Firefox : le chargement de ressources FTP dans une page Web ne sera plus autoris�

Le protocole FTP ne supportant pas le chiffrement moderne

Mozilla Firefox commencera � bloquer le chargement de ressources � partir des serveurs FTP dans les pages HTTP et HTTPS. Cette mesure de s�curit� s'appliquera d�s Firefox 61 (qui sera disponible en juin prochain selon les ing�nieurs de Mozilla) et les versions ult�rieures. Les ressources FTP sont les fichiers charg�s via le protocole FTP dans les balises <img>, <script> et <iframe> avec src = � ftp://  ï¿½.


Le probl�me est que FTP est un protocole non s�curis� qui ne supporte pas les techniques de chiffrement modernes et va casser par lui-m�me de nombreuses autres fonctions de s�curit� et de confidentialit� du navigateur, telles que HSTS, CSP, XSA ou autres. En outre, de nombreuses campagnes de distribution de logiciels malveillants reposent souvent sur la compromission de serveurs FTP et la redirection ou le t�l�chargement de logiciels malveillants sur les ordinateurs des utilisateurs via des ressources FTP.

La modification permettra d'acc�der aux ressources FTP dans les hyperliens ou lorsque l'adresse d'un serveur FTP est entr�e dans la barre d'adresse de Firefox, mais le navigateur ne permettra plus d'invoquer les ressources FTP � l'aide de l'attribut src HTML.

Google a pris une d�cision similaire avec Chrome 63 sorti en septembre dernier en bloquant le chargement des ressources FTP. Le navigateur a commenc� � bloquer le chargement de la ressource FTP, et a �galement commenc� � �tiqueter les sites FTP dans la barre d'adresse du navigateur comme � non s�curis�s ï¿½. Google a d�clar� � l'�poque que 0,0026 % de tous les liens charg�s dans la barre d'adresse du navigateur �taient des liens FTP, un nombre susceptible d'�tre tr�s similaire sur Firefox.

FTP envoie des donn�es en clair et n'a pas �t� con�u pour le web moderne. En effet, le protocole a pr�c�d� le web de plus de 15 ans. Peu de gens pleureront ou remarqueront la d�pr�ciation de FTP � l'int�rieur de Firefox. Le protocole est maintenant si marginalis� que m�me les services de t�l�chargement sous Linux ont cess� de l'offrir en option.

Source : Firefox Site Compatibility

Et vous ?

Qu'en pensez-vous de cette mesure de s�curit� ?