Google и Mozilla сообщили, что антивирусы снижают уровень защиты протокола HTTPS

Google, Mozilla, Cloudflare и несколько американских университетов провели исследование, по результатам которого выяснилось, что многие антивирусы и сетевые устройства негативно влияют на работу HTTPS-соединений, подвергая пользователей угрозе дешифровки данных. А популярность HTTPS стремительно растёт: по данным Let’s Encrypt, к началу февраля более 50% всего интернет-трафика зашифровано с использованием этого протокола.

Google и Mozilla сообщили, что антивирусы снижают уровень защиты протокола HTTPS 1

Однако с ростом популярности HTTPS, или «HTTP по TLS», растёт и число сетевых устройств и антивирусов, которые перехватывают TLS-подключения для проверки сетевого трафика.

Исследователи выяснили, что производители ПО плохо реализовали проверку трафика, прошедшего стадию «TLS-рукопожатия», когда антивирусы и сетевые устройства “уничтожают и расшифровывают пользовательскую сессию TLS, анализируют чистый HTTP-текст, а потом создают новое TLS-подключение для передачи данных адресату».

Изучив 8 миллиардов TLS-рукопожатий, созданных браузерами Chrome, Safari, Internet Explorer и Firefox, учёные обнаружили следы перехвата в 4% трафика к серверам обновлений Firefox, 6,2% трафика коммерческих сайтов и 10,9% трафика Cloudflare. Защита более 50% перехваченных подключений была ослаблена, зачастую из-за использования слабых криптографических алгоритмов.

Команда исследователей также выяснила, что настройки по умолчанию в 11 из 12 протестированных сетевых устройств содержат серьёзные уязвимости, такие как некорректная валидация сертификатов. В 24 из 26 антивирусов также были найдены ошибки безопасности.

Google и Mozilla сообщили, что антивирусы снижают уровень защиты протокола HTTPS 2

Из всех антивирусов, поддерживающих TLS-перехват, только Avast AV 11 и AV 10 получили высший балл A, в то время как все остальные получили оценку C или F. Оценка C выставляется продуктам, содержащим известные TLS-уязвимость, например, BEAST, FREAK или Logjam; F получают продукты с ошибками шифрования подключений и валидации сертификатов.

Также тестировали антивирусы фирм AVG, Bitdefender, Bullguard, Cybersitter, Dr Web, ESET, G Data, Kaspersky, KinderGate, Net Nanny, PC Pandora и Qustodio.

Исследователи призывают производителей антивирусов отказаться от перехвата HTTPS, поскольку их продукты и так имеют доступ к локальным файловым системам, памяти браузера и контенту, передаваемому по HTTPS.