Google Chrome for at afbøde "tab-napping" ved at blokere omdirigeringer i nye faner eller vinduer

Du kan have observeret en af ​​to adfærd, når du klikker på links på ethvert websted - linket åbner enten i samme fane, eller det åbner i en ny fane/vindue. Hjemmesideforfattere kan kontrollere denne adfærd ved at tilføje target="_blank" attribut til URL'er, som de ønsker at åbne på en ny fane. Denne egenskab dirigerer browseren til at åbne linket i en ny fane, når der klikkes på den. Men attributten har en kendt sikkerhedsproblem der lader nyåbnede sider bruge JavaScript til at omdirigere dig til en anden URL. Dette udgør en alvorlig trussel, da den omdirigerede URL muligvis kan være et websted med malware eller en phishing-side. For at løse dette får Google Chrome en ny sikkerhedsforanstaltning.

Som en nylig rapport fra Bleeping Computer forklarer, at webstedsforfattere allerede kan forhindre nye faner i at bruge JavaScript til at omdirigere til en anden URL ved at bruge

rel="noopener" HTML link attribut. De skal dog manuelt tilføje attributten til hvert link med attributten target="_blank". Tilbage i 2018, Apple lavet en ændring i Safari, der automatisk antydede noopener-attributten på HTML-links, der brugte target="_blank". Takket være dette sikrede browseren automatisk nye faner, selvom forfatteren ikke brugte rel="noopener"-attributten. I sidste uge, Microsoft Edge-udvikler Eric Lawrence implementeret den samme funktion i Chromium. Det betyder, at det også vil blive introduceret i alle Chromium-baserede browsere, som Microsoft Edge, Google Chrome, Brave og mere.

I en kommentar vedrørende sikkerhedsforanstaltningen udtalte Lawrence:

"For at afbøde "tab-napping"-angreb, hvor en ny fane/vindue åbnet af en offerkontekst kan navigere i den åbner kontekst, ændrede HTML-standarden for at specificere, at ankre, som target_blank skulle opføre sig som om |rel="noopener"| er sæt. En side, der ønsker at fravælge denne adfærd, kan indstille |rel="opener"|."

Den nye sikkerhedsforanstaltning er i øjeblikket aktiveret i Chrome Canary-kanalen, og den forventes at finde vej til den stabile kanal med Chrome 88 i januar næste år. Som tidligere nævnt vil funktionen i det væsentlige indebære "noopener"-attributten på HTML-links, der bruges target="_blank" og forhindre sider i at bruge JavaScript til at omdirigere til en ny side, medmindre det er angivet Ellers.

Denne nye sikkerhedsforanstaltning kommer få dage efter, at Google har rettet to nul-dages sårbarheder i Chrome. Du kan læse mere om disse sårbarheder ved at følge med dette link.