Google Chrome erhält Nur-HTTPS-Modus

Google arbeitet an einer neuen Funktion für seinen Browser Chrome, die nur per HTTPS verschlüsselte Verbindungen zu Websites zulässt. Wie Bleeping Computer berichtet, kann der Nur-HTTPS-Modus bereits in der Canary-Version von Chrome 93 getestet werden. Wahrscheinlich werde die Funktion auch zusammen mit Chrome 93 am 31. August den Stable Channel und damit alle Nutzer erreichen.

Derzeit ist sicheres HTTP (HTTPS) die Voreinstellung für alle URLs, die ohne Vorgabe eines Protokolls in die Adressleiste des Browsers eingegeben werden. Unverschlüsselte Websites ruft Chrome nur dann auf, wenn eine Seite nicht per HTTPS erreichbar ist oder der Nutzer gezielt das unverschlüsselte HTTP-Protokoll vorgibt.

Der Nur-HTTPS-Modus lässt sich in Chrome 93 Canary über die Einstellung “chrome://flags/#https-only-mode-setting” aktivieren. Dadurch werden die Sicherheitseinstellungen des Browsers um die Option “Immer sichere Verbindung nutzen” erweitert, die ebenfalls eingeschaltet werden muss. Anschließend versucht Chrome, alle Verbindungen per HTTPS aufzubauen. Ein automatisches Downgrade auf HTTP findet nicht mehr statt. Ist keine HTTPS-Verbindung für eine Website verfügbar, wird vor dem Laden der Seite eine Warnmeldung angezeigt.

Eine ähnliche Funktion entwickelt Microsoft dem Bericht zufolge derzeit auch für seinen Browser Edge. Auch hier kann ein automatisches HTTPS-Upgrade aktiviert werden. Allerdings soll Microsoft eine Veröffentlichung bereits im Juli anstreben – Tests sind bereits mit den Canary- und Developer-Versionen von Edge möglich.

Firefox bietet indes bereits in den Sicherheitseinstellungen einen Nur-HTTPS-Modus. Nutzer können festlegen, ob er dauerhaft aktiv ist oder nur für den Privatsphäre-Modus benutzt wird. Die Option lässt sich aber auch generell abschalten.

Ein Vorteil verschlüsselter Verbindung ist ein Schutz vor Man-in-the-Middle-Angriffen, die das Ziel haben, unverschlüsselte Daten bei der Übertragung zwischen Browser und Webserver abzuhören. Aber auch eine lokal installierte Schadsoftware ist in der Lage, unverschlüsselt übertragene Daten wie Benutzernamen und Passwörter abzufangen. HTTPS stellt zudem sicher, dass Daten während der Übertragung zu einem Webserver nicht verändert werden.