HTTPS überall

HTTPS Everywhere war eine eingestellte , kostenlose Open-Source -Browsererweiterung für Google Chrome , Microsoft Edge , Mozilla Firefox , Opera , Brave , Vivaldi und Firefox für Android . Sie wurde in Zusammenarbeit des Tor-Projekts und der Electronic Frontier Foundation (EFF) entwickelt . ^{[ 4 ]} Die Erweiterung veranlasste Webseiten automatisch, eine sicherere HTTPS- Verbindung anstelle von HTTP zu verwenden , sofern diese unterstützt wurde. ^{[ 5 ]} Mit der Option „Alle geeigneten Seiten verschlüsseln“ konnten alle Nicht-HTTPS-Browserverbindungen mit einem Klick blockiert und wieder freigegeben werden. ^{[ 6 ]} Aufgrund der weitverbreiteten Nutzung von HTTPS im World Wide Web und der Integration des HTTPS-Modus in gängige Browser wurde die Erweiterung im Januar 2023 eingestellt. ^{[ 7 ]}

HTTPS Everywhere wurde durch Googles verstärkte Nutzung von HTTPS inspiriert ^{[ 8 ]} und ist darauf ausgelegt, die Verwendung von HTTPS nach Möglichkeit automatisch zu erzwingen. ^{[ 9 ]} Der Code basiert teilweise auf der HTTP Strict Transport Security- Implementierung von NoScript , ist aber benutzerfreundlicher als die HTTPS-Funktion von NoScript, bei der Websites manuell zu einer Liste hinzugefügt werden müssen. ^{[ 4 ]} Die EFF stellt Informationen zur Verfügung, wie HTTPS-Regelsätze zu HTTPS Everywhere hinzugefügt werden können ^{[ 10 ]} , sowie Informationen darüber, welche Websites HTTPS unterstützen. ^{[ 11 ]}

Eine öffentliche Betaversion von HTTPS Everywhere für Firefox wurde 2010 veröffentlicht ^{[ 12 ]} , Version 1.0 folgte 2011 ^{[ 13 ]} . Eine Betaversion für Chrome erschien im Februar 2012 ^{[ 14 ]} . 2014 wurde eine Version für Android- Smartphones veröffentlicht ^{[ 15 ]} .

Das SSL Observatory ist eine Funktion von HTTPS Everywhere, die in Version 2.0.1 eingeführt wurde ^{[ 14 ].} Es analysiert Zertifikate öffentlicher Schlüssel, um festzustellen, ob Zertifizierungsstellen kompromittiert wurden ^{[ 16 ]} und ob der Benutzer anfällig für Man-in-the-Middle-Angriffe ist ^{[ 17 ]} . Im Jahr 2013 stellte das ICANN Security and Stability Advisory Committee (SSAC) fest, dass der vom SSL Observatory verwendete Datensatz zwischengeschaltete Zertifizierungsstellen häufig als separate Entitäten behandelte, wodurch die Anzahl der Zertifizierungsstellen künstlich erhöht wurde. Das SSAC kritisierte das SSL Observatory außerdem dafür, dass es interne Namenszertifikate möglicherweise deutlich untererfasste, und merkte an, dass es einen Datensatz aus dem Jahr 2010 verwendete ^{[ 18 ].}

Das Update auf Version 2018.4.3 vom 3. April 2018 führt die Funktion „Kontinuierliche Regelsatzaktualisierungen“ ein. ^{[ 19 ]} Um aktuelle HTTPS-Regeln anzuwenden, führt diese Aktualisierungsfunktion innerhalb von 24 Stunden einen Regelabgleich durch. Die EFF hat hierfür die Website https-rulesets entwickelt. ^{[ 20 ]} Diese automatische Aktualisierungsfunktion kann in den Add-on-Einstellungen deaktiviert werden. Vor der Einführung dieses Aktualisierungsmechanismus erfolgten Regelsatzaktualisierungen ausschließlich über App-Updates. Auch nach der Implementierung dieser Funktion sind weiterhin Regelsätze in App-Updates enthalten.

Zwei Studien haben die Integration der HTTPS-Everywhere-Funktionalität in Android-Browser empfohlen. ^{[ 21 ] [ 22 ]} Eric Phetteplace bezeichnete sie 2012 als „möglicherweise die beste verfügbare Antwort auf Firesheep -Angriffe für jede Plattform“. ^{[ 23 ]} Vincent Toubiana und Vincent Verdot wiesen 2011 auf einige Nachteile des HTTPS-Everywhere-Add-ons hin. So müsse die Liste der HTTPS-fähigen Dienste regelmäßig aktualisiert werden, und manche Dienste würden auf HTTPS umgeleitet, obwohl sie noch nicht über HTTPS verfügbar seien, wodurch der Zugriff für den Nutzer der Erweiterung unmöglich werde. ^{[ 24 ]} Weitere Kritikpunkte sind, dass Nutzer fälschlicherweise annehmen könnten, HTTPS Everywhere schalte eine Website nicht auf HTTPS um, weil diese keine HTTPS-Version anbiete. Tatsächlich könne es aber auch sein, dass der Website-Betreiber kein HTTPS-Regelwerk bei der EFF eingereicht habe. ^{[ 25 ]} Außerdem könnten die Informationen, die die Erweiterung über die besuchten Websites an das SSL Observatory sendet, zur Nachverfolgung des Nutzers missbraucht werden. ^{[ 25 ]}

Die Initiative „HTTPS Everywhere“ inspirierte opportunistische Verschlüsselungsalternativen :

• 2022: Firefox für Android und Firefox Focus HTTPS-only-Modus ^{[ 26 ] [ 27 ]}
• 2021: Google Chrome HTTPS-only-Modus ^{[ 28 ] [ 29 ]}
• 2020: Firefox integrierter HTTPS-Modus ^{[ 30 ] [ 31 ]}
• 2019: HTTPZ ^{[ 32 ]} für Firefox / WebExt -fähige Browser
• 2017: Smart-HTTPS (frühe Closed-Source-Version seit v0.2 ^{[ 33 ]} )

• Transport Layer Security (TLS) – Kryptografische Protokolle, die die Kommunikationssicherheit über ein Computernetzwerk gewährleisten.
• Privacy Badger – Eine kostenlose Browsererweiterung der EFF, die Werbung und Tracking-Cookies blockiert .
• Schweiz (Software) – Ein Open-Source -Netzwerküberwachungsprogramm , das von der EFF entwickelt wurde, um den Netzwerkverkehr zu überwachen.
• Let's Encrypt – Eine kostenlose, automatisierte X.509 -Zertifizierungsstelle, die die Einrichtung und Wartung von TLS-verschlüsselten, sicheren Websites vereinfachen soll.
• HTTP Strict Transport Security – Ein Sicherheitsmechanismus für Webseiten, der dazu beiträgt, Webseiten vor Protokoll-Downgrade-Angriffen und Cookie-Hijacking zu schützen .