A atualização do Firefox insistirá na segurança de certos domínios

conexões seguras entre o navegador e um servidor, o Mozilla usa HSTS (HTTP Strict Transport Security), um mecanismo usado por servidores para indicar que o navegador de conexão deve usar uma conexão segura, escreveu David Keeler da Mozilla em um post de blog. No entanto, o navegador se conecta a um servidor HSTS pela primeira vez, o navegador não sabe se deve usar uma conexão segura porque nunca recebeu um cabeçalho HSTS desse host. "Consequentemente, um invasor de rede ativo pode impedir que o navegador se conecte com segurança (e pior ainda, o usuário pode nunca perceber que algo está errado)", escreveu Keeler, acrescentando que estabelecer a conexão dessa maneira ainda o deixa vulnerável a ataques.

[Leitura adicional: Como remover malware do seu PC com Windows]

Como solução alternativa para esse problema, a Mozilla adicionou uma lista ao Firefox com domínios aos quais o navegador só deveria se conectar por padrão.

"Quando Se um usuário se conectar a um desses hosts pela primeira vez, o navegador saberá que deve usar uma conexão segura.Se um invasor de rede impedir conexões seguras com o servidor, o navegador não tentará se conectar por um protocolo inseguro, mantendo assim a segurança do usuário ", disse Keeler.

A lista foi semeada por domínios da lista de pré-carregamento HSTS do Chrome, que tem uma função semelhante à da Mozilla. O Chrome, do Google, força uma conexão segura para todos os subdomínios do google.com, mas também adicionou conexões HTTPS forçadas para sites que o solicitaram. Conexões seguras são forçadas para sites como paypal.com, twitter.com, lastpass.com e torproject.org.

"HSTS em combinação com uma lista pré-carregada de sites pode ser uma ótima ferramenta para aumentar a segurança dos usuários" Keeler escreveu… Atualmente, o recurso está presente apenas no Firefox Beta.

Loek é Correspondente de Amsterdã e cobre questões de privacidade on-line, propriedade intelectual, código-fonte aberto e pagamentos on-line para o IDG News Service. Siga-o no Twitter em @loekessers ou envie dicas e comentários por e-mail para [email protected]