Появились первые версии Firefox с функцией запрета слежения

Появились первые версии Firefox с функцией запрета слежения

Mozilla выпустила первые тестовые версии популярного Интернет-обозревателя Firefox, в которых доступен функционал запрета слежения за пользователем ("do-not-track"). Все те, кому хотелось бы  опробовать новые возможности браузера в действии, могут загрузить и установить соответствующую альфа-сборку.



PCWorld напоминает, что на минувшей неделе Mozilla раскрыла свои планы относительно введения в функционал грядущей версии обозревателя Firefox - 4.0 - особой подсистемы, которая должна стать оптимальным решением для пользователей Сети, не желающих, чтобы их активность в Интернете отслеживалась рекламодателями. Не далее как вчера разработчики уведомили общественность о том, что новая функция (или, правильнее сказать, первая попытка ее реализации) уже вошла в состав последних тестовых сборок, и при желании ее можно проверить в работе.


Стоит отметить, что альфа-версии (сотрудники Mozilla называют их "nightly builds" - "вечерние сборки") предназначены только для проверки функционала; уровень их стабильности ниже, чем у бета-выпусков.


Включить новую подсистему можно в настройках обозревателя: на вкладке "Расширенные настройки" необходимо установить отметку напротив фразы "Сообщать сайтам о запрете на отслеживание".


Механизм "запрета" прост: при включении этого режима каждому сайту будет посылаться особый сигнал. Сейчас он выглядит как "DNT: 1" (ранее предполагалось, что команда будет иметь вид "X-Do-Not-Track"). В теории, получив такой сигнал от обозревателя, ресурс Интернета должен будет отказаться от любых попыток отследить активность пользователя; иными словами, функционал полагается на добрую волю создателей веб-сайтов, которые, возможно, установят на сервере соответствующие настройки.


Разработчики Mozilla признали, что пока видимый эффект от включения новой подсистемы может не наблюдаться: вряд ли на данный момент какие-либо ресурсы Сети вообще способны распознать сигнал "запрета", не говоря уже о его обработке.


По мнению экспертов, потребность в "сотрудничестве" с операторами веб-сайтов (т.е. ожидание проявления доброй воли с их стороны) является основным изъяном этой системы. Многим организациям прекрасно известно, что практика сбора данных о пользователях без их ведома является довольно сомнительной с точки зрения этики, и что Федеральная комиссия США по торговле уже начинает принимать меры по борьбе с этой практикой, но, тем не менее, они продолжают заниматься слежкой за пользователями Сети. Соответственно, было бы несколько наивно ожидать, что они по собственной воле откажутся от этой деятельности только лишь на основании чьей-либо просьбы, которая юридически их ни к чему не обязывает.

" />

В Google Chrome усложнили кражу cookie — новая защита от угона сессий

Google перевела функцию Device Bound Session Credentials (DBSC) в общую доступность для пользователей Chrome на Windows. Теперь эта защита работает в Chrome 146 и должна заметно осложнить жизнь тем, кто крадёт сессионные cookies, чтобы потом входить в чужие аккаунты без пароля.

Принцип работы DBSC кроется в том, что браузер не просто хранит cookie, а криптографически привязывает сессию к конкретному устройству.

Даже если зловред украдёт cookie из браузера, использовать их на другой машине будет уже гораздо труднее — по сути, они быстро потеряют ценность для атакующего.

Особенно актуально это на фоне популярности так называемых инфостилеров. Такие вредоносные программы собирают с заражённых устройств всё подряд: пароли, данные автозаполнения, токены и, конечно, cookie. Этого бывает достаточно, чтобы злоумышленник зашёл в учётную запись жертвы, даже не зная её пароль. Потом такие данные нередко перепродают другим участникам киберпреступного рынка.

 

DBSC должна ломать именно такой сценарий. На Windows технология опирается на Trusted Platform Module, а на macOS — на Secure Enclave. С их помощью создаётся уникальная пара ключей, причём закрытый ключ не покидает устройство. Когда сайту нужно выдать новую короткоживущую cookie, Chrome должен доказать, что у него есть нужный закрытый ключ. Если ключ не на том устройстве, схема просто не срабатывает.

При этом Google подчёркивает, что технология задумана с упором на конфиденциальность. По данным компании, DBSC не должна превращаться в новый механизм слежки: сайт получает только тот минимум данных, который нужен для подтверждения владения ключом, без передачи постоянных идентификаторов устройства или дополнительных данных аттестации.

Есть и важная оговорка: если устройство не поддерживает безопасное хранение ключей, Chrome не ломает аутентификацию и просто откатывается к обычной схеме работы. То есть пользователи не должны столкнуться с внезапными сбоями входа только потому, что их железо не подходит под новую модель защиты.

Пока публичный запуск ограничен Windows-пользователями Chrome 146, но Google уже подтвердила, что поддержку macOS добавят в одном из следующих релизов. Компания также заявила, что после начала внедрения DBSC уже заметила заметное снижение случаев кражи сессий.

RSS: Новости на портале Anti-Malware.ru