Google sta lavorando per estendere la verifica in tempo reale di Safe Browsing anche alla navigazione privata di Chrome. Nella modalità Incognito, il browser può infatti ripiegare sulla sola lista locale dei siti pericolosi, mentre la nuova funzionalità dovrebbe affiancare a questo elenco il controllo effettuato tramite un server dedicato alla privacy.
La modifica riguarderà sia la protezione standard sia quella avanzata. Quest’ultima aggiunge ulteriori barriere contro siti, download ed estensioni pericolosi, ma richiede la condivisione di più dati con Google. La scelta comporta quindi un bilanciamento tra una protezione più completa e la necessità di trasmettere maggiori informazioni all’azienda.
Come funziona il controllo in tempo reale
Il sistema di sicurezza opera attraverso due meccanismi distinti. Il primo consiste in un elenco di indirizzi già identificati come pericolosi, per phishing o malware, conservato sul dispositivo. Il secondo prevede una richiesta in tempo reale a Google per verificare se l’indirizzo visitato rientri tra le minacce censite in quel momento.
Con l’impostazione standard, già predefinita, Chrome consulta prima la lista locale dei siti considerati sicuri. Solo in seguito avvia la richiesta, che transita attraverso un server dedicato alla privacy con il compito di nascondere l’indirizzo IP dell’utente. In Incognito, invece, il ricorso alla sola lista locale dei siti pericolosi può determinare l’assenza di una verifica equivalente a quella effettuata durante la navigazione normale.
Il limite della lista aggiornata ogni 30-60 minuti
La lista locale si aggiorna ogni 30-60 minuti, perciò può non includere minacce nuove o temporanee. I siti malevoli possono restare online per periodi brevi, spesso meno di 10 minuti, e sparire prima che il loro indirizzo venga registrato nell’elenco. Una pagina di phishing potrebbe dunque comparire, causare danni e dissolversi tra due aggiornamenti consecutivi.
Per colmare questo vuoto di sicurezza, Google aveva già introdotto la verifica in tempo reale degli indirizzi su computer e iPhone. L’estensione della stessa soluzione alla modalità privata mira a offrire un controllo coerente, anche se il passaggio richiederà condivisione di più dati con Google.
Il flag sperimentale e i dati conservati nella RAM
La verifica in tempo reale per Incognito è ancora un esperimento: rimane disattivata di default ed è nascosta dietro un flag sperimentale, un’impostazione di Chrome riservata alle funzioni in prova. Per il rilascio ufficiale non è stata indicata alcuna data.
Per mantenere la privacy, i dati di sicurezza generati durante una sessione Incognito dovrebbero restare soltanto nella memoria RAM, senza essere scritti sul disco. In questo modo, nessuna informazione collegata alla sessione privata dovrebbe rimanere archiviata sul dispositivo al termine dell’utilizzo.
Incognito non equivale all’anonimato
L’attivazione di questi controlli non trasforma Incognito in una modalità anonima. I siti visitati e il provider di rete possono comunque osservare l’attività svolta durante la navigazione. La differenza rispetto alla modalità ordinaria risiede nel fatto che Chrome non registra quei dati nella cronologia.
Sulla stessa modalità è inoltre in corso il test di un blocco del fingerprinting tramite canvas, tecnica di tracciamento che sfrutta le piccole differenze nel modo in cui ciascun dispositivo disegna la grafica. L’esperimento rientra nel più ampio lavoro di Google sul rafforzamento della sicurezza privata, senza modificare il principio fondamentale della navigazione in incognito.
