsiloNIX le Mercredi 14 Février 2018 à 09h39
Oui. Mais on parle de Chrome là
Mais à noter que je ne suis pas sûr de bien comprendre la différence, aujourd'hui j'ai déjà ça

En parlant de ça, le comptoir compte y passer un jour ?
De ce que j'ai compris, en ce moment ça l'affiche en mode navigation privée et en mode normal lorsqu'il y a une saisie de formulaire sur la page (login, etc.). Donc, dès juillet, le petit "not secure" sera tout simplement affiché de manière permanente.
par Cristallix, le Mercredi 14 Février 2018 à 09h50  
par UpsiloNIX le Mercredi 14 Février 2018 à 09h39
Oui. Mais on parle de Chrome là
Mais à noter que je ne suis pas sûr de bien comprendre la différence, aujourd'hui j'ai déjà ça

En parlant de ça, le comptoir compte y passer un jour ?
Techniquement il y a une version du comptoir en HTTPS, mais qui n'est pas totalement fonctionnel On passera ça lors de la V2 qui devrait arriver bientôt. On attend des infos d'ETA pour le moment avant de lancer quelque chose.