Kommande säkerhetsfeatures i Chrome

Förra veckan postade Google om några nya säkerhetsfeatures som tillkommer i Chrome framöver.

Den mest nytänkande featuren tycker jag är den här:

Chromium 13: built-in certificate pinning and HSTS
...
As of Chromium 13, all connections to Gmail will be over HTTPS. This includes the initial navigation even if the user types “gmail.com” or “mail.google.com” into the URL bar without an https:// prefix, which defends against sslstrip-type attacks.

The same HSTS technology also prevents users from clicking through SSL warnings for things such as a self-signed certificate. These attacks have been seen in the wild, and users have been known to fall for such attacks. Now there’s a mechanism to prevent them from doing so on sensitive domains.

In addition in Chromium 13, only a very small subset of CAs have the authority to vouch for Gmail (and the Google Accounts login page). This can protect against recent incidents where a CA has its authority abused, and generally protects against the proliferation of signing authority.

Tre saker händer alltså:

1. Gmail kommer bara gå att komma åt via SSL-anslutning oavsett vad. Kommer detta bara vara så för gmail, eller kan man "ansöka" hos Google om att få sin site med på listan? Kanske Paypal vore nice, som för tillfället är inblandat i att stämma Google i ett helt annat ärende?
2. Självsignerande cert b-gone. Google har säkerligen väldigt bra (och hög) statistik som tydligt visar att användare inte ses som pålitliga i det här avseendet. Yay!
   
3. Gmail.com kommer bara acceptera SSL-certifikat från ett mycket litet antal CAs. Jag utgår från att det här är modifierbart på klienten så att även företag som MITM:ar https kan fortsätta göra det. Även det här väcker frågan hur "pinning" av SSL-certs ska skötas långsiktigt.

Rätt så intressant över huvud taget med punkt 3. Det tar i frågan hur pålitliga CAs verkligen är. Det finns idag en stor inbyggd tillit i att de är pålitliga, men som Comodo visade så kan den tilliten vara felplacerad. Vad gör man då? Försöker rätta problemet hos varje CA? Eller gör som Google och minskar angreppsytan och pekar ut att specifikt "de här" CA är de vi kommer använda oss av. Vad händer då om "alla" börjar göra så? Kommer vi få se en utrensning av CAs? Eller spelar det mindre roll vilken CA man går till så länge man stänger ute de flesta - det är ju hur som helst minskad angreppsyta.

Jag skulle säga att Google gör vad de kan med de resurser som finns inom deras direkta kontroll. Och det ska bli intressant att se hur övriga aktörer på Internet nu reagerar på det.