Google kommende ændringer i Chrome, der sigter mod at forbedre privatlivets fred. Den første del af ændringerne vedrører håndtering af cookies og understøttelse af attributten SameSite. Fra og med udgivelsen af Chrome 76, som forventes i juli, vil flaget «same-site-by-default-cookies», som i tilfælde af, at attributten SameSite ikke er til stede i Set-Cookie-headeren, som standard vil angive værdien «SameSite=Lax», hvilket begrænser sendingen af cookies til indhold fra tredjepartswebsites (men websites kan stadig ophæve begrænsningen ved eksplicit at angive SameSite=None, når de sætter cookies).
Attributten muliggør at definere, i hvilke situationer det er tilladt at videregive cookies, når en anmodning kommer fra et tredjepartswebsite. I øjeblikket sender browseren cookies på enhver anmodning til et website, hvor der er etableret cookies, selvom der oprindeligt blev åbnet et andet website, og henvendelsen foretages indirekte via indlæsning af et billede eller gennem et iframe. Annonce-netværk bruger denne egenskab til at spore brugerens bevægelser mellem websites, og
kriminelle til at gennemføre (når en ressource, som kontrolleres af angriberen, åbnes, sendes der skjult en anmodning til et andet website, hvor den nuværende bruger er autentificeret, og brugerens browser vedlægger session cookies til en sådan anmodning). På den anden side anvendes muligheden for at sende cookies til tredjepartswebsites for at integrere widgets på sider, for eksempel til integration med YouTube eller Facebook.
Ved hjælp af attributten SameSite kan man styre adfærden ved opsætning af cookies og tillade, at cookies kun sendes som svar på anmodninger initieret fra det website, hvor disse cookies oprindeligt blev modtaget. SameSite kan have tre værdier: «Strict», «Lax» og «None». I 'Strict'-tilstand sendes cookies ikke for nogen form for tværgående anmodninger, herunder alle indgående links fra eksterne websites. I 'Lax'-tilstand anvendes mere lempelige begrænsninger, og overførsel af cookies blokeres kun for tværgående under-anmodninger, såsom anmodninger om billeder eller indlæsning af indhold via iframes. Forskellen mellem «Strict» og «Lax» ligger i blokeringen af cookies ved klik på links.
Bland de andre kommende ændringer er der også planer om at indføre en streng begrænsning, der forbyder behandling af tredjeparts-cookies for anmodninger uden HTTPS (cookies med attributten SameSite=None kan kun sættes i Secure-tilstand). Derudover planlægges det at beskytte mod brugen af skjult identifikation ("browser fingerprinting"), inklusive metoder til at generere identifikatorer baseret på indirekte data såsom , listen over understøttede MIME-typer, specifikke parametre i headers ( og ), analysen af installerede , tilgængelighed af bestemte Web API'er, der er specifikke for grafikkort tegninger ved hjælp af WebGL og Canvas, med CSS, analyse af særlige forhold ved arbejde med og .
Derudover i Chrome beskyttelse mod misbrug, der gør det vanskeligt at vende tilbage til den oprindelige side efter at være gået til et andet websted. Det drejer sig om praksis med at fylde historikken med en serie automatiske viderestillinger eller kunstigt tilføje falske poster i浏览历史 (via pushState), hvilket gør det umuligt for brugeren at bruge knappen "Tilbage" til at vende tilbage til den oprindelige side efter en utilsigtet overgang eller tvungen videresendelse til en svindelside eller skadelig hjemmeside. For at beskytte mod sådanne manipulationer vil Chrome i håndteringen af knappen Tilbage springe poster over, der relaterer sig til automatiske viderestillinger og manipulationer med besøgshistorien, og kun efterlade sider, der åbnes ved tydelige brugerhandlinger.
Kilde: opennet.ru
