Google telah menerapkan peningkatan substansial pada keamanan online Chrome dengan secara otomatis mengubah permintaan HTTP yang tidak aman menjadi permintaan HTTPS untuk semua pengguna. Fungsionalitas ini, yang dikenal sebagai HTTPS-Upgrades, bertujuan untuk meningkatkan keamanan tautan lama yang awalnya menggunakan HTTP dengan terlebih dahulu mencoba membuat koneksi melalui protokol HTTPS terenkripsi.
Meskipun pengenalan terbatas fitur ini di Google Chrome dimulai pada bulan Juli, mulai tanggal 16 Oktober, Google kini telah menerapkannya sepenuhnya untuk semua pengguna di saluran Stabil. Pembaruan dari Pemimpin Manajemen Program Teknik Google, Chris Thompson, menyatakan, “Kami telah mengaktifkan Peningkatan HTTPS secara default di trunk mulai minggu lalu dan saat ini memperluasnya ke 100% pengguna Stabil.”
Apa tujuan Peningkatan HTTPS di Google Chrome?
Peningkatan HTTPS adalah fitur Google Chrome yang dirancang untuk secara otomatis meningkatkan semua navigasi utama ke HTTPS, yang merupakan versi aman dari HyperText Transfer Protocol, sekaligus memberikan penggantian cepat ke HTTP bila diperlukan.
Biasanya, browser web sering kali memulai permintaan HTTP yang tidak aman ke situs web yang sebenarnya mampu mendukung HTTPS yang lebih aman. Hal ini dapat terjadi karena berbagai alasan, misalnya pengguna mengeklik tautan yang sudah ketinggalan zaman atau karena konten di situs web belum diperbarui untuk menggunakan protokol baru. Koneksi yang dibuat melalui protokol HTTP tidak memiliki enkripsi, sehingga rentan terhadap penyadapan, yang berpotensi mengakibatkan pencurian data atau kredensial sensitif.
Google telah mengidentifikasi skenario yang dapat menyebabkan ketidakamanan ini, termasuk saat pengguna mengakses situs menggunakan HTTP Strict Transport Security (HSTS) untuk pertama kalinya, mengunjungi situs yang defaultnya adalah HTTPS namun tidak menggunakan HSTS, atau membuka situs yang mendukung HTTPS dan HTTP tanpa pengalihan otomatis ke HTTPS. HSTS memberi tahu browser bahwa situs tersebut hanya boleh diakses menggunakan HTTPS, dan setiap upaya di masa depan untuk mengaksesnya menggunakan HTTP akan secara otomatis dikonversi ke HTTPS.
Jika situs web menerima koneksi melalui HTTP dan mengalihkan ke HTTPS, pengunjung mungkin awalnya berkomunikasi dengan versi situs yang tidak terenkripsi sebelum dialihkan, jika, misalnya, pengunjung mengetik http://www.foo.com/ atau bahkan hanya foo.com. Hal ini menciptakan peluang terjadinya serangan man-in-the-middle. Pengalihan dapat dieksploitasi untuk mengarahkan pengunjung ke situs jahat dan bukan ke versi aman situs aslinya.
Header HTTP Strict Transport Security memberi tahu browser bahwa browser tidak boleh memuat situs menggunakan HTTP dan harus secara otomatis mengubah semua upaya untuk mengakses situs menggunakan permintaan HTTP ke HTTPS.
Dalam semua kasus ini, privasi dan keamanan pengguna berada dalam risiko melalui koneksi tidak aman yang dapat dihindari, sebuah masalah yang dapat memengaruhi berbagai permintaan berdasarkan berbagai konfigurasi.
Metode yang ada untuk menerapkan HTTPS, seperti daftar pramuat HSTS atau daftar pemutakhiran yang dikurasi secara manual, memiliki keterbatasan. Mereka sering kali melibatkan konfigurasi yang rumit dan berisiko atau hanya melayani sekelompok situs web tertentu. Selain itu, memperbarui daftar situs yang didukung HTTPS bisa menjadi tugas yang menantang dan menghabiskan banyak sumber daya, yang sering kali mengakibatkan informasi usang sampai ke pengguna.
