Mail.Ru: шифрование для всех
Почтовый сервис Mail.Ru объявил о введении дополнительного уровня защиты пользователей, включив защищенный протокол HTTPS на главной странице. Теперь шифрование работает с первых шагов пользователя на портале, а также включено всегда и по умолчанию.
С момента захода на главную страницу портала Mail.Ru пользователь защищен от атак, поскольку весь трафик передается по защищенному протоколу HTTPS, а значит, шифруется (до этого HTTPS на главной странице был включен только для части пользователей). Таким образом, ни один запрос браузера к серверу не может быть перехвачен злоумышленником. При использовании HTTP, подразумевающего передачу данных в открытом виде, такая возможность потенциально есть.
Браузер будет отправлять данные по протоколу HTTPS, защищая запрос пользователя от перехвата, даже если попытаться вручную ввести «HTTP» вместо «HTTPS» в адресной строке или перейти на http://mail.ru из закладок. Это реализовано c помощью технологии Strict Transport Security.
Важно было реализовать HTTPS не только в почте, но и на главной странице Mail.Ru, отметили в Mail.Ru Group, поскольку их аудитории пересекаются примерно на 70%. Существенно, что HTTPS нельзя отключить вручную – это сделано, чтобы обеспечить высокий уровень защиты для тех, кто не умеет или не хочет заботиться о безопасности.
Протокол HTTPS работает не только в десктопной, но и в мобильной версии главной страницы Mail.Ru. Это должно обеспечить безопасность пользователей, подключающихся к публичному Wi-Fi со смартфонов и планшетов, поскольку точки публичного Wi-Fi-доступа гораздо более уязвимы к кибератакам, чем проводной интернет. По HTTPS-соединению также работают все почтовые приложения и мобильная версия Почты Mail.Ru.
Кроме того, несколько месяцев назад Мail.Ru Group реализовала три новых способа защиты пользовательских данных: HTTP only cookie, Secure cookie и разделение сессий при работе с разными сервисами Mail.Ru. В апреле 2014 г. компания запустила программу поиска уязвимостей, в рамках которой хакеры со всего мира помогают тестировать безопасность сервисов на прочность.