Chrome: Google macht Schluss mit unsicheren HTTP-Verbindungen

Chrome bittet Nutzerinnen und Nutzer künftig ausdrücklich um Erlaubnis, bevor der Browser eine unsichere HTTP-Verbindung herstellt. Google hatte diese Änderung im Oktober vergangenen Jahres versprochen; Anfang dieses Jahres wurde diese Funktion für Anwender eingeführt, die den erweiterten Schutzmodus von „Safe Browsing“ aktiviert haben. Mit Chrome-Version 155 gilt der Schutz nun standardmäßig für alle Nutzer.

HTTPS-First

Die Sicherheitsfunktion existiert bereits seit einigen Jahren, jedoch nur als optionale Einstellung. Der Chrome-Browser versucht dabei automatisch, jede Verbindung über HTTPS aufzubauen. Schlägt der Versuch fehl, zeigt der Browser eine Warnung an. Google erklärt den Schritt damit, dass schon eine einzige unverschlüsselte HTTP-Verbindung ausreiche, um Angreifern einen Einstiegspunkt zu bieten. Angreifer könnten damit die Navigation kapern und Nutzer auf manipulierte Seiten umleiten, um Malware zu verteilen oder gezielte Exploits auszuführen.

Obwohl zwischen 95 und 99 Prozent der Chrome-Seitenaufrufe mittlerweile über HTTPS laufen, gibt es nach wie vor Websites, die das ältere, weniger sichere HTTP-Protokoll verwenden. Bislang hat Chrome beim Aufrufen solcher Seiten eine Warnung „Nicht sicher“ angezeigt. Untersuchungen zeigten jedoch, dass solche Warnhinweise von den Nutzern möglicherweise übersehen werden. Entscheidend sei vor allem, dass die „Nicht sicher“-Kennzeichnung Nutzerinnen und Nutzern erst dann angezeigt werde, nachdem die Daten und die Verbindung bereits gefährdet gewesen seien. Sie biete Nutzern daher keine Möglichkeit, diese Gefährdung abzuwenden. Bei kurzlebigen HTTP-Verbindungen wie Weiterleitungen erscheine die Warnung zudem gar nicht.

Mit der nun für alle aktivierten Einstellung „Immer verschlüsselte Verbindungen verwenden“ könne Chrome Nutzer schon vor dem Aufbau einer unsicheren HTTP-Verbindung warnen.

Ausnahmen möglich

Google ist laut Ankündigung der Ansicht, dass 100 Prozent des Webverkehrs über HTTPS erfolgen sollten, jedoch erkenne das Unternehmen an, dass HTTPS bislang noch nicht flächendeckend eingesetzt wird und manche Nutzer regelmäßig auf bestimmte HTTP-Websites zugreifen müssen. Um diesem Umstand Rechnung zu tragen, fordere Chrome Nutzer nur beim ersten Besuch einer Website auf, die Nutzung von HTTP zu genehmigen. Sobald Nutzer die Verwendung einer solchen Seite genehmigt haben, zeige Chrome keine weitere Warnung an, bis die Nutzer die Website mindestens zwei Wochen lang nicht besucht haben.

Zudem würden standardmäßig auch keine Warnungen auf Websites angezeigt, für die kein öffentlich vertrauenswürdiges HTTPS-Zertifikat erhältlich sei. So werden beispielsweise keine Warnungen bei einteiligen Hostnamen wie „intranet/“ oder bei lokalen IP-Adressen wie „192.168.0.1“ angezeigt, die häufig bei der Konfiguration von WLAN-Routern zu Hause oder ähnlichen Geräten verwendet werden, erklärt Google. Das Unternehmen stuft HTTP-Verbindungen zu privaten Seiten als weniger gefährlich ein, da Angreifer physischen oder virtuellen Zugang zum lokalen Netzwerk benötigen würden.

Die HTTPS-Einstellung wird Google zufolge sowohl auf dem Desktop als auch unter Android standardmäßig aktiviert. Auf Wunsch lässt sich die Funktion in den Einstellungen deaktivieren.

Schutz vor ClickFix-Attacken

Google baut die Sicherheit seines Browsers noch weiter aus: So schützt Chrome jetzt vor ClickFix-Attacken. Bei diesen Angriffen verleiten Cyberkriminelle ihre Opfer dazu, einen Befehl auf dem Rechner auszuführen, der angeblich ein Problem lösen soll.

Laut Google erkennt der Chrome-Browser nun, wenn ein Nutzer mit „Erweitertem Schutz“ dazu gebracht wird, verdächtige Befehle zu kopieren. Kopiert ein Nutzer ein potenzielles ClickFix-Skript, werden personenbezogene Daten aus dem Inhalt der Zwischenablage entfernt und zur weiteren Analyse an „Safe Browsing“ gesendet, erläutert Google. Stuft Safe Browsing den Befehl nach der Analyse als gefährlich ein, zeigt Chrome eine Warnung an.

Neben der bekannten vollflächigen roten Warnseite für eindeutig gefährliche Websites zeigt Chrome im erweiterten Schutzmodus nun auch neue Hinweise für verdächtige Websites. Diese sollen Nutzer frühzeitig vor potenziell betrügerischen Mustern warnen, ohne direkt den Zugriff komplett zu sperren, so Google. Zudem setzt Google im erweiterten Schutzmodus ein serverseitiges Gemini-Modell für eine erweiterte Betrugserkennung ein, um komplexe Phishing- und Betrugsmaschen, wie gefälschte Browserupdates oder Pseudo-Virenscanner, abzuwehren.

Chrome-Nutzer sollten den Browser überdies möglichst zeitnah auf Version 155 bringen, da das Update zahlreiche, teils kritische Sicherheitslücken schließt.