„Google Chrome“, kad sumažintų „skirtukų spaudimą“, blokuodama peradresavimus naujuose skirtukuose arba languose

Galbūt pastebėjote vieną iš dviejų elgsenų spustelėdami nuorodas bet kurioje svetainėje – nuoroda atsidaro tame pačiame skirtuke arba atsidaro naujame skirtuke / lange. Svetainių autoriai gali kontroliuoti šį elgesį pridėdami target="_blank" priskirti URL adresams, kuriuos jie nori atidaryti naujame skirtuke. Šis atributas nukreipia naršyklę spustelėjus atidaryti nuorodą naujame skirtuke. Tačiau atributas turi a žinoma saugumo problema kuri leidžia naujai atidarytam puslapiui naudoti JavaScript, kad nukreiptų jus į kitą URL. Tai kelia rimtą grėsmę, nes peradresuotas URL gali būti kenkėjiškų programų apkrauta svetainė arba sukčiavimo puslapis. Kad tai išspręstų, „Google Chrome“ įgyja naują saugos priemonę.

Kaip naujausias pranešimas iš „BleepingComputer“. paaiškina, svetainių autoriai jau gali neleisti naujiems skirtukams naudoti „JavaScript“, kad peradresuotų į kitą URL naudodami „

rel="noopener" HTML nuorodos atributas. Tačiau jie turi rankiniu būdu pridėti atributą prie kiekvienos nuorodos su atributu target="_blank". Dar 2018 m. Apple padarė pakeitimą „Safari“, kuris automatiškai numatė „noopener“ atributą HTML nuorodose, kuriose buvo naudojamas „target="_blank". Dėl šios priežasties naršyklė automatiškai apsaugojo naujus skirtukus, net jei autorius nenaudojo atributo rel="noopener". Praėjusią savaitę „Microsoft Edge“ kūrėjas Ericas Lawrence'as įdiegė tą pačią funkciją „Chromium“. Tai reiškia, kad jis taip pat bus pristatytas visose „Chromium“ pagrindu veikiančiose naršyklėse, pvz., „Microsoft Edge“, „Google Chrome“, „Brave“ ir kt.

Komentare dėl saugumo priemonės Lawrence'as teigė:

„Siekiant sušvelninti „skirtukų spaudimo“ atakas, kurių metu naujas skirtukas / langas, atidarytas aukos kontekste, gali pereiti prie atidarytuvo kontekste, HTML standartas buvo pakeistas, kad būtų nurodyta, kad inkarai, kurie target_blank turėtų elgtis taip, tarsi |rel="noopener"| yra rinkinys. Puslapis, norintis atsisakyti šio elgesio, gali nustatyti |rel="opener"|."

Naujoji saugumo priemonė šiuo metu įjungta „Chrome Canary“ kanale ir tikimasi, kad kitų metų sausį ji pateks į stabilų kanalą su „Chrome 88“. Kaip minėta anksčiau, ši funkcija iš esmės reikš „noopener“ atributą HTML nuorodose, kurios naudoja target="_blank" ir neleisti puslapiams naudoti „JavaScript“ peradresuoti į naują puslapį, nebent nurodyta kitaip.

Ši nauja saugos priemonė pasirodė praėjus vos kelioms dienoms po to, kai „Google“ pataisė du nulinės dienos „Chrome“ spragas. Daugiau apie šiuos pažeidžiamumus galite perskaityti toliau šią nuorodą.