Azienda Google cambiamenti futuri in Chrome, mirati a migliorare la privacy. La prima parte delle modifiche riguarda la gestione dei cookie e il supporto dell'attributo SameSite. A partire dal rilascio di Chrome 76, atteso per luglio, sarà il flag «same-site-by-default-cookies», che in caso di assenza dell'attributo SameSite nell'intestazione Set-Cookie imposterà per impostazione predefinita il valore «SameSite=Lax», limitando l'invio dei cookie per le integrazioni da siti esterni (ma i siti possono comunque annullare la limitazione impostando esplicitamente il valore SameSite=None quando creano i cookie).
L'attributo consente di definire le situazioni in cui è consentito trasmettere cookie quando si riceve una richiesta da un sito esterno. Attualmente, il browser invia cookie per ogni richiesta al sito per cui sono stati impostati cookie, anche se è stato inizialmente aperto un altro sito e la richiesta viene effettuata indirettamente tramite il caricamento di un'immagine o tramite un iframe. Le reti pubblicitarie utilizzano questa caratteristica per monitorare i movimenti degli utenti tra i siti e
i malintenzionati per organizzare (quando si apre una risorsa controllata dagli aggressori, viene inviata in modo nascosto una richiesta a un altro sito, su cui è autenticato l'utente attuale, e il browser dell'utente invia i cookie di sessione per quella richiesta). D'altra parte, la possibilità di inviare cookie a siti esterni è utilizzata per integrare widget nelle pagine, ad esempio per l'integrazione con YouTube o Facebook.
Con l'attributo SameSite, è possibile gestire il comportamento quando si impostano i cookie e consentire l'invio dei cookie solo in risposta a richieste originate dal sito da cui sono stati originariamente ottenuti. SameSite può assumere tre valori: «Strict», «Lax» e «None». In modalità 'Strict', i cookie non vengono inviati per alcun tipo di richieste intersito, comprese tutte le link esterne provenienti da siti esterni. In modalità 'Lax', vengono applicate restrizioni più morbide e la trasmissione dei cookie è bloccata solo per le sottoricheste intersito, come la richiesta di immagini o il caricamento di contenuti tramite iframe. La differenza tra «Strict» e «Lax» risiede nel blocco dei cookie durante il passaggio ai link.
Tra le altre modifiche previste, si prevede di introdurre un rigoroso divieto di trattamento dei cookie di terze parti per le richieste senza HTTPS (con l'attributo SameSite=None, i cookie potranno essere impostati solo in modalità Secure). Inoltre, è prevista l'attuazione di misure di protezione contro l'uso dell'identificazione nascosta («browser fingerprinting»), inclusi metodi di generazione di identificatori basati su dati indiretti, come , elenco dei tipi MIME supportati, parametri specifici nelle intestazioni ( e ) analisi dei plugin e dei font installati caratteristiche manipolazioni il mouse e .
Inoltre, in Chrome una protezione contro gli abusi legati alle difficoltà di ritorno alla pagina originale dopo essere stati trasferiti su un altro sito. Si parla della pratica di riempire la cronologia di navigazione con una serie di redirect automatici o aggiungendo artificialmente voci fittizie nella cronologia delle visualizzazioni (tramite pushState), rendendo così impossibile all'utente utilizzare il pulsante «Indietro» per tornare alla pagina originale dopo un trasferimento accidentale o un reindirizzamento forzato a un sito di truffa o di contenuti dannosi. Per prevenire tali manipolazioni, Chrome nel gestore del pulsante Indietro salterà le voci associate a reindirizzamenti automatici e manipolazioni della cronologia delle visite, mantenendo solo le pagine aperte tramite azioni esplicite da parte dell'utente.
Fonte: opennet.ru
