Menurut postingan blog keamanan Google baru-baru ini, Google Chrome akan segera memblokir unduhan tidak aman di halaman HTTPS aman yang dimulai dengan Chrome 83.
Google baru-baru ini meluncurkan Chrome 80 pembaruan stabil untuk Android dan desktop. Sebagai bagian dari pembaruan, Google memperkenalkan sejumlah fitur baru, termasuk fitur peningkatan otomatis konten campuran kami mempelajarinya pada bulan Oktober tahun lalu. Fitur baru ini merupakan bagian dari Google berencana untuk mengamankan web dengan HTTPS. Kini, dalam upaya menjadikan laman HTTPS lebih aman, Google Chrome juga akan segera memblokir unduhan tidak aman di laman aman.
Dalam postingan blognya, Google mengklaim bahwa file yang diunduh secara tidak aman merupakan risiko bagi privasi dan keamanan pengguna. File seperti itu dapat dengan mudah ditukar dengan malware oleh penyerang dan juga berisiko dibaca oleh penyadap. Untuk mengatasi risiko ini, perusahaan berencana untuk menghapus dukungan untuk unduhan tidak aman di Google Chrome. Memblokir unduhan tidak aman di halaman HTTPS adalah langkah pertama yang diambil Google untuk melakukan tindakan ini. Hal ini penting karena saat ini Chrome tidak menunjukkan kepada pengguna bahwa privasi dan keamanan mereka terancam saat mereka mendownload konten di halaman aman.
Dimulai dengan Chrome 82, yang diperkirakan akan dirilis pada bulan April 2020, Chrome secara bertahap akan mulai memperingatkan pengguna (seperti terlihat di atas) tentang download konten campuran. Unduhan ini akan diblokir sepenuhnya pada tahap selanjutnya. Perubahan ini pertama-tama akan berdampak pada jenis file yang menimbulkan risiko paling besar bagi pengguna, seperti file yang dapat dieksekusi, dan kemudian menangani lebih banyak jenis file pada rilis berikutnya. Google mengklaim bahwa peluncuran bertahap ini "dirancang untuk memitigasi risiko terburuk dengan cepat, memberikan kesempatan kepada pengembang untuk memperbarui situs, dan meminimalkan jumlah peringatan yang harus dilihat pengguna Chrome."
Pada awalnya, Google akan menerapkan pembatasan ini pada pengunduhan konten campuran di platform desktop, dimulai dengan Chrome 81. Berikut rincian garis waktu pembatasan pada platform desktop:
- Di Chrome 81 (dirilis Maret 2020) dan yang lebih baru:
- Chrome akan mencetak pesan konsol yang memperingatkan tentang semua download konten campuran.
- Di Chrome 82 (dirilis April 2020):
- Chrome akan memperingatkan tentang unduhan konten campuran atau file yang dapat dieksekusi (mis. .exe).
- Di Chrome 83 (dirilis Juni 2020):
- Chrome akan memblokir konten campuran yang dapat dieksekusi
- Chrome akan memperingatkan tentang arsip konten campuran (.zip) dan gambar disk (.iso).
- Di Chrome 84 (dirilis Agustus 2020):
- Chrome akan memblokir konten campuran yang dapat dieksekusi, arsip, dan gambar disk
- Chrome akan memperingatkan semua unduhan konten campuran lainnya kecuali format gambar, audio, video, dan teks.
- Di Chrome 85 (dirilis September 2020):
- Chrome akan memperingatkan pengunduhan konten campuran berupa gambar, audio, video, dan teks
- Chrome akan memblokir semua unduhan konten campuran lainnya
- Di Chrome 86 (dirilis Oktober 2020) dan seterusnya, Chrome akan memblokir semua download konten campuran.
Pembatasan ini akan tertunda satu rilis untuk pengguna Android dan iOS, dengan peringatan dimulai di Chrome 83. Google mengklaim bahwa karena platform seluler memiliki perlindungan asli yang lebih baik terhadap file berbahaya, penundaan ini akan memberikan pengembang langkah awal dalam memperbarui situs web mereka sebelum pengguna terkena dampaknya. Pengembang dapat memastikan bahwa pengunduhan hanya menggunakan HTTPS jika mereka tidak ingin pengguna melihat peringatan pengunduhan.
Selain itu, di versi Chrome Canary saat ini, atau di Chrome 81 setelah dirilis, pengembang juga dapat mengaktifkan peringatan semua unduhan konten campuran untuk pengujian dengan mengaktifkan "Perlakukan unduhan berisiko melalui koneksi tidak aman sebagai konten campuran aktif" bendera. Google berencana untuk lebih membatasi unduhan tidak aman di Google Chrome di masa depan dan untuk tujuan ini, perusahaan telah mendesak pengembang untuk bermigrasi sepenuhnya ke HTTPS untuk menghindari pembatasan.
Sumber: Blog Keamanan Google