Google проводит эксперимент с обновлением протокола HTTPS в Google Chrome.

Инженеры Google ведут поиск ошибок смешанного контента HTTPS, и у них похоже, появляются результаты.

Команда Google Chrome проведет эксперимент на этой неделе, пытаясь найти решения проблемы с протоколом HTTPS, которую Mozilla также пыталась решить в прошлом году. Смешанный контент возникает, когда исходный HTML [веб-страница] загружается через защищенное соединение HTTPS, но другие ресурсы (такие как изображения, видео, таблицы стилей, скрипты) загружаются через небезопасное соединение HTTP. Это называется смешанным содержимым, поскольку содержимое HTTP и HTTPS загружается для отображения одной и той же страницы, и первоначальный запрос был защищен через HTTPS. Современные браузеры отображают предупреждения об этом типе контента, чтобы указать пользователю, что эта страница содержит небезопасные ресурсы.

В течение последних нескольких лет смешанный контент был большой проблемой для производителей браузеров и других организаций, которые продвигали принятие протокола HTTPS. Ошибки браузера со смешанным содержимым, которые как известно иногда вообще блокируют доступ пользователей к веб-сайту, встревожили многих администраторов сайтов переходом на HTTPS, некоторые опасались, что потеряют доходы от трафика без ощутимой выгоды от поддержки HTTPS. Устранение ошибок в смешанном контенте, которые появляются в веб-браузерах, вероятно является последним серьезным препятствием для того, чтобы убедить владельцев сайтов перейти на HTTPS.

На этой неделе инженеры Google развернули эксперимент в Chrome, в котором они настроили браузер для автоматического обновления любого смешанного контента до полной HTTPS. Chrome сделал бы это путем негласного изменения URL ресурсов (таких как изображения, видео, таблицы стилей, скрипты) с их HTTP-версии на альтернативу HTTPS.

Если тот же ресурс существует в HTTPS-ссылке, то все загружается как обычно. Если ресурс не существует на альтернативной HTTPS-линии, Chrome регистрирует ошибку и выполняет один из многих сценариев, настроенных для этого эксперимента. Общая идея заключается в том, что когда владельцы веб-сайтов обновляли свои ресурсы для использования HTTPS, они могли забыть изменить исходный код своих сайтов, и некоторое содержимое оставалось загружать через HTTP, даже если бы оно могло нормально загружаться через HTTPS.

Цель этого эксперимента состоит в том, чтобы инженеры Google могли понять, сколько веб-сайтов могло работать некорректно, если бы Chrome автоматически обновлял все эти ресурсы со смешанным контентом до протокола HTTPS по умолчанию, и какова была бы лучшая стратегия перехода на HTTP-URL со смешанным контентом. Если процент неработающих ссылок и сайтов невелик, инженеры Google, скорее всего, подумают о том, чтобы добавить эту функцию автоматического обновления в HTTPS в основной браузер Chrome, и сделают еще один шаг к более безопасной сети.

На данный момент времени, Google намеревается развернуть эксперимент примерно до одного процента своей пользовательской базы Chrome Canary (кто включил флаг chrome: // flags / # enable-origin-trials). Эксперимент Google не будет первым в своем роде. В прошлом году Mozilla провела аналогичное автоматическое обновление смешанного контента в Firefox. «Они нашли много ошибок, но мы надеемся, что ситуация улучшилась с момента их эксперимента» - говорит Эмили Старк, инженер по безопасности Google. Другие эксперименты по работе со смешанным контентом также запланированы.
______________________________________________________