Https e Google Chrome 56

Oramai al scadenza è alle porte: da gennaio 2017 il noto browser Google Chrome (secondo le ultime statistiche 2016 utilizzato da 1 giocatore su 2) segnalerà come non sicuri tutti i siti che accettano connessioni HTTP, confermando così l’intenzione di continuare ad applicare misure di sicurezza affinché si possa utilizzare il web senza doversi preoccupare di attori malevoli.

Sicurezza e Privacy sono due temi che vanno a braccetto e Google intende promuovere attraverso una diffusione graduale delle opportune tecnologie, quali ad esempio l’adozione della crittografia per la totalità dei suoi servizi. Google a maggio 2016 ha annunciato la decisione di attivare di default il protocollo HTTPS per tutti i domini ospitati sul suo servizio di blogging Blogspot.
Google ha inoltre confermato il fatto che Chrome segnalerà in rosso i siti che utilizzano il protocollo HTTP come insicuri qualora siano utilizzati per ricevere dati dagli utenti come password, dati personali, numeri di carte di credito, dati sensibili etc.
La decisione è in linea con un processo avviato un paio di anni fa. Infatti Google ha introdotto nuove regole nell’algoritmo del motore di ricerca, al fine di aumentare il ranking dei siti web che utilizzano il protocollo HTTPS. Inoltre questa estate Google ha implementato il protocollo HTTP Strict Transport Security (HSTS) sul dominio www.google.com per proteggere gli utenti ed impedire loro di navigare utilizzando il protocollo HTTP.

La società prevede di introdurre le nuove modifiche con il rilascio della versione Chrome 56 previsto per gennaio 2017 e in rollout in questi giorni, così come riportato sul blog di Google Security: “Per aiutare gli utenti a navigare sul web in modo sicuro, Chrome indica la sicurezza collegamento con un’icona nella barra degli indirizzi. Storicamente, Chrome non ha etichettato in modo esplicito le connessioni HTTP come non sicure. A partire da gennaio 2017 (Chrome 56), ci segnalerà i siti HTTP che trasmettono le password o carte di credito come non sicuri, in linea con un piano a lungo termine per contrassegnare tutti i siti HTTP come non sicuri”. 
L’uso di connessioni HTTP per la trasmissione di informazioni sensibili espone gli utenti al rischio di intercettazioni: un utente malintenzionato potrebbe eseguire attacco di man-in-the-middle per intercettare i dati in transito e manipolarli spesso per scopi non piacevoli.

Chrome utilizzerà un icona rossa per segnalare le pagine non sicure, simbolo che verrà posto direttamente nella barra degli indirizzi del noto browser. Anche la modalità “navigazione in incognito” non sarà esente da questo meccanismo di alert, proprio perché erroneamente molti utenti ritengono che la modalità di navigazione in incognito li preservi da occhi indiscreti.
Google ha confermato che più della metà dei siti visitati dagli utenti con il suo browser Chrome già utilizzano connessioni HTTPs.

E i giochi online come stanno messi? Sono pronti a questo importante passaggio per l’intero WWW?
Assolutamente no purtroppo. A parte i grandi big player del gaming (solitamente Browser Game, MmmoRpg e Social Game) si stanno adeguando velocemente i Play by Chat e i Play by Forum sono completamente impreparati (a parte una manciata.. ma basta una mano per contarli).
Il problema principale è che, su alcuni servizi molto utilizzati, l'implementazione del protocollo HTTPS è a pagamento e questo ne può ridurre di molto l’adozione da parte di GdR amatoriali. Al contrario Altervista ha annunciato (qui l'annuncio) che l'utilizzo di Https è ora gratuito anche se subordinato all'attivazione di CloudFlare.

Vedremo nei prossimi mesi come si evolverà la situazione.