Chrome почнува да го ограничува пристапот до приватните мрежи

20.01.2022. / 09:02

Google вели дека нивниот пребарувач Chrome наскоро ќе ги блокира веб страниците на интернет за барања и за интеракција со уредите и серверите кои се наоѓаат внатре во локалните приватни мрежи, наведувајќи безбедносни причини и рана злоупотреба на злонамерен софтвер.

„Chrome ќе започне да испраќа CORS барање за влез пред секое барање на приватната мрежа за подизвор, кој бара експлицитна дозвола од целниот сервер. Ова барање за предпрограмирање ќе има нов наслов, Access-Control-Request-Private-Network: true, а одговорот на барањето мора да го содржи соодветниот наслов, Access-Control-Allow-Private-Network: true.“ – наведуваат Eiji Kitamura и Titouan Rigoudy од Google.

Промената ќе се реализира преку имплементација на новата W3C спецификација наречена Private Network Access (PNA) која ќе биде воведена во првата половина од годината.

Новата спецификација PNA додава механизам во самиот Chrome пребарувач преку кој интернет страниците можат да бараат дозвола од системот во локалните мрежи пред воспоставување на врската. Ова ќе биде една од најважните безбедносни функции која ќе му биде додадена на Chrome во последните години.

Во текот на изминатите неколку децении, интернетот стана ранлив на класата на напади кои ги користат пребарувачите како плато за пристап до рутерите и до другите чувствителни уреди на целната мрежа. Со овој нов потег, Google конечно презема нешто по тоа прашање.

Она што се случуваше претходно е дека хакерите ги користеа злонамерните веб страници што содржеа код кој се обидува да пристапи на IP адресата како што е 192.168.0.1, што е типична адреса за повеќето административни панели на рутерот и достапна е само од локалната мрежа.

Кога корисниците/чките ќе пристапат на ваков вид на веб локација, нивниот пребарувач може да поднесе автоматско барање до нивниот рутер без знаење на корисникот, пренесувајќи злонамерен код што може да ја заобиколи автентификацијата на рутерот и да ги промени самите поставки на рутерот. Ваквите напади беа честа појава во претходните години.

Варијациите на овие напади од интернет на локалната мрежа, исто така, можат да таргетираат и други локални системи, како што се внатрешни сервери, контролери на домени, огнени ѕидови (firewall) или дури и локално хостирани апликации (преку http://localhost доменот или други локално дефинирани домени).

Под претпоставка дека PNA спецификацијата во целост ќе стапи на сила, Chrome веќе нема да дозволува такви врски освен ако уредите внатре во приватната мрежа експлицитно не го дозволуваат тоа. Еве два дијаграми што покажуваат како функционира тоа.

sa

sa

Извор: arstechnica.com

Според Google, PNA верзијата веќе е испорачана со Chrome 96, кој беше објавен во октомври 2021 година, но целосната поддршка ќе биде воведена во две фази оваа година, со верзиите Chrome 98 (во почетокот на март) и Chrome 101 (кон крајот на мај).

Не се очекува дека после ова воведување, било какво пробивање може да ја погоди веб страницата, но од Google советуваат да ги ажурирате патеките на барањата на кои ова се однесува за да се осигурате дека вашата страница ќе продолжи да функционира според очекувањата.

На располагање ви стојат две решенија, за кои можете да дознаете повеќе на блогот со објаснувањата околу новите PNA промени.

Ако барањето за предпрограмирање не успее, конечното барање сепак ќе биде испратено, но предупредувањето ќе се појави на таблата со проблеми DevTools.

"Ова може да ви овозможи да тестирате дали вашата веб страница ќе работи после втората фаза од нашиот план за воведување. Грешките можат да се дијагностицираат на ист начин како и преупредувањата со помош на горе наведените табли DevTools." – наведуваат во неодамнешниот блог, инженерот на Google Titouan Rigoudy и програмерот на Google Eiji Kitamura.

Ако и кога Google ќе биде убеден дека нема да има масовни нарушувања, барањата пред летот ќе треба да бидат одобрени за да поминат.

Од новите безбедносни функции корист ќе имаат и медиумите, бидејќи пробивањата во медиумските мрежи се случуваа токму на споменатите начини. Поголемата заштита ќе обезбеди и поголема безбедност преку интеракцијата со уредите и серверите кои се наоѓаат внатре во локалните приватни мрежи.

Иако оваа промена наизглед не е важна за новинарите/ките и за медиумите, таа е од повеќекратно значење. Пред сѐ, на овој начин, новинарите, особено оние од областа на истражувачкото новинарство, ќе бидат посигурни дека кога вршат истражувања на мрежата дека доаѓаат до вистинските извори, наместо некој, што ја преземал нивната локална инфраструктура, да ги пренасочува на страница која иако личи на изворот кој сте го барале, всушност ве води на извор каде што можете да преземете некој несакан вирус. Исто така, им овозможува на членовите на вашата читачка заедница да бидат сигурни дека навистина доаѓаат на вашата страница кога сакаат да прочитаат веродостојна информација од медиум на кој му веруваат. На овој начин, дополнително ќе го заштитите вашиот бренд од лошите влијанија што може да се случат доколку некој сака да ја искористи вашата видливост и да му нанесе непоправлива штета на вашиот медиум. Иако, се разбира дека сите медиуми не го користат само Chrome, со оглед на тоа дека тука се работи за W3C препорака, се надеваме дека и останатите интернет пребарувачи ќе ги воведат овие промени и на тој начин подобро ќе ги заштитат новинарите/ките, а исто така и нивната публика и читачката заедница.  

Ocijenite kvalitet članka