Das Unternehmen Google Künftige Änderungen in Chrome, die auf den Datenschutz abzielen. Der erste Teil der Änderungen betrifft die Verarbeitung von Cookies und die Unterstützung des SameSite-Attributs. Ab der Veröffentlichung von Chrome 76, die für Juli erwartet wird, wird das Flag „same-site-by-default-cookies“ aktiviert, das im Falle des Fehlens des SameSite-Attributs im Set-Cookie-Header standardmäßig den Wert „SameSite=Lax“ zuweist, was den Versand von Cookies für Einbettungen von Drittanbietern einschränkt (aber Websites weiterhin die Möglichkeit geben, diese Einschränkung aufzuheben, indem sie beim Setzen von Cookies ausdrücklich den Wert SameSite=None angeben).
des Elements
Angreifer zur Durchführung von (wenn während des Öffnens einer vom Angreifer kontrollierten Ressource im Hintergrund eine Anfrage an eine andere Website gesendet wird, auf der der aktuelle Benutzer authentifiziert ist, und der Browser des Nutzers für diese Anfrage Session-Cookies festlegt). Andererseits wird die Möglichkeit, Cookies an externe Websites zu senden, für die Einbettung von Widgets auf Seiten verwendet, beispielsweise zur Integration mit YouTube oder Facebook.
Mit dem SameSite-Attribut kann das Verhalten beim Setzen von Cookies gesteuert werden, sodass der Versand von Cookies nur als Antwort auf Anfragen erlaubt wird, die von der Website initiiert wurden, von der diese Cookies ursprünglich stammen. SameSite kann drei Werte annehmen: „Strict“, „Lax“ und „None“. Im ‚Strict‘-Modus werden Cookies für alle Arten von Cross-Site-Anfragen nicht gesendet, einschließlich aller eingehenden Links von externen Websites. Im ‚Lax‘-Modus gelten weniger strenge Einschränkungen, und der Versand von Cookies wird nur für zwischenzeitliche Anfragen von Drittanbietern blockiert, wie z. B. Anfragen nach Bildern oder das Laden von Inhalten über iframes. Der Unterschied zwischen „Strict“ und „Lax“ besteht darin, dass Cookies beim Klicken auf Links blockiert werden.
Von weiteren bevorstehenden Änderungen ist auch die Einführung einer strengen Einschränkung vorgesehen, die die Verarbeitung von Drittanbieter-Cookies für Anfragen ohne HTTPS untersagt (mit dem Attribut SameSite=None können Cookies nur im Secure-Modus gesetzt werden). Darüber hinaus ist die Durchführung von Maßnahmen zum Schutz vor versteckter Identifizierung („Browser Fingerprinting“) geplant, einschließlich Methoden zur Generierung von Identifikatoren basierend auf indirekten Daten, wie , eine Liste unterstützted MIME-Typen, spezifische Parameter in den Headern ( und ), die Analyse installierter , die Verfügbarkeit bestimmter Web-APIs, die spezifisch für Grafikkarten sind Zeichnungen mit WebGL und Canvas, mit CSS, die Analyse von Besonderheiten im Umgang mit und .
Darüber hinaus in Chrome Schutz vor Missbrauch, der die Rückkehr zur Ausgangsseite nach dem Besuch einer anderen Website erschwert. Es geht um die Praxis, die Verlaufsgeschichte mit einer Reihe automatischer Redirects oder durch das künstliche Hinzufügen von fiktiven Einträgen in die Verlaufshistorie (über pushState) zu überladen, sodass der Benutzer die Taste „Zurück“ nicht nutzen kann, um zur ursprünglichen Seite zurückzukehren, nachdem er unbeabsichtigt weitergeleitet wurde oder gezwungen auf eine Betrüger- oder Malware-Website umgeleitet wurde. Um vor solchen Manipulationen zu schützen, wird Chrome im Handler der Zurück-Taste Einträge, die mit automatischen Weiterleitungen und Manipulationen der Verlaufshistorie verbunden sind, überspringen und nur Seiten belassen, die durch ausdrückliche Benutzeraktionen geöffnet wurden.
Quelle: opennet.ru
