HTTPS везде - HTTPS Everywhere

HTTPS везде
HTTPS Everywhere icon.svg
Разработчики)Фонд электронных рубежей и Проект Tor
Стабильный выпуск
2020.11.17 / 17 ноября 2020 г.; 21 дней назад (2020-11-17)[1][2]
Репозиторий
Отредактируйте это в Викиданных
Написано вJavaScript, Python
ПлатформаFirefox для Android
Гугл Хром
Mozilla Firefox
Опера
Вивальди
Microsoft Edge
ТипРасширение браузера
ЛицензияGNU GPL v3 + (большая часть кода совместима с v2)[3]
Интернет сайтwww.eff.org/ https-везде
По состоянию наАпрель 2014 г.

HTTPS везде это бесплатно и с открытым исходным кодом расширение браузера за Гугл Хром, Microsoft Edge, Mozilla Firefox, Опера, Храбрый, Вивальди и Firefox для Android, который разработан совместно Проект Tor и Фонд электронных рубежей (ЭФФ).[4] Это автоматически делает веб-сайты используйте более безопасный HTTPS соединение вместо HTTP, если они это поддерживают.[5] Параметр «Зашифровать все подходящие сайты» позволяет одним щелчком заблокировать и разблокировать все соединения браузера без HTTPS.[6]

Разработка

HTTPS Everywhere был вдохновлен Google более частое использование HTTPS[7] и предназначен для принудительного использования HTTPS автоматически, когда это возможно.[8] Код частично основан на NoScript с Строгая безопасность транспорта HTTP реализация, но HTTPS Everywhere призван быть проще в использовании, чем функция принудительного HTTPS NoScript, которая требует от пользователя вручную добавлять веб-сайты в список.[4] EFF предоставляет пользователям информацию о том, как добавлять наборы правил HTTPS к HTTPS Everywhere,[9] и информация о том, какие веб-сайты поддерживают HTTPS.[10]

Поддержка платформы

А публичная бета HTTPS Everywhere для Firefox был выпущен в 2010 году,[11] а версия 1.0 была выпущена в 2011 году.[12] Бета-версия Chrome была выпущена в феврале 2012 года.[13] В 2014 году вышла версия для Android телефоны.[14]

Обсерватория SSL

Обсерватория SSL - это функция HTTPS Everywhere, представленная в версии 2.0.1.[13] который анализирует сертификаты открытых ключей чтобы определить, если центры сертификации были скомпрометированы,[15] и если пользователь уязвим для Атаки посредника.[16] В 2013 г. ICANN Консультативный комитет по безопасности и стабильности (SSAC) отметил, что набор данных Используемая Обсерваторией SSL часто рассматривает промежуточные органы как разные объекты, таким образом увеличивая количество центров сертификации. SSAC раскритиковал SSL Observatory за потенциально существенное занижение сертификатов внутренних имен и отметил, что он использовал набор данных с 2010 года.[17]

Постоянные обновления набора правил

Обновление до версии 2018.4.3, отправленное 3 апреля 2018 г., представляет функцию «Постоянное обновление набора правил».[18] Чтобы применить актуальные https-правила, эта функция обновления выполняет одно сопоставление правил в течение 24 часов. Сайт под названием https://www.https-rulesets.org/ был построен EFF для этого. Эту функцию автоматического обновления можно отключить в настройках надстройки. До механизма обновления наборы правил обновлялись только через обновления приложений. Даже после того, как эта функция была реализована, все еще есть связанные наборы правил, поставляемые в составе обновлений приложений.

Прием

Два исследования рекомендовали встроить функциональность HTTPS Everywhere в браузеры Android.[19][20] В 2012 году Эрик Петтплейс назвал это «возможно, лучшим ответом на Firesheep Атаки в стиле доступны для любой платформы ».[21] В 2011 году Винсент Тубиана и Винсент Вердо указали на некоторые недостатки надстройки HTTPS Everywhere, в том числе на то, что список сервисов, поддерживающих HTTPS, необходимо поддерживать, и что некоторые сервисы перенаправляются на HTTPS, хотя они еще не доступны в HTTPS, запрет на доступ пользователя расширения к услуге.[22]Другие критические замечания заключаются в том, что пользователи могут быть введены в заблуждение, полагая, что если HTTPS Everywhere не переключает сайт на HTTPS, это потому, что у него нет версии HTTPS, хотя может быть, что менеджер сайта не отправил набор правил HTTPS в EFF. .[23]Кроме того, соединение с SSL Observatory можно использовать для отслеживания сайтов, которые посещает пользователь.[23]

Наследие

Инициатива HTTPS Everywhere вдохновила гибкое шифрование альтернативы:

  • 2020: Fire Fox встроенный режим только HTTPS.[24][25]
  • 2019: HTTPZ[26] за Fire Fox / WebExt поддерживающие браузеры.
  • 2017: Smart-HTTPS (с закрытым исходным кодом, начиная с v0.2[27]),

