Google Chrome za ublažavanje "drijemanja kartica" blokiranjem preusmjeravanja u novim karticama ili prozorima

Možda ste primijetili jedno od dva ponašanja prilikom klikanja na poveznice na bilo kojoj web stranici — poveznica se ili otvara u istoj kartici ili se otvara u novoj kartici/prozoru. Autori web stranica mogu kontrolirati ovo ponašanje dodavanjem target="_prazno" URL-ovima koje žele otvoriti u novoj kartici. Ovaj atribut usmjerava preglednik da otvori vezu u novoj kartici kada se klikne. Ali atribut ima a poznati sigurnosni problem koji novootvorenim stranicama omogućuje upotrebu JavaScripta za preusmjeravanje na drugi URL. To predstavlja ozbiljnu prijetnju jer bi preusmjereni URL mogao biti web-mjesto krcato zlonamjernim softverom ili stranica za krađu identiteta. Kako bi to riješio, Google Chrome dobiva novu sigurnosnu mjeru.

Kao nedavno izvješće iz BleepingComputer objašnjava, autori web stranica već mogu spriječiti nove kartice da koriste JavaScript za preusmjeravanje na drugi URL pomoću

rel="noopener" HTML atribut veze. Međutim, moraju ručno dodati atribut svakoj vezi s atributom target="_blank". Davne 2018. godine, Apple napravio promjenu u Safariju koji je automatski implicirao atribut noopener na HTML veze koje su koristile target="_blank". Zahvaljujući tome, preglednik je automatski osigurao nove kartice čak i ako autor nije koristio atribut rel="noopener". Prošli tjedan, Microsoft Edge programer Eric Lawrence implementirao istu značajku u Chromiumu. To znači da će također biti uveden u sve preglednike temeljene na Chromiumu, poput Microsoft Edge, Google Chrome, Brave i drugih.

U komentaru na sigurnosnu mjeru, Lawrence je izjavio:

"Za ublažavanje napada "drijemanja kartica", u kojima nova kartica/prozor koji otvara kontekst žrtve može navigirati tim otvaračem kontekstu, HTML standard je promijenjen kako bi odredio da se sidra koja target_blank trebaju ponašati kao da |rel="noopener"| je postaviti. Stranica koja želi isključiti ovo ponašanje može postaviti |rel="opener"|."

Nova sigurnosna mjera trenutno je omogućena u kanalu Chrome Canary i očekuje se da će doći do stabilnog kanala s Chromeom 88 u siječnju sljedeće godine. Kao što je ranije spomenuto, značajka će u biti podrazumijevati atribut "noopener" na HTML vezama koje koriste target="_blank" i spriječi stranice da koriste JavaScript za preusmjeravanje na novu stranicu, osim ako nije navedeno inače.

Ova nova sigurnosna mjera dolazi samo nekoliko dana nakon što je Google zakrpao dvije ranjivosti nultog dana u Chromeu. Možete pročitati više o ovim ranjivostima slijedeći ovaj link.