Почти каждая платформа или сервис имеют свои уязвимости в системе безопасности — и Chrome не исключение. Недавно Google уже устранила несколько серьезных проблем, которые могли дать злоумышленникам доступ к конфиденциальным данным в браузере, а теперь исправляет еще одну важную ошибку.
Google устранила критическую уязвимость в Chrome — ту, которая фактически существовала еще с первого дня и позволяла посторонним узнавать, какие сайты вы посещали.
Проблема крылась в, казалось бы, простой функции: когда вы нажимаете на ссылку, она меняет цвет с синего на фиолетовый (или другой, в зависимости от настроек сайта). Но именно эта визуальная деталь стала основой для многолетней дыры в приватности, которая могла «тихо» выдавать часть вашей истории просмотров.
Google объяснила, как это работало: сайты могли стилизовать ссылки через селектор :visited — и менять их вид, если вы уже переходили по ним, независимо от того, где именно вы это сделали. Таким образом, другие сайты могли запускать скрипты, которые проверяли, какие ссылки уже стали фиолетовыми — и фактически подглядывать, где вы бывали в интернете.
Речь идет не только о конфиденциальности. Google назвала это «глубинным недостатком архитектуры», который создавал серьезные риски — от слежки и профилирования до фишинга. Исправление затянулось, но наконец мы дождались.
Как работала уязвимость
Вы просматриваете сайт A и нажимаете ссылку на сайт B. В таком случае сайт B сохраняется в истории :visited. Позже вы заходите на сайт Evil, который тоже имеет ссылку на сайт B. Без ограничений, браузер покажет эту ссылку как уже посещенную (:visited) — даже если вы не нажимали ее именно на сайте Evil. Далее сайт Evil может использовать эту особенность, чтобы узнать, выглядит ли ссылка как :visited — то есть, что вы ранее были на сайте B. Так вытекала информация из истории просмотров.
В очередном обновлении Chrome появится механизм разделения контекста triple-key partitioning. Это означает, что браузер больше не будет отслеживать посещенные ссылки глобально. Теперь Chrome будет учитывать три фактора, чтобы определить, была ли ссылка посещена:
- сам URL-адрес ссылки;
- сайт верхнего уровня (тот, что в адресной строке);
- происхождение фрейма, где появляется ссылка.
Иначе говоря, теперь ссылка будет считаться посещенной только если вы нажимали на нее ранее на том же сайте и в том же фрейме. Никакого хитрого отслеживания через другие сайты больше не будет.
Итак, с выходом Chrome 136, который запланирован на конец апреля, Google наконец положит конец 20-летней проблеме с приватностью, полностью изменив подход к отображению посещенных ссылок.
Недавно Chrome добавил инструменты для контроля «вкладок-обжор» и повышения производительности браузера.
Google Chrome получил режим многозадачности: как включить и использовать?
СпецпроектыВідео, аудіо та кнопки оплати: як розсилки RCS-повідомлень від Telescope змінять роботу з клієнтамиSchneider Electric забезпечила мережу АЗК ОККО обладнанням для безперебійного електропостачання за будь-яких умов
Источник: phonearena
