Chrome yoo ni aabo ni bayi lodi si awọn kuki ẹni-kẹta ati idanimọ ti o farapamọ

Google gbekalẹ awọn ayipada ti n bọ si Chrome ti a pinnu lati ni ilọsiwaju aṣiri. Apa akọkọ ti awọn iyipada kan mimu Kuki mu ati atilẹyin fun ikasi SameSite. Bibẹrẹ pẹlu itusilẹ ti Chrome 76, ti a nireti ni Oṣu Keje, yoo wa mu ṣiṣẹ asia “kanna-nipasẹ-default-cookies”, eyiti, ni isansa ti ikasi SameSite ni akọsori Set-Cookie, yoo ṣeto nipasẹ aiyipada iye “SameSite=Lax”, ni opin fifiranṣẹ awọn kuki fun awọn ifibọ lati awọn aaye ẹni-kẹta (ṣugbọn awọn aaye yoo tun ni anfani lati fagilee ihamọ naa nipa ṣiṣeto ni gbangba iye SameSite=Kò si nigba ti a ṣeto Kuki).

Ẹya-ara Ibi kanna gba ọ laaye lati ṣalaye awọn ipo ninu eyiti o jẹ iyọọda lati firanṣẹ Kuki kan nigbati o ba gba ibeere kan lati aaye ẹnikẹta kan. Lọwọlọwọ, ẹrọ aṣawakiri naa nfi Kuki ranṣẹ si eyikeyi ibeere si aaye kan fun eyiti a ti ṣeto Kuki kan, paapaa ti aaye miiran ba ṣii lakoko, ati pe ibeere naa ni aiṣe taara nipasẹ gbigbe aworan kan tabi nipasẹ iframe. Awọn nẹtiwọki ipolowo lo ẹya yii lati tọpa awọn iṣipopada olumulo laarin awọn aaye, ati
attackers fun ajo Awọn ikọlu CSRF (Nigbati orisun kan ti o dari nipasẹ ikọlu naa ba ṣii, a firanṣẹ ibeere ni ikoko lati awọn oju-iwe rẹ si aaye miiran eyiti olumulo lọwọlọwọ ti jẹri, ati aṣawakiri olumulo ṣeto awọn kuki igba fun iru ibeere kan). Ni apa keji, agbara lati firanṣẹ Awọn kuki si awọn aaye ẹnikẹta ni a lo lati fi awọn ẹrọ ailorukọ sinu awọn oju-iwe, fun apẹẹrẹ, fun iṣọpọ pẹlu YuoTube tabi Facebook.

Lilo ẹda SameSit, o le ṣakoso ihuwasi Kuki ati gba awọn Kuki laaye lati firanṣẹ nikan ni idahun si awọn ibeere ti o bẹrẹ lati aaye lati eyiti o ti gba Kuki ni akọkọ. SameSite le gba awọn iye mẹta "Ti o muna", "Lax" ati "Ko si". Ni ipo 'Ti o muna', Awọn kuki ko firanṣẹ fun eyikeyi iru awọn ibeere aaye-agbelebu, pẹlu gbogbo awọn ọna asopọ ti nwọle lati awọn aaye ita. Ni ipo 'Lax', awọn ihamọ isinmi diẹ sii ni a lo ati gbigbe Kuki jẹ dinalọna fun awọn ibeere abẹ-aaye ayelujara nikan, gẹgẹbi ibeere aworan tabi ikojọpọ akoonu nipasẹ iframe. Iyatọ laarin "Ti o muna" ati "Lax" wa si isalẹ lati dina awọn kuki nigbati o tẹle ọna asopọ kan.

Lara awọn ayipada miiran ti n bọ, o tun gbero lati lo ihamọ to muna ti o ṣe idiwọ sisẹ awọn Kuki ẹni-kẹta fun awọn ibeere laisi HTTPS (pẹlu SameSite=Ko si abuda kan, Awọn kuki le ṣee ṣeto ni ipo Aabo nikan). Ni afikun, o ti gbero lati ṣe iṣẹ lati daabobo lodi si lilo idanimọ ti o farapamọ (“fitẹ ikawe ẹrọ lilọ kiri ayelujara”), pẹlu awọn ọna fun ṣiṣẹda awọn idamọ ti o da lori data aiṣe-taara, gẹgẹbi iboju ipinnu, atokọ ti awọn iru MIME ti o ni atilẹyin, awọn paramita kan pato ninu awọn akọle (HTTP / 2 и HTTPS), igbekale ti fi sori ẹrọ afikun ati awọn nkọwe, wiwa awọn API Wẹẹbu wẹẹbu kan, pato si awọn kaadi fidio awọn ẹya ṣiṣe ni lilo WebGL ati Canvas, ifọwọyi pẹlu CSS, igbekale awọn ẹya ara ẹrọ ti ṣiṣẹ pẹlu eku и keyboard.

Tun ni Chrome ao fi kun Idaabobo lodi si ilokulo ti o ni nkan ṣe pẹlu iṣoro pada si oju-iwe atilẹba lẹhin gbigbe si aaye miiran. A n sọrọ nipa iṣe ti iṣakojọpọ itan lilọ kiri pẹlu lẹsẹsẹ awọn àtúnjúwe adaṣe tabi fifi awọn titẹ sii lainidi si itan-akọọlẹ lilọ kiri ayelujara (nipasẹ pushState), nitori abajade eyiti olumulo ko le lo bọtini “Pada” lati pada si aaye naa. oju-iwe atilẹba lẹhin iyipada lairotẹlẹ tabi fi agbara mu siwaju si aaye ti awọn scammers tabi awọn saboteurs. Lati daabobo lodi si iru awọn ifọwọyi, Chrome ninu oluṣakoso bọtini Afẹyinti yoo foju awọn igbasilẹ ti o ni nkan ṣe pẹlu fifiranšẹ siwaju laifọwọyi ati ifọwọyi ti itan lilọ kiri ayelujara, nlọ nikan awọn oju-iwe ti o ṣii nitori awọn iṣe olumulo ti o fojuhan.

orisun: opennet.ru