A empresa Google mudanças futuras no Chrome visando aumentar a privacidade. A primeira parte das mudanças aborda o gerenciamento de Cookies e o suporte ao atributo SameSite. A partir do lançamento do Chrome 76, esperado para julho, haverá uma bandeira chamada «same-site-by-default-cookies», que na ausência do atributo SameSite no cabeçalho Set-Cookie irá automaticamente definir o valor como «SameSite=Lax», limitando o envio de Cookies para inserções de sites de terceiros (mas os sites ainda poderão cancelar essa restrição, explicitamente definindo o valor SameSite=None ao configurar o Cookie).
Atributo permite definir as situações em que a transferência de Cookies é permitida ao receber uma solicitação de um site de terceiros. Atualmente, o navegador envia Cookies para qualquer solicitação ao site para o qual os Cookies foram definidos, mesmo que inicialmente outro site tenha sido aberto, e a solicitação seja feita indiretamente por meio do carregamento de uma imagem ou através de um iframe. Redes de anúncios utilizam essa característica para rastrear os movimentos do usuário entre sites, e
criminosos para organizar (ao abrir um recurso controlado pelos atacantes, uma solicitação é enviada silenciosamente a outro site, onde o usuário atual está autenticado, e o navegador do usuário envia Cookies de sessão para essa solicitação). Por outro lado, a capacidade de enviar Cookies para sites de terceiros é usada para a inserção de widgets em páginas, por exemplo, para integrações com YouTube ou Facebook.
Com o atributo SameSite, é possível gerenciar o comportamento ao definir Cookies e permitir o envio de Cookies apenas em resposta a solicitações iniciadas a partir do site de onde esses Cookies foram originalmente recebidos. SameSite pode aceitar três valores: «Strict», «Lax» e «None». No modo ‘Strict’, Cookies não são enviados para qualquer tipo de solicitação entre sites, incluindo todos os links de entrada de sites externos. No modo ‘Lax’, são aplicadas restrições mais suaves e o envio de Cookies é bloqueado apenas para subsolicitações entre sites, como solicitações de imagens ou carregamento de conteúdo através de iframes. A diferença entre «Strict» e «Lax» reside na restrição de Cookies ao navegar por links.
Entre as outras mudanças previstas, haverá a aplicação de uma restrição rigorosa que proíbe o processamento de cookies de terceiros para requisições sem HTTPS (com o atributo SameSite=None, cookies só poderão ser definidos no modo Secure). Além disso, está planejado o trabalho de proteção contra a identificação oculta (‘browser fingerprinting’), incluindo métodos de geração de identificadores com base em dados indiretos, como , lista de tipos MIME suportados, parâmetros específicos nos cabeçalhos ( e ), análise de plugins e fontes instalados renderizações usando WebGL e rendorizações usando WebGL e Canvas, com CSS, análise das características de uso com e .
Além disso, no Chrome proteção contra abusos relacionados à dificuldade de retornar à página original após navegar para outro site. A questão diz respeito à prática de poluir o histórico de navegação com uma série de redirecionamentos automáticos ou a adição artificial de registros fictícios no histórico de visualizações (através do pushState), resultando na impossibilidade do usuário usar o botão ‘Voltar’ para retornar à página original após uma navegação acidental ou um redirecionamento forçado para um site de golpes ou maliciosos. Para proteger contra tais manipulações, o Chrome ignorará registros relacionados a redirecionamentos automáticos e manipulações no histórico de visitas quando o botão Voltar for acionado, mantendo apenas páginas abertas por ações explícitas do usuário.
Fonte: opennet.ru
