Chrome će uključivati zaštitu od prijenosa trećih kolačića i skrivenih identifikacija

Tvrtka Google predstavila nadolazeće promjene u Chromeu, usmjerene na poboljšanje privatnosti. Prvi dio promjena odnosi se na obradu kolačića i podršku za atribut SameSite. Počevši od izdanja Chrome 76, očekivanog u srpnju, bit će aktiviran zastavica „same-site-by-default-cookies“, koja će, u slučaju da nedostaje atribut SameSite u zaglavlju Set-Cookie, prema zadanim postavkama postavljati vrijednost „SameSite=Lax“, ograničavajući slanje kolačića za umetanje s vanjskih web stranica (ali web stranice će i dalje moći poništiti ograničenje izričito postavljanjem vrijednosti SameSite=None prilikom postavljanja kolačića).

Atribut SameSite omogućuje određivanje situacija u kojima je prihvatljivo slanje kolačića kada dolazi zahtjev s vanjske web stranice. Trenutno, preglednik šalje kolačiće na svaki zahtjev za web stranicu za koju su postavljeni kolačići, čak i ako je izvorno otvorena druga web stranica, a pristup se obavlja neizravno putem učitavanja slike ili putem iframea. Oglašivačke mreže koriste ovu značajku za praćenje kretanja korisnika između web stranica, a
napadači za organizaciju CSRF napada (kada se otvori resurs pod kontrolom napadača, na njegovim stranicama tajno se šalje zahtjev drugoj web stranici na kojoj je trenutni korisnik autentificiran, a preglednik korisnika šalje sesijske kolačiće s takvog zahtjeva). S druge strane, mogućnost slanja kolačića na vanjske web stranice koristi se za umetanje widgeta na stranice, na primjer, za integraciju s YouTubeom ili Facebookom.

Uz pomoć atributa SameSite može se upravljati ponašanjem prilikom postavljanja kolačića i omogućiti slanje kolačića samo kao odgovor na zahtjeve koji su inicirani s web stranice s koje su ti kolačići izvorno dobiveni. SameSite može imati tri vrijednosti: „Strict“, „Lax“ i „None“. U načinu ‘Strict’ kolačići se ne šalju za bilo koje vrste međusitnih zahtjeva, uključujući sve ulazne poveznice s vanjskih web stranica. U načinu ‘Lax’ primjenjuju se blaža ograničenja i slanje kolačića se blokira samo za međusitne podzahtjeve, kao što su zahtjevi za slikama ili učitavanje sadržaja putem iframea. Razlika između „Strict“ i „Lax“ svodi se na blokiranje kolačića prilikom prelaska kroz poveznice.

Među ostalim nadolazećim promjenama planira se i strogo ograničenje koje zabranjuje obradu trećih kolačića za zahteve bez HTTPS-a (s atributom SameSite=None kolačići će se moći postaviti samo u sigurnom režimu). Osim toga, planira se rad na zaštiti od korištenja skrivenih identifikatora ('browser fingerprinting'), uključujući metode generiranja identifikatora na temelju neizravnih podataka, kao što su rezolucije ekrana, popis podržanih MIME tipova, specifične parametre u zaglavljima (HTTP/2 i HTTPS), analiza instaliranih pluginova i fontova, dostupnost određenih Web API, specifičnih za grafičke kartice karakteristike renderiranja putem WebGL i Canvas, manipulacija s CSS-om, analiza karakteristika rada s mišem i tipkovnicom.

Osim toga, u Chrome bit će dodana zaštita od zloupotreba vezanih uz otežavanje povratka na početnu stranicu nakon prelaska na drugu stranicu. Riječ je o praksi prepunjavanja povijesti pretraživanja nizom automatskih preusmjeravanja ili umjetnim dodavanjem lažnih zapisa u povijest pregleda (putem pushState), zbog čega korisnik ne može iskoristiti dugme 'Nazad' za povratak na početnu stranicu nakon slučajnog prelaska ili prisilnog preusmjeravanja na stranicu prevaranata ili zlonamjernika. Kako bi se zaštitili od sličnih manipulacija, Chrome će u obradi dugmeta 'Nazad' preskočiti zapise povezane s automatskim preusmjeravanjima i manipulacijama s povijesti posjeta, ostavljajući samo stranice otvorene na izričite radnje korisnika.

Izvor: opennet.ru