Google Chrome Tăng Cường Bảo Mật Bằng Cách Chặn Mixed Content
Google Chrome đang采取 biện pháp nghiêm ngặt về bảo mật và quyền riêng tư của người dùng. Gần đây, Google đã công bố tính năng bảo mật mới cho tìm kiếm trên YouTube, Maps và lệnh giọng nói Google Assistant. Bây giờ, Google tập trung bảo vệ lợi ích người dùng bằng cách củng cố bảo mật phiên duyệt Chrome thông qua việc chặn nội dung hỗn hợp (mixed content). Google đảm bảo các kết quả tìm kiếm hàng đầu luôn là các trang web có chứng chỉ SSL, nghĩa là máy chủ chạy trên giao thức HTTPS an toàn.
Tuy nhiên, gia tăng tội phạm mạng và các vi phạm bảo mật trong quá khứ đã thúc đẩy Google mở rộng nỗ lực để ngăn chặn tấn công hack, rò rỉ mật khẩu và đánh cắp danh tính. Google trước đây đã chặn "mixed content" trên Chrome. Nhưng bây giờ Google dự định chặn tất cả các loại nội dung không an toàn trên Chrome.
Mixed Content (Nội Dung Hỗn Hợp) Là Gì?
Nội dung trên Chrome được phân phối qua các trang web theo hai định dạng: nội dung an toàn (dưới mã hóa HTTPS) và nội dung qua kết nối HTTP không mã hóa. Chữ "S" trong HTTPS nghĩa là "Secure" (An toàn). Điều này có nghĩa là liên lạc giữa kết nối mạng của bạn và máy chủ trang web được bảo mật và mã hóa. Mọi dữ liệu truyền tải (bao gồm thông tin đăng nhập) đều được mã hóa, khiến hacker khó xâm nhập.
Ngược lại, HTTP không đảm bảo mã hóa. Không có bảo vệ đảm bảo cho thông tin đăng nhập và hoạt động mạng trên trang đó. Google lâu nay đã cảnh báo khi người dùng mở trang không an toàn trên Chrome. Dấu "https://" bị ẩn và hiển thị "Not Secure" (Không an toàn) trên thanh địa chỉ.
Tuy nhiên, một số trang web vẫn phân phối nội dung qua HTTPS nhưng tải hình ảnh, script, quảng cáo từ nguồn HTTP. Các trang web tải nội dung không an toàn qua kết nối an toàn được gọi là cung cấp "Mixed Content" (Nội dung hỗn hợp). Vì mixed content không được bảo vệ hoàn toàn, kết nối có thể dẫn đến hoạt động độc hại dù chính trang web không bị thay đổi.
Mixed Content Ảnh Hưởng Như Thế Nào Đến Bảo Mật Trình Duyệt?
Như đã nói, Mixed Content không ảnh hưởng đến bảo mật của chính trang web. Kết nối với máy chủ trang web vẫn an toàn dù có hình ảnh, script, video, quảng cáo không an toàn. Tuy nhiên, các script và hình ảnh không an toàn này đe dọa lớn hơn nếu bạn dùng mạng công cộng. Hacker có thể xâm nhập phiên, dẫn đến hậu quả nghiêm trọng hơn cho bảo mật trình duyệt.
Ví dụ: bạn truy cập trang web tải hình ảnh qua HTTP. Hình ảnh đó có thể bị can thiệp khi thiết lập kết nối, tăng nguy cơ malware gắn liền. Hacker có thể xâm nhập bảo mật trình duyệt qua kết nối đó, theo dõi dữ liệu bạn tìm kiếm, trang bạn đăng nhập, thông tin bạn xem. Điều này vi phạm quyền riêng tư, tăng nguy cơ tiêm mã độc và đánh cắp dữ liệu.
Tại Sao Mixed Content Vẫn Xuất Hiện Trên Trang Web An Toàn?
Mixed Content là vấn đề của web trong quá trình tiến hóa. Các trang web trước dùng HTTP. Chứng chỉ SSL và HTTPS đến sau. Dù các tên miền lớn đã có SSL để uy tín, nhưng vẫn còn nguồn chưa cài đặt chứng chỉ. Thậm chí sau khi có SSL, trang web không nhất thiết dùng HTTPS cho tất cả tài nguyên. Tài nguyên bên thứ ba (hình ảnh, script) cũng không đảm bảo có HTTPS.
