Chrome aizsargās pret trešo pušu sīkfailu un slēptās identifikācijas pārsūtīšanu

Google ir paziņojis par turpmāko izmaiņu ieviešanu pārlūkā Chrome, kas paredzēts privātuma uzlabošanai. Pirmais daļa izmaiņu attiecas uz sīkdatņu apstrādi un atribūta SameSite atbalstu.

Sākot ar Chrome versijas 76 izlaišanu (paredzēts jūlijā),  tiks aktivizēts zīmols "tās pašas vietnes sīkfaili" ka, ja Set-Cookie galvenē nav atribūta SameSite, pēc noklusējuma tiks iestatīta vērtība "SameSite = Lax", kas ierobežo sīkfailu sūtīšanu.

Trešās puses vietņu ieliktņiem (taču vietnes joprojām varēs noņemt ierobežojumu, acīmredzot, iestatot sīkfailu SameSite = None).

Atribūts SameSite ļauj tīmekļa pārlūkprogrammu (hroms) definēt situācijas, kurās sīkdatņu pārsūtīšana ir pieņemama kad pieprasījums nāk no trešās puses vietnes.

Pašlaik pārlūks nosūta sīkfailus pēc jebkura pieprasījuma vietnei, kurai ir iestatīti sīkfaili, pat ja sākotnēji tiek atvērta cita vietne un zvans tiek veikts netieši, lejupielādējot attēlu vai izmantojot iframe.

Par SameSite

Reklāmu tīkli izmanto šo funkciju, lai izsekotu lietotāju pārvietošanos starp vietnēm un uzbrucējiem organizēt CSRF uzbrukumus(Kad tiek atvērts uzbrucēja kontrolēts resurss, pieprasījums tiek paslēpts no tās lapām uz citu vietni, kurā tiek autentificēts pašreizējais lietotājs, un lietotāja pārlūkprogramma šim pieprasījumam iestata sesijas sīkfailus.)

No otras puses, spēja nosūtīt sīkfailus trešo pušu vietnēm tiek izmantota, lai lapās ievietotu logrīkus, piemēram, lai integrētos ar YouTube vai Facebook.

Izmantojot atribūtu SameSite, jūs varat kontrolēt darbību, iestatot sīkfailus un atļaut sūtīt sīkfailus tikai kā atbildi uz pieprasījumiem, kas ierosināti no vietnes, no kuras šie sīkfaili sākotnēji tika saņemti.

SameSite var izmantot trīs vērtības: "Stingra", "Lax" un "Nav".

Stingrā režīmā ("Stingri")- Sīkfaili netiek sūtīti par jebkāda veida starpvalstu pieprasījumiem, ieskaitot visas ienākošās saites no ārējām vietnēm.

Režīmā "Lax": Tiek piemēroti mīkstāki ierobežojumi, un sīkfailu pārsūtīšana tiek bloķēta tikai starpvalstu pieprasījumiem, piemēram, attēlu pieprasījumam vai satura lejupielādei, izmantojot iframe.

Atšķirība starp "" Stingru "un" Lax "izpaužas kā sīkfailu bloķēšana, kad tiek izmantota saite.

Citas izmaiņas

No citām gaidāmajām izmaiņām, kas paredzamas nākamajām Chrome versijām, plānots piemērot stingru ierobežojumu, kas aizliedz trešo pušu sīkdatņu apstrādi pieprasījumiem bez HTTPS (ar atribūtu SameSite = None, sīkfailus var iestatīt tikai drošajā režīmā).

Turklāt tiek plānots darbs, lai aizsargātu pret pārlūkprogrammas pirkstu nospiedumu izmantošanu, tostarp identifikatoru ģenerēšanas metodes, pamatojoties uz netiešiem datiem, piemēram, ekrāna izšķirtspēju, atbalstīto MIME tipu sarakstu, īpašus parametrus galvenēs (HTTP / 2 un HTTPS), analīzi spraudņu un instalēto fontu.

Kā arī noteiktu tīmekļa API pieejamība, Video kartēm raksturīgas renderēšanas funkcijas, izmantojot WebGL un Canvas, CSS manipulācijas, peles un tastatūras raksturlielumu analīze.

Turklāt pārlūkam Chrome būs aizsardzība pret lļaunprātīga izmantošana, kas saistīta ar grūtības atgriezties sākotnējā lapā pēc pāriešanas uz citu vietni (laba ieviešana, pret vietnēm, kas jūs novirza starp lapām).

Mēs runājam par praksi piesātināt reklāmguvumu vēsturi ar virkni automātisku novirzīšanu vai mākslīgi pievienot fiktīvus ierakstus pārlūkošanas vēsturei (izmantojot pushState), kā rezultātā lietotājs nevar izmantot pogu «Atpakaļ», lai atgrieztos. sākotnējā lapa pēc nejaušas pārejas vai piespiedu atkārtotas iesniegšanas krāpniecības vietnei.

Lai pasargātu no šādām manipulācijām, Chrome aizmugures pogas apstrādātājā izlaidīs žurnālus, kas saistīti ar automātisko pārsūtīšanu un apmeklējumu vēstures manipulācijām, atstājot atvērtas tikai lapas ar nepārprotamām lietotāja darbībām.

Fuente: https://blog.chromium.org/