Google sedang memperbaiki masalah keamanan dengan peningkatan HTTP
Dengan pembaruan ini, Chrome bertujuan untuk secara otomatis meningkatkan tautan HTTP dalam halaman ke HTTPS, menerapkan mekanisme penggantian cepat ke HTTP jika diperlukan.
Browser juga dapat mengikuti header penyisihan, memungkinkan server web yang menyajikan konten berbeda di HTTP dan HTTPS untuk mencegah peningkatan otomatis.
Perilaku ini memerlukan modifikasi pada spesifikasi Ambil, khususnya terkait peningkatan permintaan navigasi bingkai utama dan penanganan kesalahan jaringan dalam permintaan yang ditingkatkan.
Peningkatan ini berdampak pada berbagai aspek penelusuran:
- Hal ini terbatas pada navigasi main-frame, dengan peningkatan sub-sumber daya yang diatur oleh kebijakan konten campuran yang ada.
- Navigasi yang dimulai melalui bilah URL atau JavaScript memenuhi syarat untuk ditingkatkan.
- Peningkatan ini hanya memengaruhi permintaan idempoten seperti GET, yang selaras dengan kebijakan konten campuran saat ini untuk formulir pada halaman yang ditingkatkan.
- Pengalihan ke HTTP dari navigasi HTTPS awal juga ditingkatkan.
- Meskipun peningkatan otomatis ini tidak mencegah penurunan versi, namun keamanannya tidak kalah dengan standar saat ini.
Ini membatasi paparan terhadap penyerang pasif, meskipun penyerang aktif dapat menghambat proses peningkatan. Yang penting, perubahan ini mungkin mengurangi motivasi pengembang untuk memperbaiki referensi HTTP.
Namun, mengingat tren saat ini yang menandai halaman HTTP sebagai “Tidak aman”, peningkatan versi ini merupakan tindakan proaktif untuk melindungi pengguna, terutama pada situs yang kemungkinan tidak akan diperbarui ke HTTPS.
Pertimbangan Keamanan dan Privasi
Peningkatan otomatis tidak dimaksudkan untuk mencegah penurunan versi. Jika situs kembali ke HTTP, kondisi pengguna tidak akan lebih buruk daripada saat berada dalam status quo.
Penyerang aktif dapat mencegah peningkatan versi tautan. Kondisi ini tidak lebih buruk dibandingkan status quo, di mana tautan akan diakses melalui HTTP tanpa upaya memuatnya melalui HTTPS. Perubahan ini membatasi informasi yang dapat diamati oleh penyerang yang sepenuhnya pasif.
Memperbarui URL HTTP secara diam-diam dapat menimbulkan dampak negatif pada ekosistem dengan menghilangkan insentif bagi pengembang untuk memperbaiki referensi HTTP, atau memperkecil kemungkinan mereka menyadarinya sama sekali. Namun, karena banyak browser sudah secara agresif menandai laman HTTP sebagai “Tidak aman”, tidak jelas insentif tambahan apa yang dapat digunakan agar pengembang memperbaiki tautan HTTP yang mungkin berupa HTTPS. Selain itu, banyak situs web semacam itu mungkin tidak dipelihara atau jarang diperbarui. Dengan mencoba meningkatkan navigasi ke HTTPS, browser melindungi privasi pengguna di situs web yang tidak akan pernah diperbarui untuk mengarah ke HTTPS secara langsung.
Ancaman yang mungkin terjadi
Jika sejumlah besar situs menyajikan konten yang berbeda di HTTPS dibandingkan HTTP, peningkatan tautan secara otomatis mungkin menyulitkan pengguna untuk mengakses versi laman yang “benar”. Penelitian sebelumnya pada tahun 2020 memperkirakan 1-3% situs memiliki setidaknya 1 halaman yang berbeda antara HTTP dan HTTPS. Tidak jelas bagaimana hal ini diterjemahkan ke dalam persentase total pemuatan halaman, atau bagaimana hal ini diterjemahkan ke dalam dampak nyata terhadap pengguna.
Kesetaraan konten sulit diukur. Browser harus bergantung pada masukan dari eksperimen untuk menentukan dampak peningkatan yang tidak diinginkan. Header penyisihan dapat digunakan oleh administrator situs untuk mencegah peningkatan yang tidak diinginkan.
Sumber :
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security
https://github.com/dadrian/https-upgrade/blob/main/explainer.md