出于安全方面的考量以及過(guò)去被惡意軟件濫用的情況，Google 表示 Chrome 瀏覽器近期將阻止互聯(lián)網(wǎng)網(wǎng)站和本地私人網(wǎng)絡(luò)內(nèi)的設(shè)備/服務(wù)器之間的查詢和互動(dòng)。這一變化將通過(guò)實(shí)施新的 W3C 規(guī)范來(lái)實(shí)現(xiàn)，該規(guī)范被稱(chēng)為私人網(wǎng)絡(luò)訪問(wèn)（PNA），將在今年上半年推出。

新的 PNA 規(guī)范在 Chrome 瀏覽器內(nèi)增加了一個(gè)機(jī)制，通過(guò)該機(jī)制，互聯(lián)網(wǎng)網(wǎng)站可以在建立連接前向本地網(wǎng)絡(luò)內(nèi)的系統(tǒng)征求許可。Google 表示：

Chrome 瀏覽器將在任何子資源的私人網(wǎng)絡(luò)請(qǐng)求之前開(kāi)始發(fā)送 CORS 預(yù)檢請(qǐng)求，該請(qǐng)求要求目標(biāo)服務(wù)器給予明確許可。

這個(gè)預(yù)檢請(qǐng)求將攜帶一個(gè)新的頭，即 Access-Control-Request-Private-Network: true，而對(duì)它的響應(yīng)必須攜帶一個(gè)相應(yīng)的頭，即 Access-Control-Allow-Private-Network: true。

如果本地設(shè)備，如服務(wù)器或路由器未能響應(yīng)，互聯(lián)網(wǎng)網(wǎng)站將被阻止連接。新的 PNA 規(guī)范是近年來(lái)將被添加到 Chrome 瀏覽器中的最重要的安全功能之一。自 2010 年代初以來(lái)，網(wǎng)絡(luò)犯罪團(tuán)伙已經(jīng)意識(shí)到，他們可以利用瀏覽器作為“代理”，轉(zhuǎn)發(fā)連接到公司的內(nèi)部網(wǎng)絡(luò)。

例如，一個(gè)惡意網(wǎng)站可能包含試圖訪問(wèn)192.168.0.1這樣一個(gè)IP地址的代碼，這是大多數(shù)路由器管理面板的典型地址，只能從本地網(wǎng)絡(luò)訪問(wèn)。當(dāng)用戶訪問(wèn)這種惡意網(wǎng)站時(shí)，他們的瀏覽器可以在用戶不知情的情況下向他們的路由器發(fā)出自動(dòng)請(qǐng)求，發(fā)送惡意代碼，繞過(guò)路由器的認(rèn)證，修改路由器設(shè)置。

這種攻擊此前確實(shí)發(fā)生過(guò)。這種互聯(lián)網(wǎng)到本地網(wǎng)絡(luò)的攻擊的變種也可以針對(duì)其他本地系統(tǒng)，如內(nèi)部服務(wù)器、域控制器、防火墻，甚至本地托管的應(yīng)用程序（通過(guò)http://localhost 域或其他本地定義的域）。通過(guò)在Chrome瀏覽器內(nèi)部引入PNA規(guī)范及其權(quán)限協(xié)商系統(tǒng)，Google希望防止這種自動(dòng)攻擊成為可能。

據(jù)Google稱(chēng)，PNA 的一個(gè)版本已經(jīng)與 2021 年 11 月發(fā)布的 Chrome 96 一起上線，但全面支持將在今年分兩個(gè)階段推出，分別是 Chrome 98（3月初）和Chrome 101（5月底）的發(fā)布，詳情如下。

在 Chrome 98 中。

● Chrome會(huì)在私有網(wǎng)絡(luò)子資源請(qǐng)求之前發(fā)送預(yù)檢請(qǐng)求。

● 預(yù)檢失敗只在DevTools中顯示警告，不影響私人網(wǎng)絡(luò)請(qǐng)求。

● Chrome收集兼容性數(shù)據(jù)，并向受影響最大的網(wǎng)站伸出援手。

● Google 預(yù)計(jì)這將與現(xiàn)有網(wǎng)站廣泛兼容。

最早在Chrome 101 中全面部署

● 只有當(dāng)兼容性數(shù)據(jù)表明該變化足夠安全，并且我們?cè)诒匾獣r(shí)直接進(jìn)行了外聯(lián)時(shí)，這才會(huì)開(kāi)始。

● Chrome瀏覽器強(qiáng)制要求預(yù)檢請(qǐng)求必須成功，否則會(huì)導(dǎo)致請(qǐng)求失敗。

● 廢棄試驗(yàn)也同時(shí)開(kāi)始，以允許受此階段影響的網(wǎng)站請(qǐng)求延長(zhǎng)時(shí)間。該試驗(yàn)將持續(xù)至少6個(gè)月。

[超站]友情鏈接：

四季很好，只要有你，文娛排行榜：https://www.yaopaiming.com/
關(guān)注數(shù)據(jù)與安全，洞悉企業(yè)級(jí)服務(wù)市場(chǎng)：https://www.ijiandao.com/