Đây là lý do Google thúc đẩy chặn mixed content trên Chrome. Việc chặn tất cả mixed content sẽ cung cấp kết nối an toàn hơn. Google tuyên bố 90% trang web xuất hiện trên tìm kiếm Google đã dùng HTTPS. Cập nhật này sẽ thúc đẩy các trình duyệt khác ngừng mixed content và buộc trang web ngừng tải tài nguyên từ nguồn không an toàn.
Google Sẽ Chặn Mixed Content Trên Chrome Như Thế Nào?
Theo blog của Google, tính năng chặn mixed content sẽ được triển khai theo 3 giai đoạn qua 3 phiên bản Chrome sắp tới (bắt đầu từ tháng 12 năm đó):
Chrome 79:
Bước đầu: chặn script và iframe hỗn hợp. Google đã làm điều này cho script hỗn hợp. Khi chặn, hiển thị thông báo "Insecure Content Blocked" (Nội dung không an toàn bị chặn) và biểu tượng khiên trên thanh địa chỉ.
Với Chrome 79, nội dung này bị chặn mặc định. Nếu người dùng muốn bỏ chặn, phải vào Cài đặt trang (Site Settings):
Bước 1: Nhấp nút "Khóa" (Lock) bên trái thanh địa chỉ.
Bước 2: Vào Cài đặt trang (Site Settings) và điều chỉnh quyền để cho phép mixed content bị chặn.
Chrome 80:
Chrome 80 sẽ chặn mixed content dạng audio/video. Nguồn tải phải là HTTPS. Nếu nội dung không tải qua https://, Chrome sẽ chặn mặc định. Người dùng có thể bỏ chặn bằng nút Khóa như hình.
Google tuyên bố không chặn hình ảnh mixed content ở Chrome 80. Tuy nhiên, nếu trang web tải hình ảnh mixed content, Chrome sẽ gán nhãn "Not Secure" (Không an toàn) cho trang đó.
Chrome 81 (Ra mắt tháng 2/2020):
Phiên bản cuối cùng sẽ chặn hoàn toàn hình ảnh mixed content để đảm bảo bảo mật tuyệt đối cho trang web và phiên duyệt.
Google đang kiểm tra nỗ lực trước khi hoàn thành mục tiêu chặn tất cả mixed content. Do đó tính năng được triển khai 3 bước. Trên blog chính thức, Google đã cảnh báo nhà phát triển dọn dẹp trang web, sửa nội dung để phù hợp quy tắc mới.
Mixed Content Qua Quảng Cáo
Ngoài hình ảnh và script, trang web cũng tải quảng cáo từ nguồn không an toàn. Những quảng cáo này cũng thuộc mixed content. Nếu muốn chặn quảng cáo không an toàn, bạn có thể cài tiện ích chặn quảng cáo cho Chrome.
StopAll Ads là tiện ích tuyệt vời chặn quảng cáo và pop-up trên Chrome. Hầu hết blog/web chạy quảng cáo qua Google AdSense để kiếm tiền liên kết - nguồn thu chính của Google. Do đó Google sẽ không bao giờ chặn quảng cáo dưới mixed content vì sẽ phá vỡ mô hình kinh doanh.
Vì vậy, bạn cần hỗ trợ bên ngoài để bảo vệ mình khỏi quảng cáo có thể chứa mã độc. StopAll Ads hoạt động như ad-blocker, chặn tất cả quảng cáo ở mọi góc trang web.
Trang web thường có quảng cáo trên Chrome trông như sau:
Khi bật StopAll Ads, tiện ích chặn tất cả quảng cáo, mang lại phiên duyệt không quảng cáo:
Biểu tượng StopAll Ads hiển thị bên thanh địa chỉ. Kết hợp chặn quảng cáo với tính năng chặn mixed content mới của Google, bạn sẽ loại bỏ hoàn toàn nội dung không an toàn khỏi phiên duyệt.
Kết Luận
Nỗ lực chặn mixed content của Google cho thấy tập trung vào quyền riêng tư - điều cần thiết sau nhiều phản đối. Tuy nhiên, việc bỏ qua chặn quảng cáo mixed content cho thấy Google vẫn ưu tiên mô hình kinh doanh. Dù vậy, tính năng này hữu ích cho người dùng Chrome toàn cầu. Để an toàn tuyệt đối từ mixed content,建议 bạn chặn quảng cáo trên Chrome và lướt web không lo ngại bất an.
Hãy chia sẻ quan điểm về nỗ lực mới của Google! Bạn nghĩ nó ảnh hưởng thế nào đến phiên duyệt của bạn? Bạn cảm thấy an toàn đến mức nào với tính năng này?
Để cập nhật thêm tin tức công nghệ, đăng ký bản tin Systweak và theo dõi chúng tôi trên Twitter và Facebook.