Η Google θέτει τελική διορία για την χρήση του https

Η κρυπτογράφηση των ιστοσελίδων υπάρχει εδώ και αρκετά χρόνια, πιο συγκεκριμένα, το πρωτόκολλο https κυκλοφόρησε το 1995. Το γνωστό σε όλους μας SSL, ή Secure Socket Layer (δείτε περισσότερα για το SSL εδώ), έδωσε την δυνατότητα στις εταιρίες να διαχειρίζονται τις δικτυακές συναλλαγές (πιστωτικές κάρτες) τους με ασφάλεια.

Με αυτό τον τρόπο προστατεύονται οι πληροφορίες της πληρωμής, και επιτρέπει στους πωλητές να αποδείξουν ποιοι πραγματικά είναι – και όχι κάποιος που προσπαθεί να μας (υπο)κλέψει. Μερικά χρόνια αργότερα (~1999) έκανε την εμφάνιση του ο διάδοχος του, το TLS – Transport Layer Security. Αν θέλετε να δείτε ποια είναι η λογική πίσω από αυτά τα πιστοποιητικά, θα πρέπει να μελετήσετε το πως δουλεύει ο αλγόριθμος RSA.

Δεν κατάφεραν όμως να κάνουν την μετάβαση τους σε πιο απλές εφαρμογές/ιστοσελίδες πέρα από αυτές που διαχειρίζονται προσωπικά δεδομένα, και χρηματικές συναλλαγές.

Ένας λόγος που συνέβαινε αυτό, ήταν ότι οι ιδιοκτήτες των ιστοτόπων δεν έβλεπαν το γιατί θα έπρεπε να κρυπτογραφήσουν κάθε τι. Αυτή όμως η τακτική έδωσε την ευκαιρία σε διάφορους να υποκλέπτουν μη κρυπτογραφημένους κωδικούς, ή να παρουσιάζουν κάποια άλλη ιστοσελίδα αντί για αυτή που επισκέπτεται ο χρήστης. Έτσι έγινε αντιληπτό ότι η χρήση των πιστοποιητικών ασφαλείας SSL/TLS είναι απαραίτητη.

Με την πάροδο του χρόνου, μεγάλοι ιστότοποι μετέφεραν τις υπηρεσίες τους κάτω από το πρωτόκολλο https. Εδώ κάνουμε λόγο για ιστότοπους όπως Facebook, Google, Wikipedia, the New York Times.

Σημαντικότερο σε αυτή την υπόθεση είναι ότι τέτοιοι κεντρικοί παίκτες στην εικόνα του internet έχουν προσπαθήσει να το κάνουν πιο ασφαλές. Συγκεκριμένα η Google έχει ανακοινώσει από το 2015 ότι θα δείξει προτίμηση στις σελίδες που λειτουργούν με το πρωτόκολλο https στα αποτέλεσμα της μηχανής αναζήτησης της.

Πριν από αρκετούς μήνες είδαμε και τις αλλαγές του Chrome 62 στο πως χειρίζεται και παρουσιάζει τις ιστοσελίδες αν έχουν πιστοποιητικό SSL/TLS ή όχι.

Πριν λίγες μέρες είχαμε νέα ανακοίνωση από την Google. Από τον Ιούλιο του 2018 και μετά, με την έκδοση του Chrome 68, ο γνωστός browser θα επισημαίνει όλες τις ιστοσελίδες που λειτουργούν σε http ως “μη ασφαλής”.

Μια προειδοποίηση θα εμφανίζεται στη γραμμή διευθύνσεων του Chrome (γνωστή και ως το Omnibox), υποδεικνύοντας ότι ένας ιστότοπος είναι “Ασφαλής”(Secure) ή “Μη Ασφαλής” (Not Secure).

Από τα στοιχεία που μας δίνει η Statcounter, ο Chrome κατέχει πάνω από το 50% της αγοράς των internet browsers, το οποίο σημαίνει ότι μία αλλαγή στον Chrome θα επηρεάσει πάρα πολύ τον κόσμο του internet. Κοιτάζοντας τα στοιχεία που μας δίνει για την χώρα μας, ο Chrome αποτελεί περίπου το 63%:

Όπως δείχνουν τα στοιχεία της ίδιας της Google, το 68% της κίνησης (traffic) μέσω Chrome, σε Android και Windows γίνεται μέσω https, το 78% της κίνησης μέσω Chrome, σε Chrome OS και Mac γίνεται μέσω https, και τέλος οι 81 από τους 100 κορυφαίους ιστοτόπους χρησιμοποιούν https.

Στην μεταφορά από http σε https, προσφέρεται πλέον να βοηθήσει το Lighthouse (addon του Chrome), που διαθέτει “mixed content audits”. Στο νέο αυτό κομμάτι του εργαλείου, οι developers θα μπορούν να εντοπίσουν ποια στοιχεία της σελίδας χρησιμοποιούν http και ποια από αυτά είναι έτοιμα να αναβαθμιστούν, αλλάζοντας μόνο την κλήση του στοιχείου – αντί για http:// σε https://.

Μπορώ να κάνω την μετάβαση σε https;

Θα μπορούσε κανείς να ισχυριστεί ότι υπάρχουν οικονομικοί ή τεχνικοί λόγοι και γι’ αυτό δεν έχει προχωρήσει στην χρήση πιστοποιητικού ασφαλείας.

Το πρώτο σκέλος έχει λυθεί αφού το Let’s Encrypt δίνει μία δωρεάν λύση στο πρόβλημα μας για απλά πιστοποιητικά (την υπηρεσία αυτή, την προτείνει και η ίδια η Google). Το οποίο αρκετοί πάροχοι το έχουν ενσωματώσει και στις δικές τους υπηρεσίες.

Από την άλλη, το κόστος των πιστοποιητικών – όταν κάνουμε λόγο για eCommerce ιστότοπους – που προσφέρουν οι εταιρίες έχει κατεβεί αισθητά.

Καταρρίπτοντας το πρώτο σκέλος, ας περάσουμε στο δεύτερο, που έχει όντως κάποια υπόσταση. Μεγάλος πονοκέφαλος για πολλούς είναι τα προβλήματα μεικτού περιεχομένου (mixed content issues), όπου μία ασφαλής σελίδα έχει ένα σύνδεσμο σε κάποιο στοιχείο – JavaScript, CSS, ή κάποιο URL – που λειτουργεί με http.

Αυτά είναι προβλήματα που πρέπει να αναλογιστεί κανείς και να αντιμετωπίσει. Κυρίως γιατί, αν και δεν είναι ξεκάθαρο στην ανακοίνωση, ακόμα και οι mixed content σελίδες θα ενεργοποιούν κάποιου είδους μήνυμα.

Όπως καταλαβαίνει κανείς όμως, αυτού του είδους τα μηνύματα θα κάνουν πολλούς χρήστες να φεύγουν και να αποφεύγουν τον ιστότοπο που δεν έχει https. Κάτι που θα οδηγήσει στην αύξηση του bounce rate και του exit rate, που θα επηρεάσει τα rankings των σελίδων, και ακόμα χειρότερα, θα μειώσει τα εκάστοτε έσοδα.

Όλα αυτά θα πρέπει να θορυβήσουν ακόμα περισσότερο αυτούς που δεν έχουν κάνει καμία κίνηση ακόμα. Και η διορία τους για να κάνουν κάτι, είναι τον Ιούλιο.

Πηγές

• security.googleblog.com – a secure web is here to stay
• www.blog.google – say yes https chrome secures web one site time
• webmasters.googleblog.com – indexing https pages by default

 

Μοιραστείτε το άρθρο