В Chrome ще се появи защита срещу предаване на трети страни Cookie и скрита идентификация

Компания Google представи предстоящи промени в Chrome, насочени към подобряване на конфиденциалността. Първата част от промените засяга обработката на бисквитки и поддръжката на атрибута SameSite. Започвайки с версия Chrome 76, очаквана през юли, ще бъде активиран флага «same-site-by-default-cookies», който при отсъствие на атрибута SameSite в заглавката Set-Cookie по подразбиране ще задава стойността «SameSite=Lax», което ограничава изпращането на бисквитки за вграждане от странични сайтове (но сайтовете все още ще могат да отменят ограничението, експлицитно задавайки при задаване на бисквитка стойността SameSite=None).

Атрибутът SameSite позволява да се определят ситуациите, при които е допустимо предаването на бисквитки при постъпване на заявка от страничен сайт. В момента браузърът предава бисквитки за всяка заявка към сайта, за който са зададени бисквитки, дори когато първоначално е отворен друг сайт, а достъпът се извършва косвено чрез зареждане на изображение или чрез iframe. Рекламните мрежи използват този аспект за следене на движението на потребителите между сайтовете, а
злоумишлениците за организиране на CSRF атаки (при отваряне на контролирания от атакуващия ресурс, от неговите страници се изпраща скрита заявка към друг сайт, на който е аутентифициран текущият потребител, и браузърът на потребителя добавя сесийни бисквитки за такава заявка). От друга страна, възможността за изпращане на бисквитки към странични сайтове се използва за вграждане на виджети на страниците, например, за интеграция с YouTube или Facebook.

С помощта на атрибута SameSite може да се управлява поведението при задаване на бисквитки и да се разреши изпращането на бисквитки само в отговор на заявки, инициирани от сайта, от който тези бисквитки първоначално са получени. SameSite може да приема три стойности: «Strict», «Lax» и «None». В режим ‘Strict’ бисквитките не се изпращат за всякакъв вид междусайтови заявки, включително всички входящи линкове от външни сайтове. В режим ‘Lax’ се прилагат по-меките ограничения и предаването на бисквитки се блокира само за междусайтови подзаявки, като запрос за изображение или зареждане на съдържание чрез iframe. Разликата между «Strict» и «Lax» се състои в блокирането на бисквитки при преминаване по линк.

Планират се и жестки ограничения, които забраняват обработката на трети страни Cookie за заявки без HTTPS (с атрибут SameSite=None, Cookie могат да се задават само в режим Secure). Освен това, ще се работи по защита срещу скрита идентификация („browser fingerprinting“), включително методи за генериране на идентификатори на базата на индиректни данни, като разделителната способност на екрана, списък на поддържаните MIME типове, специфични параметри в хедърите (HTTP/2 и HTTPS), анализ на инсталираните плъгини и шрифтове, наличието на определени Web API, специфични за видеокартите особености изобразяване с WebGL и Canvas, манипуляции с CSS, анализ на особеностите при работа с мишката и клавиатурата.

Допълнително в Chrome ще бъде добавена защита от злоупотреби, свързани с трудности при връщането на основната страница след преминаване към друг сайт. Става дума за практиката на запушване на историята на преминаванията със серия автоматични пренасочвания или изкуствено добавяне на фалшиви записи в историческия преглед (чрез pushState), поради което потребителят не може да използва бутона „Назад“, за да се върне на основната страница след случайно преминаване или принудително пренасочване към сайт на измамници или злонамерени лица. За защита от подобни манипулации, Chrome ще пропуска записи в обработчика на бутона Назад, свързани с автоматични пренасочвания и манипулации с историята на посещенията, оставяйки само страници, отворени при явни действия на потребителя.

Източник: opennet.ru