Chrome перестанет отвечать на JavaScript-редирект при клике на ссылку

Chrome перестанет отвечать на JavaScript-редирект при клике на ссылку

Chrome перестанет отвечать на JavaScript-редирект при клике на ссылку

В браузере Google Chrome появится новая защитная функция, призванная предотвратить изменение открытой страницы при клике на вставленную в нее ссылку. Практика показывает, что такая подмена бывает опасной: пользователь может стать жертвой фишинга или заражения. Подобные JavaScript-трюки уже блокируют Safari и Firefox, а с нового года эта возможность появится и у браузеров на движке Chromium.

Речь идет о ссылках, внедряемых авторами публикаций в HTML-код с атрибутом target="_blank". При активации такой ссылки браузер открывает новую страницу в соседней вкладке или отдельном окне. При этом текущая страница сохраняет связь с предыдущей через JavaScript-объект window.opener и может открыть другой URL в родительской вкладке / окне.

Злоумышленники часто пользуются этой возможностью для перенаправления пользователей на свои сайты. В англоязычных источниках даже появился термин, характеризующий такие редирект-атаки, — tab napping, угон вкладок.

Во избежание подобных неприятностей владельцам сайтов рекомендуется использовать в HTML-ссылках атрибут rel="noopener" вместе с target="_blank".  К сожалению, далеко не все следуют этому совету: у кого-то не хватает времени следить за новыми веяниями, а многие сайты вообще заброшены.

Исправить ситуацию помогли разработчики браузеров. Компании Apple и Mozilla уже внесли изменения в свои проекты, и их приложения по умолчанию трактуют ссылки с атрибутом target="_blank" как содержащие также  rel="nooopener" — даже в тех случаях, когда на сайте такое указание отсутствует.

Аналогичная функциональность была недавно добавлена в Chromium. Это означает, что скоро она появится во всех браузерах, использующих этот движок: Edge, Chrome, Brave и прочих. Судя по записи на профильном ресурсе Google, администраторы сайтов могут откатить внесенные в Chromium изменения для отдельных страниц с помощью атрибута rel="opener".

Нововведение уже опробуется в Chrome Canary; на стабильном канале оно станет доступным, скорее всего, в январе — с выпуском Chrome 88.

Пользователи Android чаще всего блокируют рекламу через Private DNS

Пользователи Android всё чаще отказываются от приложений и VPN для блокировки рекламы, выбирая Private DNS как самый простой и эффективный способ защиты. Опрос показал, что DNS-сервисы вроде AdGuard и Cloudflare позволяют убрать рекламу, снизить риск мошенничества и не замедлять работу смартфона.

Как выяснили исследователи, самым популярным способом блокировки рекламы стал Private DNS. Этот вариант заметно опередил все остальные.

Около 65% респондентов сообщили, что используют Private DNS, например Cloudflare 1.1.1.1 или специализированные решения вроде AdGuard DNS. Такие сервисы легко настраиваются, не требуют установки сторонних приложений и позволяют отсеивать рекламные и потенциально опасные домены на уровне запросов.

Для сравнения: менее 19% пользователей предпочитают сторонние приложения для блокировки рекламы, такие как Blokada. Совсем небольшая доля респондентов призналась, что вообще не использует никакие инструменты для защиты от рекламы.

 

Пользователи отмечают сразу несколько преимуществ DNS-подхода:

  • он не нагружает систему и не замедляет интернет, как это иногда бывает с VPN;
  • не конфликтует с сервисами вроде Android Auto;
  • помогает фильтровать не только рекламу, но и фишинговые или сомнительные сайты;
  • настраивается за пару минут прямо в системных параметрах Android.

При этом Private DNS не ограничивает доступ к сервисам и не ломает работу приложений, что для многих оказалось решающим фактором.

Помимо DNS-сервисов, пользователи активно рекомендуют браузеры с встроенной блокировкой рекламы. Среди популярных вариантов — Firefox с расширением uBlock Origin и фирменный браузер Samsung, который поддерживает контент-блокеры из коробки.

Некоторые, наоборот, выбирают отдельные приложения для блокировки рекламы. Такой подход может быть удобнее, например, в корпоративной среде, где важно, чтобы инструменты защиты корректно работали с бизнес-приложениями.

RSS: Новости на портале Anti-Malware.ru