A Google vállalat a közelgő változások a Chrome-ban, amelyek a magánélet védelmét célozzák. A módosítások első része a sütik kezelésére és a SameSite attribútum támogatására vonatkozik. A Chrome 76 megjelenésétől, amely júliusra várható, a „same-site-by-default-cookies” zászló, amely az esetleges SameSite attribútum hiányában a Set-Cookie fejlécben alapértelmezés szerint „SameSite=Lax” értéket állít be, korlátozva ezzel a sütik külső webhelyek általi beküldését (de a webhelyek ezeket a korlátozásokat továbbra is felülírhatják, ha a sütiket a SameSite=None értékkel állítják be).
Attribút lehetővé teszi azoknak a helyzeteknek a meghatározását, amikor a sütik átkonvertálhatók egy külső webhelyről érkező kérés során. Jelenleg a böngésző bármilyen kérés esetén átkonvertálja a sütiket az adott webhelyre, ahová a sütik vannak beállítva, még akkor is, ha eredetileg egy másik webhelyet nyitottak meg, és a hivatkozás közvetett módon történik, például egy kép betöltésével vagy iframe-en keresztül. A reklámhálózatok ezt a funkciót használják a felhasználók webhelyek közötti mozgásának követésére, míg
a támadók arra használják, hogy (amikor a támadók által irányított erőforrás nyitva van, a böngésző automatikusan küld egy kérést egy másik webhelyre, ahol a felhasználó hitelesítve van, és a felhasználói böngésző a kéréshez session sütiket állít be). Másrészt a sütik külső webhelyekre történő küldésének lehetősége widgetek beillesztésére is alkalmazható a weboldalakra, például a YouTube vagy a Facebook integrálásához.
A SameSite attribútum használatával szabályozhatjuk a sütik beállításának viselkedését, és lehetővé tehetjük a sütik küldését csak azoknak a kérdéseknek a válaszában, amelyeket a webhelyről indítottak, ahonnan a sütik eredetileg származnak. A SameSite három értéket vehet fel: „Strict”, „Lax” és „None”. A „Strict” módban a sütik nem küldhetők el semmilyen típusú keresztoldali kérés esetén, beleértve az összes külső webhelyről érkező hivatkozást is. A „Lax” módban enyhébb korlátozások érvényesek, és a sütik küldését csak a közvetlen keresztoldali al-kérések, például képkérés vagy iframe-en keresztüli tartalom betöltése esetén blokkolják. A „Strict” és a „Lax” közötti különbség az, hogy az előbbi blokkolja a sütiket a hivatkozásokon való navigáció során.
A közelgő változások között szerepel egy szigorú korlátozás bevezetése is, amely megtiltja harmadik féltől származó sütik kezelését nem HTTPS kérések esetén (a SameSite=None attribútummal rendelkező sütik csak Secure módban állíthatók be). Ezenfelül tervezik a rejtett azonosítás elleni védekezést is, beleértve az azonosítók generálásának módszereit közvetett adatok alapján, mint például , támogatott MIME-típusok listája, specifikus paraméterek a fejlécben ( és ), a telepített , bizonyos Web API-k elérhetősége, grafikus kártyákra specifikus WebGL és Canvas segítségével történő renderelés, CSS-sel, működési sajátosságok elemzése és .
Továbbá a Chrome-ban védelmet nyújt a visszatérés megnehezítésével kapcsolatos visszaélések ellen, ha más webhelyre navigálunk. Ez a gyakorlat azon esetekre vonatkozik, amikor a böngészési előzmények felhalmozása automatikus átirányítások sorozatával vagy hamis bejegyzések mesterséges hozzáadásával történik a böngészési előzményekhez (pushState segítségével), aminek következtében a felhasználó nem tudja használni a „Vissza” gombot az eredeti oldalra való visszatéréshez, miután véletlenül átkerült egy másik oldalra vagy egy csaló, illetve ártó szándékú weboldalra. Az ilyen manipulációk elleni védelem érdekében a Chrome a Vissza gomb kezelőjében kihagyja az automatikus átirányításokkal és a böngészési előzmények manipulálási kísérleteivel kapcsolatos bejegyzéseket, így csak a felhasználó egyértelmű műveletei által megnyitott oldalakat hagyja meg.
Forrás: opennet.ru
