Chrome sasa itakuwa na ulinzi dhidi ya vidakuzi vya watu wengine na utambulisho uliofichwa

Google imewasilishwa mabadiliko yajayo kwenye Chrome yanayolenga kuboresha faragha. Sehemu ya kwanza ya mabadiliko inahusu kushughulikia Vidakuzi na usaidizi wa sifa ya SameSite. Kuanzia na kutolewa kwa Chrome 76, inayotarajiwa Julai, kutakuwa na imeamilishwa bendera ya "tovuti sawa-kwa-chaguo-msingi-vidakuzi", ambayo, kwa kukosekana kwa sifa ya SameSite kwenye kichwa cha Set-Cookie, kwa chaguomsingi itaweka thamani "SameSite=Lax", ikizuia utumaji wa Vidakuzi kwa ajili ya kuingizwa kutoka. tovuti za watu wengine (lakini tovuti bado zitaweza kughairi kizuizi kwa kuweka kwa uwazi thamani SameSite=None wakati wa kuweka Kidakuzi).

Sifa Sawa hukuruhusu kufafanua hali ambazo inaruhusiwa kutuma Kidakuzi wakati ombi limepokelewa kutoka kwa tovuti ya wahusika wengine. Hivi sasa, kivinjari hutuma Kidakuzi kwa ombi lolote kwa tovuti ambayo Kidakuzi kimewekwa, hata kama tovuti nyingine imefunguliwa hapo awali, na ombi hufanywa kwa njia isiyo ya moja kwa moja kwa kupakia picha au kupitia iframe. Mitandao ya utangazaji hutumia kipengele hiki kufuatilia mienendo ya watumiaji kati ya tovuti, na
washambuliaji kwa shirika Mashambulizi ya CSRF (wakati rasilimali inayodhibitiwa na mshambuliaji inafunguliwa, ombi hutumwa kwa siri kutoka kwa kurasa zake hadi tovuti nyingine ambayo mtumiaji wa sasa ameidhinishwa, na kivinjari cha mtumiaji huweka Vidakuzi vya kikao kwa ombi kama hilo). Kwa upande mwingine, uwezo wa kutuma Vidakuzi kwenye tovuti za watu wengine hutumiwa kuingiza vilivyoandikwa kwenye kurasa, kwa mfano, kwa kuunganishwa na YuoTube au Facebook.

Kwa kutumia sifa ya SameSit, unaweza kudhibiti tabia ya Vidakuzi na kuruhusu Vidakuzi kutumwa tu kwa kujibu maombi yaliyoanzishwa kutoka kwa tovuti ambayo Kidakuzi kilipokewa hapo awali. SameSite inaweza kuchukua maadili matatu "Strict", "Lax" na "None". Katika hali ya 'Kali', Vidakuzi havitumwi kwa aina yoyote ya maombi ya tovuti mbalimbali, ikijumuisha viungo vyote vinavyoingia kutoka tovuti za nje. Katika hali ya 'Lax', vizuizi vilivyolegezwa zaidi vinatumika na uwasilishaji wa Vidakuzi umezuiwa kwa maombi ya tovuti tofauti tu, kama vile ombi la picha au kupakia maudhui kupitia iframe. Tofauti kati ya "Strict" na "Lax" inakuja hadi kwenye kuzuia Vidakuzi unapofuata kiungo.

Miongoni mwa mabadiliko mengine yajayo, imepangwa pia kuweka kizuizi kali ambacho kinakataza uchakataji wa Vidakuzi vya watu wengine kwa maombi bila HTTPS (yenye sifa ya SameSite=None, Vidakuzi vinaweza tu kuwekwa katika hali salama). Kwa kuongezea, imepangwa kufanya kazi ya kulinda dhidi ya utumiaji wa kitambulisho kilichofichwa ("alama za vidole kwenye kivinjari"), pamoja na njia za kutengeneza vitambulisho kulingana na data isiyo ya moja kwa moja, kama vile. azimio la skrini, orodha ya aina za MIME zinazotumika, vigezo maalum kwenye vichwa (HTTP / 2 и HTTPS), uchambuzi wa imewekwa programu-jalizi na fonti, upatikanaji wa API fulani za Wavuti, maalum kwa kadi za video makala utoaji kwa kutumia WebGL na Canvas, ghiliba na CSS, uchambuzi wa vipengele vya kufanya kazi na panya и kibodi.

Pia katika Chrome itaongezwa ulinzi dhidi ya unyanyasaji unaohusishwa na ugumu wa kurudi kwenye ukurasa asili baada ya kuhamia tovuti nyingine. Tunazungumza juu ya mazoea ya kujumuisha historia ya urambazaji na safu ya uelekezaji upya kiotomatiki au kuongeza kwa uwongo maingizo ya uwongo kwenye historia ya kuvinjari (kupitia pushState), kwa sababu hiyo mtumiaji hawezi kutumia kitufe cha "Nyuma" kurudi kwenye ukurasa asili baada ya mabadiliko ya bahati mbaya au kulazimishwa kusambaza kwa tovuti ya walaghai au wahujumu . Ili kulinda dhidi ya upotoshaji kama huo, Chrome katika kidhibiti cha kitufe cha Nyuma itaruka rekodi zinazohusiana na usambazaji wa kiotomatiki na upotoshaji wa historia ya kuvinjari, na kuacha kurasa zinazofunguliwa pekee kwa sababu ya vitendo vya wazi vya mtumiaji.

Chanzo: opennet.ru