Смотрите также

Рекомендации

  1. ^ "Changelog.txt". Фонд электронных рубежей. Получено 27 июн 2019.
  2. ^ «Релизы · EFForg / https-везде». GitHub. Получено 16 июн 2018.
  3. ^ HTTPS везде разработка Фонд электронных рубежей
  4. ^ а б "HTTPS везде". Фонд электронных рубежей. Получено 14 апреля 2014.
  5. ^ «HTTPS Everywhere достигает 2.0, в Chrome появится бета-версия». H-online.com. 29 февраля 2012 г.. Получено 14 апреля 2014.
  6. ^ HTTPS везде Журнал изменений
  7. ^ «Автоматическое веб-шифрование (почти) повсюду - The H Open Source: Новости и особенности». H-online.com. 18 июня 2010. Архивировано с оригинал 23 июня 2010 г.. Получено 15 апреля 2014.
  8. ^ Мерфи, Кейт (16 февраля 2011 г.). «Новые хакерские инструменты представляют большую опасность для пользователей Wi-Fi». Нью-Йорк Таймс.
  9. ^ "HTTPS Everywhere Rulesets". Фонд электронных рубежей. 24 января 2014 г.. Получено 19 мая 2014.
  10. ^ "Атлас HTTPS везде". Фонд электронных рубежей. Получено 24 мая 2014.
  11. ^ Миллс, Элинор (18 июня 2010 г.). «Надстройка Firefox шифрует сеансы с Facebook, Twitter». CNET. Получено 14 апреля 2014.
  12. ^ Гилбертсон, Скотт (5 августа 2011 г.). "Firefox Security Tool HTTPS Everywhere Hits 1.0". Проводной. Получено 14 апреля 2014.
  13. ^ а б Экерсли, Питер (29 февраля 2012 г.). "HTTPS Everywhere & Decentralized SSL Observatory". Фонд электронных рубежей. Получено 4 июн 2014.
  14. ^ Брайан, Мэтт (27 января 2014 г.). "Благодаря EFF работа в Интернете на телефоне Android стала еще безопаснее". Engadget. Получено 14 апреля 2014.
  15. ^ Лемос, Роберт (21 сентября 2011 г.). «EFF создает систему для предупреждения о взломе сертификатов». InfoWorld. Получено 14 апреля 2014.
  16. ^ Воан, Стивен Дж. (28 февраля 2012 г.). «Выпущено новое расширение для веб-браузера« HTTPS Everywhere »». ZDNet. Получено 14 апреля 2014.
  17. ^ «1 Рекомендация SSAC по сертификатам внутреннего имени» (PDF). ICANN Консультативный комитет по безопасности и стабильности (SSAC). 15 марта 2013 г.
  18. ^ Абрамс, Лоуренс (5 апреля 2018 г.). «HTTPS Everywhere теперь предоставляет новые наборы правил без обновления расширения». КровотечениеКомпьютер.
  19. ^ Фахл, Саша; и другие. «Почему Ева и Мэллори любят Android: анализ (не) защищенности Android SSL» (PDF). Материалы конференции ACM 2012 г. по компьютерной и коммуникационной безопасности. ACM, 2012. Архивировано с оригинал (PDF) 8 января 2013 г.
  20. ^ Дэвис, Бенджамин; Чен, Хао (июнь 2013 г.). "Ретро Скелет". Материалы 11-й ежегодной международной конференции по мобильным системам, приложениям и услугам - Mobi Sys '13. С. 181–192. Дои:10.1145/2462456.2464462. ISBN  9781450316729.
  21. ^ Керн, М. Кэтлин и Эрик Феттплейс. «Повышение безопасности браузера». Справочная информация и обслуживание пользователей ежеквартально 51.3 (2012): 210-214. http://eprints.rclis.org/16837/
  22. ^ Тубиана, Винсент; Вердо, Винсент (2011). «Покажи мне свое печенье, и я скажу тебе, кто ты». arXiv:1108.5864 [cs.CR ].
  23. ^ а б Пора перестать рекомендовать HTTPS везде?
  24. ^ Кершбаумер, Кристоф; Гейблер, Джулиан; Эдельштейн, Артур; Мерве, Тила ван дер. «Firefox 83 представляет режим только HTTPS». Блог о безопасности Mozilla. Получено 3 декабря 2020.
  25. ^ "HTTPS везде: часто задаваемые вопросы". Фонд электронных рубежей. 7 ноября 2016 г.. Получено 3 декабря 2020.
  26. ^ клаустроман (10 октября 2020 г.), клаустроманьяк / httpz, получено 3 декабря 2020
  27. ^ "Умный HTTPS-репозиторий · Проблема №12 · ilGur1132 / Smart-HTTPS". GitHub. Получено 3 декабря 2020.