Chrome kommer att få skydd mot delning av tredjeparts-cookies och dold identifiering.

Google har presenterat Kommande förändringar i Chrome som syftar till att öka sekretessen. Den första delen av förändringarna gäller hantering av cookies och stöd för attributet SameSite. Från och med Chrome 76, som förväntas släppas i juli, kommer aktiverade flaggor "same-site-by-default-cookies", som i avsaknad av SameSite-attributet i Set-Cookie-huvudet som standard kommer att ställa in värdet "SameSite=Lax", vilket begränsar överföringen av cookies för insättningar från externa webbplatser (men webbplatser kan fortfarande åsidosätta begränsningen genom att uttryckligen ställa in värdet SameSite=None vid inställning av cookies).

Attributet SameSite möjliggör att definiera situationer där överföring av cookies är tillåten när en begäran kommer från en extern webbplats. För närvarande skickar webbläsaren cookies vid varje begäran till en webbplats där cookies är inställda, även om den ursprungligen öppnats från en annan webbplats, och begäran görs indirekt genom att ladda en bild eller via iframe. Annonsnätverk utnyttjar denna funktion för att spåra användarens rörelser mellan webbplatser, och
angripare för att organisera CSRF-attacker (vid öppning av en resurs som kontrolleras av angriparna, skickas en begäran i hemlighet till en annan webbplats där den aktuella användaren är autentiserad, och användarens webbläsare skickar sessioncookies för en sådan begäran). Å andra sidan används möjligheten att skicka cookies till externa webbplatser för att infoga widgets på sidor, till exempel för integration med YouTube eller Facebook.

Genom att använda attributet SameSite kan man styra beteendet vid inställning av cookies och tillåta överföring av cookies endast som svar på begärningar som initierats från den webbplats från vilken dessa cookies ursprungligen mottogs. SameSite kan anta tre värden: "Strict", "Lax" och "None". I läget "Strict" skickas cookies inte för några typer av externa begärningar, inklusive alla inkommande länkar från externa webbplatser. I läget "Lax" tillämpas mildare begränsningar och överföring av cookies blockeras endast för externa delbegärningar, som begäran av bilder eller laddning av innehåll via iframe. Skillnaden mellan "Strict" och "Lax" handlar om blockering av cookies vid klick på en länk.

Bland andra kommande förändringar planeras även en sträng begränsning som förbjuder behandling av tredjeparts-cookies för förfrågningar utan HTTPS (med attributet SameSite=None kan cookies endast sättas i Secure-läge). Dessutom planeras arbete för att skydda mot dold identifiering ("browser fingerprinting"), inklusive metoder för att generera identifierare baserat på indirekta data, som skärmupplösning, en lista över stödda MIME-typer, specifika parametrar i rubriker (HTTP/2 och HTTPS), analys av installerade tillägg och typsnitt, tillgänglighet av vissa Web API:er, specifika för grafikkort funktioner ritningar med hjälp av WebGL och Canvas, manipulering med CSS, analys av arbetssätt med musen och tangentbordet.

Dessutom i Chrome kommer det att läggas till skydd mot missbruk kopplat till svårigheter att återvända till den ursprungliga sidan efter att ha navigerat till en annan webbplats. Det handlar om praktiken att överbelasta historiken genom en serie automatiska omdirigeringar eller genom att artificiellt lägga till falska poster i historiken (via pushState), vilket gör att användaren inte kan använda knappen "Tillbaka" för att återvända till den ursprungliga sidan efter oavsiktlig navigation eller tvång omdirigering till en webbplats för bedragare eller skadlig programvara. För att skydda mot sådana manipulationer kommer Chrome i hanteraren för knappen Tillbaka att hoppa över poster relaterade till automatiska omdirigeringar och manipulation av besökshistorik, och lämna endast sidor som öppnas vid tydliga åtgärder av användaren.

Källa: opennet.ru