Společnost Google následující změny v Chrome, které mají za cíl zvýšit ochranu soukromí. První část změn se týká zpracování Cookie a podpory atributu SameSite. Od verze Chrome 76, očekávané v červenci, bude aktivován příznak „same-site-by-default-cookies“, který v případě nepřítomnosti atributu SameSite v hlavičce Set-Cookie automaticky nastaví hodnotu „SameSite=Lax“, čímž se omezí předávání Cookie pro vložení z externích stránek (ale stránky budou i nadále moci toto omezení zrušit, pokud při nastavení Cookie výslovně nastaví hodnotu SameSite=None).
Atribut umožňuje určit situace, kdy je povoleno předání Cookie při žádosti z externí stránky. V současnosti prohlížeč předává Cookie na jakoukoli žádost na stránku, pro kterou jsou nastaveny Cookie, i když je stránka původně otevřena z jiné stránky, a přístup je realizován nepřímo prostřednictvím načtení obrázku nebo s použitím iframe. Reklamní sítě využívají tuto vlastnost k sledování pohybu uživatele mezi stránkami, a
útočníci k provádění (při otevření cílového zdroje pod kontrolou útočníka se skrytě odešle žádost na jinou stránku, na které je aktuální uživatel autentizován, a prohlížeč uživatele nastaví pro tuto žádost relace Cookie). Na druhé straně možnost odesílání Cookie na externí stránky se používá pro vkládání widgetů do stránek, například pro integraci s YouTube nebo Facebookem.
Pomocí atributu SameSite lze řídit chování při nastavování Cookie a povolit odesílání Cookie pouze na základě žádostí iniciovaných ze stránky, ze které byly tyto Cookie původně získány. SameSite může mít tři hodnoty: „Strict“, „Lax“ a „None“. V režimu 'Strict' se Cookie neodesílají pro jakékoli druhy meziwebových žádostí, včetně všech příchozích odkazů z externích stránek. V režimu 'Lax' platí mírnější omezení a předávání Cookie je blokováno pouze pro meziwebové subžádosti, jako je žádost o obrázek nebo načítání obsahu přes iframe. Rozdíl mezi „Strict“ a „Lax“ spočívá v blokaci Cookie při přechodu po odkazu.
Mezi dalšími plánovanými změnami se také plánuje zavedení přísného omezení, které zakáže zpracování třetích stran Cookie pro požadavky bez HTTPS (s atributem SameSite=None mohou být Cookie nastavovány pouze v režimu Secure). Kromě toho se plánuje implementace opatření na ochranu proti skryté identifikaci („browser fingerprinting“), včetně metod generování identifikátorů na základě nepřímých dat, jako jsou , seznam podporovaných MIME typů, specifické parametry v hlavičkách ( a ), analýza nainstalovaných , dostupnost určitého Web API specifického pro grafické karty vykreslování pomocí WebGL a Canvas, s CSS, analýza charakteristik práce s a .
Kromě toho bude v Chrome ochrana před zneužíváním, které ztěžuje návrat na původní stránku po přechodu na jinou stránku. Mluvíme o praxi zahlcování historie přechodů sérií automatických přesměrování nebo umělým přidáváním fiktivních záznamů do historie prohlížení (přes pushState), v důsledku čehož uživatel nemůže využít tlačítko „Zpět“ k návratu na původní stránku po náhodném přechodu nebo vynuceném přesměrování na stránku podvodníka nebo škodlivého softwaru. Pro ochranu proti těmto manipulacím bude Chrome v obslužné rutině tlačítka Zpět ignorovat záznamy spojené s automatickými přesměrováními a manipulacemi s historií návštěv, což ponechá pouze stránky otevřené při explicitních akcích uživatele.
Zdroj: opennet.ru
