Google Chrome heeft plannen aangekondigd om openbare websites te verbieden rechtstreeks toegang te krijgen tot eindpunten die zich binnen particuliere netwerken bevinden, als onderdeel van een aanstaande grote beveiligingsschok om indringers via de browser te voorkomen.
De voorgestelde wijziging zal in twee fasen worden uitgerold als onderdeel van releases Chrome 98 en Chrome 101 die in de komende maanden zijn gepland via een nieuw geïmplementeerde W3C-specificatie genaamd private network access (PNA).
"Chrome begint een CORS preflight-verzoek voorafgaand aan elk particulier netwerkverzoek voor een subresource, die om expliciete toestemming van de doelserver vraagt, "Titouan Rigoudy en Eiji Kitamura zei. "Dit preflight-verzoek zal een nieuwe header bevatten, Access-Control-Request-Private-Network: true, en het antwoord daarop moet een overeenkomstige header bevatten, Access-Control-Allow-Private-Network: true."
Dit betekent dat vanaf Chrome-versie 101 elke website die via internet toegankelijk is, expliciete toestemming van de browser moet vragen voordat ze toegang kunnen krijgen tot interne netwerkbronnen. Met andere woorden, de nieuwe PNA-specificatie voegt een voorziening toe aan de browser waarmee websites servers die zich achter lokale netwerken bevinden, kunnen vragen om verbinding te maken.
"De specificatie breidt ook het Cross-Origin Resource Sharing (CORS)-protocol uit, zodat websites nu expliciet een subsidie moeten aanvragen bij servers op particuliere netwerken voordat ze willekeurige verzoeken mogen verzenden", zegt Rigoudy. bekend in augustus 2021, toen het voor het eerst plannen aankondigde om toegang tot particuliere netwerkeindpunten van niet-beveiligde websites af te schaffen.
Het doel, aldus de onderzoekers, is om gebruikers te beschermen tegen cross-site verzoekvervalsing (CSRF) aanvallen gericht op routers en andere apparaten op privénetwerken, waarmee kwaadwillenden nietsvermoedende gebruikers kunnen omleiden naar kwaadaardige domeinen.
Bron: https://thehackernews.com/2022/01/chrome-limits-websites-access-to.html
