Bydd gan Chrome bellach amddiffyniad rhag cwcis trydydd parti ac adnabod cudd

Google wedi'i gyflwyno newidiadau sydd ar ddod i Chrome gyda'r nod o wella preifatrwydd. Mae rhan gyntaf y newidiadau yn ymwneud â thrin cwci a chefnogaeth i briodwedd SameSite. Gan ddechrau gyda rhyddhau Chrome 76, a ddisgwylir ym mis Gorffennaf, bydd wedi'i actifadu y faner “same-site-by-default-cookies”, a fydd, yn absenoldeb y briodwedd SameSite ym mhennyn Set-Cookie, yn ddiofyn yn gosod y gwerth “SameSite=Lax”, gan gyfyngu ar anfon Cwcis ar gyfer mewnosodiadau o gwefannau trydydd parti (ond bydd safleoedd yn dal i allu canslo'r cyfyngiad trwy osod y gwerth SameSite=Dim yn benodol wrth osod y Cwci).

Priodoledd SameSite yn caniatáu ichi ddiffinio sefyllfaoedd lle caniateir anfon Cwci pan dderbynnir cais gan wefan trydydd parti. Ar hyn o bryd, mae'r porwr yn anfon Cwci i unrhyw gais i wefan y mae Cwci wedi'i osod ar ei gyfer, hyd yn oed os caiff gwefan arall ei hagor i ddechrau, a gwneir y cais yn anuniongyrchol trwy lwytho delwedd neu drwy iframe. Mae rhwydweithiau hysbysebu yn defnyddio'r nodwedd hon i olrhain symudiadau defnyddwyr rhwng safleoedd, a
ymosodwyr ar gyfer y sefydliad Ymosodiadau CSRF (pan agorir adnodd a reolir gan yr ymosodwr, anfonir cais yn gyfrinachol o'i dudalennau i wefan arall lle mae'r defnyddiwr presennol wedi'i ddilysu, ac mae porwr y defnyddiwr yn gosod Cwcis sesiwn ar gyfer cais o'r fath). Ar y llaw arall, defnyddir y gallu i anfon Cwcis i wefannau trydydd parti i fewnosod teclynnau i dudalennau, er enghraifft, i'w hintegreiddio â YuoTube neu Facebook.

Gan ddefnyddio'r nodwedd SameSit, gallwch reoli ymddygiad Cwci a chaniatáu i Cwcis gael eu hanfon mewn ymateb i geisiadau a gychwynnwyd o'r wefan y derbyniwyd y Cwci ohoni yn wreiddiol yn unig. Gall SameSite gymryd tri gwerth "Strict", "Lax" a "Dim". Yn y modd 'Caeth', nid yw Cwcis yn cael eu hanfon ar gyfer unrhyw fath o geisiadau traws-safle, gan gynnwys yr holl ddolenni sy'n dod i mewn o wefannau allanol. Yn y modd 'Lax', mae cyfyngiadau mwy hamddenol yn cael eu cymhwyso a dim ond ar gyfer is-geisiadau traws-safle y caiff trosglwyddiad Cwcis ei rwystro, megis cais am ddelwedd neu lwytho cynnwys trwy iframe. Daw'r gwahaniaeth rhwng “Strict” a “Lax” i lawr i rwystro Cwcis wrth ddilyn dolen.

Ymhlith newidiadau eraill sydd ar ddod, bwriedir hefyd gosod cyfyngiad llym sy'n gwahardd prosesu Cwcis trydydd parti ar gyfer ceisiadau heb HTTPS (gyda'r briodwedd SameSite=Dim, dim ond yn y modd Diogel y gellir gosod Cwcis). Yn ogystal, bwriedir gwneud gwaith i ddiogelu rhag defnyddio dull adnabod cudd (“olion bysedd porwr”), gan gynnwys dulliau ar gyfer cynhyrchu dynodwyr yn seiliedig ar ddata anuniongyrchol, megis datrysiad sgrin, rhestr o fathau MIME a gefnogir, paramedrau penodol mewn penawdau (HTTP / 2 и HTTPS), dadansoddiad o osod ategion a ffontiau, argaeledd APIs Gwe penodol, sy'n benodol i gardiau fideo Nodweddion rendro gan ddefnyddio WebGL a Canvas, trin gyda CSS, dadansoddiad o nodweddion gweithio gyda llygoden и bysellfwrdd.

Hefyd yn Chrome yn cael ei ychwanegu amddiffyniad rhag camdriniaeth sy'n gysylltiedig ag anhawster dychwelyd i'r dudalen wreiddiol ar ôl symud i safle arall. Rydym yn siarad am yr arfer o annibendod yr hanes llywio gyda chyfres o ailgyfeiriadau awtomatig neu ychwanegu cofnodion ffug yn artiffisial at yr hanes pori (trwy pushState), ac o ganlyniad ni all y defnyddiwr ddefnyddio'r botwm "Yn ôl" i ddychwelyd i'r dudalen wreiddiol ar ôl trawsnewid damweiniol neu orfodi anfon ymlaen i safle sgamwyr neu saboteurs . Er mwyn amddiffyn rhag triniaethau o'r fath, bydd triniwr botwm Chrome in the Back yn hepgor cofnodion sy'n gysylltiedig ag anfon ymlaen yn awtomatig a thrin yr hanes pori, gan adael dim ond tudalennau sy'n cael eu hagor oherwydd gweithredoedd defnyddiwr penodol.

Ffynhonnell: opennet.ru