Chrome do të mbrojë nga transferimi i cookies të palëve të treta dhe identifikimi i fshehur

Google ka njoftuar futjen e ndryshimeve të ardhshme në Chrome, synuar të përmirësojë privatësinë. E para pjesë e ndryshimeve i referohet trajtimit të cookies dhe mbështetjes së atributit SameSite.

Duke filluar me lëshimin e versionit Chrome 76 (pritet në korrik),  marka "e njëjta faqe-nga-parazgjedhur-cookies" do të aktivizohet që, në mungesë të atributit SameSite në kokën Set-Cookie, vlera "SameSite = Lax" do të vendoset si parazgjedhje, e cila kufizon dërgimin e cookies.

Për futjet e faqeve të palëve të treta (por faqet përsëri do të jenë në gjendje të heqin kufizimet, padyshim duke vendosur SameSite = Asnjë kur vendosni cookie).

Atribut SameSite lejon shfletuesin e internetit (Krom) të përcaktojë situatat në të cilat transferimi i cookies është i pranueshëm kur një kërkesë vjen nga një faqe e palës së tretë.

Aktualisht, shfletuesi dërgon Cookie për çdo kërkesë në sitin për të cilin janë vendosur cookies, edhe nëse fillimisht hapet një sit tjetër dhe thirrja bëhet indirekt duke shkarkuar një imazh ose duke përdorur një iframe.

Rreth SameSite

Rrjetet e reklamave e përdorin këtë veçori për të gjurmuar lëvizja e përdoruesve midis faqeve dhe sulmuesit për të organizuar sulmet e CSRF(Kur hapet një burim i kontrolluar nga sulmuesit, një kërkesë fshihet nga faqet e saj në një faqe tjetër ku autentikohet përdoruesi aktual dhe shfletuesi i përdoruesit vendos cookies të seancës për atë kërkesë.)

Nga ana tjetër, aftësia për të dërguar cookies në faqet e palëve të treta përdoret për të futur widget në faqe, për shembull, për t'u integruar me YouTube ose Facebook.

Duke përdorur atributin SameSite, ju mund të kontrolloni sjelljen kur vendosni cookies dhe lejojnë dërgimin e cookies vetëm në përgjigje të kërkesave të iniciuara nga faqja në internet nga e cila janë marrë fillimisht këto cookies.

SameSite mund të marrë tre vlera "Rigoroze", "Lax" dhe "Asnjë".

Në mënyrë të rreptë ("I rreptë")Cookies nuk dërgohen për çfarëdo lloji të kërkesave ndër-site, përfshirë të gjitha lidhjet hyrëse nga faqet e jashtme.

Në modë "Lax": Zbatohen kufizime më të buta dhe transferimi i cookie bllokohet vetëm për kërkesa ndër-site, siç është kërkesa për imazh ose shkarkimi i përmbajtjes përmes një iframe.

Dallimi midis "" Rigoroz "dhe" Lax "vjen deri në bllokimin e cookies kur ndiqet një lidhje.

Ndryshime të tjera

Nga ndryshimet e tjera të ardhshme që priten për versionet e ardhshme të Chrome, është planifikuar të zbatohet një kufi i rreptë që ndalon përpunimin e cookies të palëve të treta për kërkesa pa HTTPS (me atribut SameSite = Asnjë, cookies mund të vendosen vetëm në modalitetin e Sigurt).

Përveç kësaj, është planifikuar punë për të mbrojtur nga përdorimi i gjurmëve të gishtave të shfletuesit, duke përfshirë metodat për gjenerimin e identifikuesve bazuar në të dhëna indirekte të tilla si rezolucioni i ekranit, një listë e llojeve MIME të mbështetura, parametrat specifikë në kokat (HTTP / 2 dhe HTTPS), analiza të shtojcave dhe shkronjave të instaluara.

Si dhe disponueshmërinë e disa API-ve në internet, Funksione specifike të dhënies së kartës video duke përdorur WebGL dhe Canvas, manipulime me CSS, analiza e karakteristikave të miut dhe tastierës.

Përveç kësaj, Chrome do të ketë mbrojtje nga labuzimet e shoqëruara me vështirësia e kthimit në faqen origjinale pas kalimit në një faqe tjetër (një zbatim i mirë, kundër faqeve që ju ridrejtojnë midis faqeve).

Ne po flasim për praktikën e ngopjes së historisë së konvertimit me një seri ridrejtimesh automatike ose shtimit artificial të hyrjeve bedel në historinë e shfletimit (përmes pushState), si rezultat i së cilës përdoruesi nuk mund të përdorë butonin «Kthehu» për t'u kthyer përsëri faqja origjinale pas një tranzicioni të rastësishëm ose përcjelljes së detyruar në një faqe mashtrimi.

Për të mbrojtur nga manipulime të tilla, Chrome në mbajtësin e butonit mbrapa do të kapërcejë regjistrat e lidhur me transferimin automatik dhe do të vizitojë manipulimin e historisë, duke lënë vetëm faqet e hapura me veprime të qarta të përdoruesit.

Fuente: https://blog.chromium.org/