Chrome tani do të ketë mbrojtje kundër kukive të palëve të treta dhe identifikimit të fshehur

Google prezantuar ndryshimet e ardhshme në Chrome që synojnë përmirësimin e privatësisë. Pjesa e parë e ndryshimeve ka të bëjë me trajtimin e cookie-ve dhe mbështetjen për atributin SameSite. Duke filluar me lëshimin e Chrome 76, që pritet në korrik, do të ketë aktivizuar flamuri "same-site-by-default-cookies", i cili, në mungesë të atributit SameSite në kokën Set-Cookie, si parazgjedhje do të vendosë vlerën "SameSite=Lax", duke kufizuar dërgimin e Cookies për futje nga sajte të palëve të treta (por sajtet do të jenë ende në gjendje të anulojnë kufizimin duke vendosur në mënyrë eksplicite vlerën SameSite=Asnjë kur vendosin "Cookie").

Atribut Sajti i Sajtit ju lejon të përcaktoni situatat në të cilat lejohet dërgimi i një Cookie kur një kërkesë merret nga një sajt i palës së tretë. Aktualisht, shfletuesi dërgon një "Cookie" për çdo kërkesë në një sajt për të cilin është vendosur një "Cookie", edhe nëse një faqe tjetër hapet fillimisht, dhe kërkesa bëhet në mënyrë indirekte duke ngarkuar një imazh ose përmes një iframe. Rrjetet e reklamimit e përdorin këtë veçori për të gjurmuar lëvizjet e përdoruesve ndërmjet sajteve dhe
sulmues për organizatën Sulmet CSRF (kur hapet një burim i kontrolluar nga sulmuesi, një kërkesë dërgohet fshehurazi nga faqet e tij në një faqe tjetër në të cilën përdoruesi aktual është vërtetuar, dhe shfletuesi i përdoruesit vendos Cookies sesioni për një kërkesë të tillë). Nga ana tjetër, aftësia për të dërguar Cookies në sajte të palëve të treta përdoret për të futur miniaplikacione në faqe, për shembull, për integrim me YuoTube ose Facebook.

Duke përdorur atributin SameSit, ju mund të kontrolloni sjelljen e "Cookie" dhe të lejoni që "Cookie" të dërgohen vetëm në përgjigje të kërkesave të iniciuara nga sajti nga i cili është marrë fillimisht "Cookie". SameSite mund të marrë tre vlera "Rreptë", "Lax" dhe "Asnjë". Në modalitetin "Rreptë", "Cookies" nuk dërgohen për asnjë lloj kërkese në faqe, duke përfshirë të gjitha lidhjet hyrëse nga sajtet e jashtme. Në modalitetin "Lax", zbatohen kufizime më të relaksuara dhe transmetimi i "Cookie" është i bllokuar vetëm për nën-kërkesat ndër-site, si p.sh. një kërkesë imazhi ose ngarkimi i përmbajtjes nëpërmjet një iframe. Dallimi midis "Strict" dhe "Lax" varet nga bllokimi i Cookies kur ndiqni një lidhje.

Ndër ndryshimet e tjera të ardhshme, është planifikuar gjithashtu të zbatohet një kufizim i rreptë që ndalon përpunimin e Cookies të palëve të treta për kërkesat pa HTTPS (me atributin SameSite=Asnjë, Cookies mund të vendosen vetëm në modalitetin e sigurt). Përveç kësaj, është planifikuar të kryhen punë për të mbrojtur kundër përdorimit të identifikimit të fshehur (“gjurmët e gishtave të shfletuesit”), duke përfshirë metodat për gjenerimin e identifikuesve të bazuar në të dhëna indirekte, si p.sh. rezolucioni i ekranit, lista e llojeve MIME të mbështetura, parametra specifikë në kokë (HTTP / 2 и HTTPS), analiza e instaluar shtojcat dhe fontet, disponueshmëria e disa API-ve të internetit, specifike për kartat video karakteristikat duke përdorur WebGL dhe Canvas, manipulimi me CSS, analiza e veçorive të punës me miu и tastierë.

Gjithashtu në Chrome do të shtohet mbrojtje kundër abuzimit që lidhet me vështirësinë e kthimit në faqen origjinale pas zhvendosjes në një faqe tjetër. Po flasim për praktikën e rrëmujës së historisë së navigimit me një sërë ridrejtimesh automatike ose shtimin artificialisht të hyrjeve fiktive në historinë e shfletimit (nëpërmjet pushState), si rezultat i së cilës përdoruesi nuk mund të përdorë butonin "Back" për t'u kthyer në faqe origjinale pas një tranzicioni aksidental ose përcjellje të detyruar në faqen e mashtruesve ose diversantëve. Për t'u mbrojtur nga manipulime të tilla, Chrome në mbajtësin e butonit "Prapa" do të kapërcejë të dhënat që lidhen me përcjelljen automatike dhe manipulimin e historisë së shfletimit, duke lënë vetëm faqet që hapen për shkak të veprimeve të qarta të përdoruesit.

Burimi: opennet.ru