Chrome은 타사 쿠키 전송 및 숨겨진 식별에 대한 보호 기능을 도입합니다.

Google 제시 Chrome의 예정된 개인 정보 보호 변경 사항. 변경 사항의 첫 번째 부분은 SameSite 속성에 대한 쿠키 처리 및 지원에 관한 것입니다. 76월로 예상되는 Chrome XNUMX 출시부터 활성화 "same-site-by-default-cookies" 플래그는 Set-Cookie 헤더에 SameSite 속성이 없는 경우 "SameSite=Lax" 값으로 기본 설정되어 세 번째 삽입에 대한 쿠키 전송을 제한합니다. -파티 사이트(그러나 사이트는 명시적으로 SameSite=None으로 쿠키를 설정하여 제한을 제거할 수 있습니다).

속성 같은 사이트 타사 사이트에서 요청을 받았을 때 쿠키 전송이 허용되는 상황을 정의할 수 있습니다. 현재 브라우저는 원래 다른 사이트가 열려 있어도 쿠키가 설정된 사이트에 대한 모든 요청에 ​​대해 쿠키를 보내고 이미지를 로드하거나 iframe을 통해 간접적으로 요청합니다. 광고 네트워크는 이 기능을 사용하여 사이트 간 사용자 이동을 추적하고
조직의 공격자 CSRF 공격 (공격자가 제어하는 ​​리소스가 열리면 해당 페이지에서 현재 사용자가 인증된 다른 사이트로의 요청이 숨겨지고 사용자의 브라우저는 이러한 요청에 대한 세션 쿠키를 설정합니다.) 반면 쿠키를 타사 사이트로 보내는 기능은 예를 들어 YuoTube 또는 Facebook과 통합하기 위해 위젯을 페이지에 삽입하는 데 사용됩니다.

SameSit 속성을 사용하면 쿠키 설정 동작을 제어하고 원래 쿠키를 받은 사이트에서 발생한 요청에 대한 응답으로만 쿠키를 보낼 수 있습니다. SameSite는 "Strict", "Lax" 및 "None"의 세 가지 값을 가질 수 있습니다. 'Strict' 모드에서는 외부 사이트에서 들어오는 모든 링크를 포함하여 모든 종류의 교차 사이트 요청에 대해 쿠키가 전송되지 않습니다. 'Lax' 모드에서는 보다 완화된 제한이 적용되며 쿠키 전송은 이미지 요청 또는 iframe을 통한 콘텐츠 로드와 같은 사이트 간 하위 요청에 대해서만 차단됩니다. "Strict"와 "Lax"의 차이점은 링크를 클릭할 때 쿠키를 차단하는 것입니다.

예정된 다른 변경 사항에는 비 HTTPS 요청에 대한 타사 쿠키 처리를 금지하는 엄격한 제한 사용이 포함됩니다(SameSite=None 속성을 사용하면 쿠키는 보안 모드에서만 설정할 수 있음). 또한 다음과 같은 간접 데이터를 기반으로 식별자를 생성하는 방법을 포함하여 숨겨진 식별("브라우저 핑거프린팅")의 사용으로부터 보호하기 위한 작업이 계획되어 있습니다. 화면 해상도, 지원되는 MIME 유형 목록, 헤더별 옵션(HTTP / 2 и HTTPS), 확립된 분석 플러그인 및 글꼴, 비디오 카드와 관련된 특정 웹 API의 가용성 특징 WebGL 및 Canvas로 렌더링, 시장 조작 CSS로 작업 기능 분석 쥐 и 건반.

크롬에서도 추가됩니다 다른 사이트로 전환한 후 원래 페이지로 돌아가는 어려움과 관련된 남용으로부터 보호합니다. 우리는 일련의 자동 리디렉션으로 탐색 기록을 어지럽히거나 (pushState를 통해) 검색 기록에 가상 항목을 인위적으로 추가하여 사용자가 "뒤로" 버튼을 사용하여 원래로 돌아갈 수 없는 관행에 대해 이야기하고 있습니다. 실수로 전환하거나 사기꾼 또는 해충 사이트로 강제 전달한 후 페이지 . 이러한 조작으로부터 보호하기 위해 뒤로 버튼 처리기의 Chrome은 자동 전달 및 방문 기록 조작과 관련된 항목을 건너뛰고 명시적인 사용자 작업으로 열리는 페이지만 남깁니다.

출처 : opennet.ru