ឥឡូវនេះ Chrome នឹងមានការការពារប្រឆាំងនឹងខូគីភាគីទីបី និងការលាក់អត្តសញ្ញាណ

Google បង្ហាញ ការផ្លាស់ប្តូរនាពេលខាងមុខចំពោះ Chrome ក្នុងគោលបំណងធ្វើឱ្យប្រសើរឡើងនូវភាពឯកជន។ ផ្នែកដំបូងនៃការផ្លាស់ប្តូរទាក់ទងនឹងការគ្រប់គ្រងខូគី និងការគាំទ្រសម្រាប់គុណលក្ខណៈ SameSite ។ ចាប់ផ្តើមជាមួយនឹងការចេញផ្សាយ Chrome 76 ដែលរំពឹងទុកនៅក្នុងខែកក្កដានឹងមាន បានធ្វើឱ្យសកម្ម ទង់ “same-site-by-default-cookies” ដែលនៅក្នុងអវត្តមាននៃគុណលក្ខណៈ SameSite នៅក្នុងបឋមកថា Set-Cookie នឹងកំណត់តម្លៃ “SameSite=Lax” តាមលំនាំដើម ដោយកំណត់ការផ្ញើ Cookies សម្រាប់ការបញ្ចូលពី គេហទំព័រភាគីទីបី (ប៉ុន្តែគេហទំព័រនឹងនៅតែអាចលុបចោលការរឹតបន្តឹងដោយការកំណត់យ៉ាងច្បាស់នូវតម្លៃ SameSite=None នៅពេលកំណត់ខូគី)។

គុណលក្ខណៈ SiteSite អនុញ្ញាត​ឱ្យ​អ្នក​កំណត់​ស្ថានភាព​ដែល​វា​អនុញ្ញាត​ឱ្យ​ផ្ញើ Cookie នៅ​ពេល​ដែល​សំណើ​ត្រូវ​បាន​ទទួល​ពី​គេហទំព័រ​ភាគី​ទីបី។ បច្ចុប្បន្ន កម្មវិធីរុករកតាមអ៊ីនធឺណិតផ្ញើ Cookie ទៅកាន់សំណើណាមួយទៅកាន់គេហទំព័រដែល Cookie ត្រូវបានកំណត់ ទោះបីជាគេហទំព័រផ្សេងទៀតត្រូវបានបើកដំបូងក៏ដោយ ហើយសំណើត្រូវបានធ្វើឡើងដោយប្រយោលដោយការផ្ទុករូបភាព ឬតាមរយៈ iframe មួយ។ បណ្តាញផ្សាយពាណិជ្ជកម្មប្រើប្រាស់មុខងារនេះដើម្បីតាមដានចលនារបស់អ្នកប្រើប្រាស់រវាងគេហទំព័រ និង
អ្នកវាយប្រហារសម្រាប់អង្គការ ការវាយប្រហាររបស់ CSRF (នៅពេលដែលធនធានដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារត្រូវបានបើក សំណើមួយត្រូវបានផ្ញើដោយសម្ងាត់ពីទំព័ររបស់វាទៅកាន់គេហទំព័រមួយផ្សេងទៀតដែលអ្នកប្រើប្រាស់បច្ចុប្បន្នត្រូវបានផ្ទៀងផ្ទាត់ ហើយកម្មវិធីរុករករបស់អ្នកប្រើប្រាស់កំណត់វគ្គខូគីសម្រាប់សំណើបែបនេះ)។ ម៉្យាងវិញទៀត សមត្ថភាពក្នុងការផ្ញើខូគីទៅកាន់គេហទំព័រភាគីទីបី ត្រូវបានប្រើដើម្បីបញ្ចូលធាតុក្រាហ្វិកទៅក្នុងទំព័រនានា ឧទាហរណ៍ សម្រាប់ការរួមបញ្ចូលជាមួយយូធូប ឬហ្វេសប៊ុក។

ដោយប្រើគុណលក្ខណៈ SameSit អ្នកអាចគ្រប់គ្រងឥរិយាបថរបស់ខូគី និងអនុញ្ញាតឱ្យខូឃីត្រូវបានផ្ញើតែក្នុងការឆ្លើយតបទៅនឹងសំណើដែលបានផ្តួចផ្តើមចេញពីគេហទំព័រដែលខូគីត្រូវបានទទួលពីដំបូងប៉ុណ្ណោះ។ SameSite អាចយកតម្លៃបីគឺ "Strict", "Lax" និង "None"។ នៅក្នុងរបៀប 'តឹងរឹង' ខូគីមិនត្រូវបានផ្ញើសម្រាប់ប្រភេទនៃសំណើឆ្លងគេហទំព័រណាមួយ រួមទាំងតំណភ្ជាប់ចូលទាំងអស់ពីគេហទំព័រខាងក្រៅ។ នៅក្នុងរបៀប 'Lax' ការរឹតបន្តឹងដែលបន្ធូរបន្ថយកាន់តែច្រើនត្រូវបានអនុវត្ត ហើយការបញ្ជូនខូគីត្រូវបានរារាំងសម្រាប់តែសំណើរងនៃគេហទំព័រប៉ុណ្ណោះ ដូចជាសំណើរូបភាព ឬការផ្ទុកមាតិកាតាមរយៈ iframe មួយ។ ភាពខុសគ្នារវាង "Strict" និង "Lax" កើតឡើងចំពោះការទប់ស្កាត់ Cookies នៅពេលធ្វើតាមតំណ។

