HTTPS: cosa succederà dopo il rilascio di Chrome 68?

A partire da Chrome 68 tutti i siti web che non utilizzano HTTPS verranno indicati come "Non sicuri". Google ha annunciato questa sua scelta da diverso tempo, se ne parla infatti già dal 2014, e ha dato un deadline ben precisa, luglio 2018, per adattare in propri progetti ai nuovo standard di sicurezza del browser.

L'obbiettivo di Mountain View è quello di rendere la navigazione web più sicura per tutti gli utenti. Ma cosa succederà esattamente a partire da luglio? Come verranno trattati i siti Internet che non saranno ancora passati ad HTTPS?

Gli sviluppatori dell'azienda californiana hanno in programma di mantenere i marcatori "sicuro" e "non sicuro" fino al 2019, si prevede infatti che per la release di Chrome 72 l'adozione di HTTPS sarà ormai diventata capillare, quindi la dicitura "sicuro" non sarà più necessaria e rimarrà attivo solo l'avviso "non sicuro" per i siti che ancora non adottato HTTPS.

Chrome permetterà sempre di navigare nei siti Web che usano esclusivamente HTTP, infatti l'avviso che mostrerà il browser mira ad informare gli utenti che i loro dati sensibili potrebbero venire intercettati da malintenzionati, mettendoli quindi in guardia e, di riflesso, incoraggiando i gestori delle pagine Web a migrare verso standard di sicurezza più rigidi.

A partire da luglio 2018 Chrome inizierà a richiedere da subito una connessione su HTTPS, al contrario oggi la maggior parte dei browser si interfaccia ai siti Web prima con la normale connessione HTTP e solo in seguito richiede quella su HTTPS.

Altro grande cambiamento riguarderà le Certificate Authority, ovvero quei soggetti terzi di fiducia (trusted) abilitati ad emettere un certificato digitale (TLS/SSL) utilizzato appunto nelle connessioni HTTPS. Fino a qualche anno fa questi certificati erano molto costosi e poche aziende erano disposte a sborsare le somme necessarie per pagare tali certificati. Oggi però i tempi sono cambiati e i costi si sono notevolmente ridotti, anzi in alcuni casi questi certificati sono gratuiti. Ci si aspetta però che sempre più Certificate Authority adottino anche il protocollo ACME (Automatic Certificate Management Environment) per i processi di validazione ed emissione, cosi da uniformare questi ultimi a livello globale e renderli sempre più sicuri.

È attesa anche una modifica delle Baseline Requirements del Certificate Authority Browser Forum, un consorzio formato dalle Certificate Authority e dalle aziende che sviluppano i browser Web. Tale modifica dovrebbe accorciare il ciclo vitale dei certificati, che attualmente è di 27 mesi, attestandolo sui 18 mesi, cosi da incentivare maggiormente i processi di aggiornamento e di automazione.

Ovviamente Google non è l'unico attore che sta spingendo per l'adozione di HTTPS, anche Mozilla ha in programma di attuare una strategia simile con Firefox, adottando degli indicatori simili a quelli già presenti su Chrome.

Via Blog Cloudflare