Perché Chrome sacrifica un po' di sicurezza sull'altare delle performance

Il browser di Google, Chrome, integra una funzionalità di sicurezza chiamata Safe Browsing o Navigazione sicura, in italiano, che protegge gli utenti dalle pagine Web che ospitano malware e pongono in atto attacchi phishing. Digitando chrome://settings/security è possibile verificare la sua configurazione e in un altro articolo abbiamo visto le differenze tra la navigazione sicura standard e avanzata.

Ogni volta che si visita una qualsiasi pagina Web con Google Chrome, Safe Browsing provvede a controllare che sia legittima e non costituisca un pericolo, neppure potenziale per l’utente. Fin dalla sua nascita, la Navigazione sicura di Chrome ha pesantemente interagito con il processo di caricamento delle pagine Web. Finché Chrome non riceve il “via libera” dai server di Google e, di conseguenza, la pagina Web richiesta non supera un controllo formale, il sito non viene né caricato né visualizzato. Almeno questo è quanto avveniva sino ad oggi e quanto succederà fino alla release 121 di Google Chrome. Perché d’ora in avanti cambia tutto.

La funzionalità Safe Browsing di Google non sarà più un elemento bloccante: cosa cambia per gli utenti di Chrome

Con la pubblicazione di Chrome 122, attesa per la settimana del 19 febbraio, il browser Google cambia il suo comportamento in modo sostanziale.

Dicevamo che oggi Chrome è costretto ad attendere il completamento del controllo di Navigazione sicura prima di presentare le pagine Web richieste. Poiché molti URL non sono elaborati in locale ma devono essere necessariamente inoltrati e verificati dai server di Safe Browsing ospitati all’interno dell’infrastruttura Google, alcuni siti possono caricarsi più lentamente. Il vantaggio, com’è ovvio, risiede nel maggiore livello di sicurezza che la funzionalità può offrire.

La release Chrome 122 introduce un controllo di sicurezza asincrono con Safe Browsing. In sostanza, il browser inizierà a caricare una pagina prima di ricevere la risposta dal sistema  che gestisce, lato backend, il sistema Navigazione sicura. I siti affidabili dovrebbero caricarsi più rapidamente, poiché Navigazione sicura non è più un elemento bloccante.

Nel caso in cui l’utente dovesse visitare una pagina Web malevola, Chrome continuerà a mostrare la ben nota schermata rossa con un chiaro avviso sulla pericolosità del sito. A partire da Chrome 122, tuttavia, il messaggio d’allerta potrebbe comparire dopo che il sito ha terminato il caricamento dei suoi elementi.

Per verificare la lista dei messaggi di avviso mostrati da Chrome, e in particolare da Navigazione sicura, digitate chrome://interstitials nella barra degli indirizzi e fate clic sulle voci poste al di sotto di SafeBrowsing.

Qual è l’impatto delle modifiche sul comportamento di Safe Browsing ai fini della sicurezza?

I tecnici Google assicurano che la novità in corso di integrazione in Chrome non ridurrà la sicurezza degli utenti. L’inoltro degli URL lato server a Safe Browsing avviene comunque così velocemente da provocare l’esposizione di un chiaro avviso prima che gli utenti possano davvero iniziare a interagire con eventuali elementi dannosi presenti nelle pagine Web. Ad esempio, se si dovesse raggiungere una pagina truffaldina che imita l’interfaccia di login di un servizio di online banking, la schermata rossa di Navigazione sicura dovrebbe comunque apparire in tempi ridotti. Prima che anche l’utente meno avveduto possa inserire le sue credenziali di accesso.

Ovviamente, aggiungiamo noi, il costante e tempestivo aggiornamento del browser giocherà un ruolo ancora più cruciale con la nuova “politica” scelta da Google.

Se un sito Web malevolo, magari da poco apparso in rete, contenesse codice malware (exploit) congegnato per sfruttare una specifica vulnerabilità di Chrome o Chromium ed eseguire codice malevolo, l’assenza di un controllo “ex-ante” da parte di Safe Browsing potrebbe rendere la vita più semplice per i criminali informatici. Da qui l’importanza di installare le ultime versioni di Chrome, non appena rilasciate.

Da parte sua, Google aggiunge che il controllo circa la presenza di eventuali codici exploit presenti in pagina proseguirà comunque “alla vecchia maniera” (approccio sincrono). In altre parole, l’utilizzo di codice malevolo dovrebbe essere smascherato con un controllo esercitato in ambito locale, quindi riducendo i tempi di risposta del browser. Ribadiamo, comunque, che sulla carta chi usa versioni precedenti di Chrome potrebbe non essere poi così al sicuro.

Rimozione dei controlli di sicurezza sulle risorse presenti in pagina

L’altro aspetto da rimarcare è che Chrome sta eliminando i controlli di Navigazione sicura sulle risorse secondarie che compongono ciascuna pagina Web. Il sistema di sicurezza del browser Google si limiterà semplicemente a controllare l’URL del sito Web in corso di visita, anziché gli URL di immagini, script e altri elementi.

Le risorse secondarie erano e sono un vettore piuttosto diffuso per distribuire malware. A questo proposito, in forza del cambiamento in atto, Google spiega che in futuro Chrome utilizzerà tecnologie lato client per identificare eventuali elementi dannosi presenti in pagina. Tali tecnologie sono già presenti in Chrome e saranno quindi sempre più protagoniste.

Chrome riduce anche la frequenza con cui contatta Safe Browsing per controllare i PDF scaricati. Google afferma che i PDF non sono più un veicolo principale per la diffusione di malware, così come erano in passato, e che il visualizzatore PDF integrato in Chrome funziona all’interno di una sandbox, rendendo i controlli di sicurezza meno necessari. L’applicazione di terze parti DangerZone, resta uno strumento per aprire documenti e allegati senza rischi.

Tutte le modifiche riguardano solo l’implementazione di Safe Browsing all’interno di Chrome: altri browser che accedono al database di Google continueranno a controllare gli URL come ritengono più opportuno.