ក្នុងចំណោមការផ្លាស់ប្តូរនាពេលខាងមុខផ្សេងទៀត វាក៏ត្រូវបានគេគ្រោងនឹងអនុវត្តការដាក់កំហិតដ៏តឹងរ៉ឹង ដែលហាមឃាត់ដំណើរការខូគីភាគីទីបីសម្រាប់ការស្នើសុំដោយគ្មាន HTTPS (ជាមួយនឹងគុណលក្ខណៈ SameSite=None ខូគីអាចត្រូវបានកំណត់ក្នុងរបៀបសុវត្ថិភាពប៉ុណ្ណោះ)។ លើសពីនេះ វាត្រូវបានគ្រោងនឹងអនុវត្តការងារដើម្បីការពារប្រឆាំងនឹងការប្រើប្រាស់អត្តសញ្ញាណលាក់កំបាំង (“ការស្កេនក្រយៅដៃរបស់កម្មវិធីរុករកតាមអ៊ីនធឺណិត”) រួមទាំងវិធីសាស្ត្រសម្រាប់បង្កើតអត្តសញ្ញាណដោយផ្អែកលើទិន្នន័យប្រយោល ដូចជា គុណភាពបង្ហាញអេក្រង់បញ្ជីនៃប្រភេទ MIME ដែលគាំទ្រ ប៉ារ៉ាម៉ែត្រជាក់លាក់នៅក្នុងបឋមកថា (HTTP / 2 и HTTPS) ការវិភាគនៃការដំឡើង កម្មវិធីជំនួយ និងពុម្ពអក្សរភាពអាចរកបាននៃ Web APIs ជាក់លាក់ចំពោះកាតវីដេអូ លក្ខណៈពិសេស ការបង្ហាញដោយប្រើ WebGL និង Canvas, ឧបាយកល ជាមួយ CSS ការវិភាគនៃលក្ខណៈពិសេសនៃការធ្វើការជាមួយ កណ្តុរ и ក្តារចុច.

នៅក្នុង Chrome ផងដែរ។ នឹងត្រូវបានបន្ថែម ការការពារប្រឆាំងនឹងការរំលោភបំពានដែលទាក់ទងនឹងការលំបាកក្នុងការត្រឡប់ទៅទំព័រដើមវិញ បន្ទាប់ពីផ្លាស់ទីទៅគេហទំព័រផ្សេងទៀត។ យើងកំពុងនិយាយអំពីការអនុវត្តនៃការពង្រាយប្រវត្តិរុករកជាមួយនឹងស៊េរីនៃការបញ្ជូនបន្តដោយស្វ័យប្រវត្តិ ឬបន្ថែមធាតុក្លែងក្លាយទៅក្នុងប្រវត្តិរុករក (តាមរយៈ pushState) ដែលជាលទ្ធផលដែលអ្នកប្រើប្រាស់មិនអាចប្រើប៊ូតុង "ថយក្រោយ" ដើម្បីត្រឡប់ទៅរក ទំព័រដើមបន្ទាប់ពីការផ្លាស់ប្តូរដោយចៃដន្យ ឬបង្ខំឱ្យបញ្ជូនបន្តទៅកាន់គេហទំព័រនៃអ្នកបោកប្រាស់ ឬអ្នកបំផ្លិចបំផ្លាញ។ ដើម្បីការពារប្រឆាំងនឹងឧបាយកលបែបនេះ Chrome នៅក្នុងកម្មវិធីគ្រប់គ្រងប៊ូតុងថយក្រោយនឹងរំលងកំណត់ត្រាដែលទាក់ទងនឹងការបញ្ជូនបន្តដោយស្វ័យប្រវត្តិ និងការរៀបចំប្រវត្តិរុករក ដោយបន្សល់ទុកតែទំព័រដែលត្រូវបានបើកដោយសារតែសកម្មភាពរបស់អ្នកប្រើប្រាស់ច្បាស់លាស់។

ប្រភព: opennet.ru