Rendre document.domain immuable
Les développeurs Web qui s’appuient sur une solution de contournement qui assouplit la même stratégie d’origine pour permettre aux sous-domaines d’échanger du contenu devront bientôt adopter une approche différente.
À partir de la prochaine version de Chrome 106, Google (en anglais seulementdu navigateur Web comblera une faille qui allait à l’encontre des meilleures pratiques et, plus important encore, qui présentait un danger dans les environnements hébergés.
Plus précisément, à partir de Chrome 106, les sites Web ne pourront pas définir ‘document.domaine », une technique qui permet des communications sur le même site, mais entre les origines.
En savoir plus sur les dernières nouvelles sur la sécurité des navigateurs
La version grand public actuelle de Navigateur de Google – Chrome 100 – lance déjà un avertissement sur la fonctionnalité bientôt obsolète qui permet aux développeurs de sites Web de tirer parti de document.domaine assouplir la politique de même origine.
Les développeurs de sites Web sont invités à analyser leur site Web pour accéder à l’impact potentiel de la dépréciation de document.domaine avant d’éliminer les cas où le « hack » a été appliqué pour une méthode plus sécurisée de communication entre origines, comme expliqué dans un récent article de blog par Google.
« Sur Chrome, les sites Web ne pourront pas définir document.domaine. Vous devrez utiliser d’autres approches, telles que postMessage() ou l’API Channel Messaging, pour communiquer entre les origines », explique Google.
« Si votre site Web s’appuie sur un assouplissement de la politique de même origine via document.domaine pour fonctionner correctement, le site devra envoyer un Origin-Agent-Cluster : ?0 , comme tous les autres documents qui nécessitent ce comportement.
Ces techniques alternatives existent depuis quelques années. Cependant, en réalité, peu de développeurs s’appuient sur document.domaine assouplir la politique de même origine.
Désavoué
Google tue effectivement une fonctionnalité qui n’est pas largement utilisée et gagne un énorme avantage de sécurité en conséquence.
Le développement change le paradigme de sécurité du navigateur de isolation du site à l’isolement d’origine – réduire drastiquement l’utilité de Attaques de type Spectre dans le processus.
Google et d’autres fabricants de navigateurs préparent le terrain pour empêcher les attaquants de basculer entre les sous-domaines à l’aide d’attaques de type Spectre.
Le Politique de même origine offre l’assurance qu’une page Web ne peut pas accéder (modifier ou extraire des données) d’une autre page, sauf si ces pages sont hébergées sur la même origine.
L’utilisation de document.domaine par les développeurs Web va à l’encontre de cette rubrique et constitue une menace particulière dans le contexte des attaques de type Spectre, en tant que Article Github par Mike West, développeur de sécurité Google Chrome Illustre.
Une foule de problèmes
Ensemble de sites Web document.domaine afin de permettre aux documents du même site de communiquer plus facilement. Tout en offrant des avantages de commodité, l’approche introduit un risque de sécurité, comme l’explique Google :
Si un service d’hébergement fournit différents sous-domaines par utilisateur, un attaquant peut définir document.domaine pour prétendre qu’ils sont de la même origine que la page d’un autre utilisateur.
En outre, un attaquant peut héberger un site Web sous un service d’hébergement partagé, qui dessert des sites via la même adresse IP avec des numéros de port différents.
Dans ce cas, l’attaquant peut prétendre être sur le même site mais de la même origine que le vôtre. C’est possible parce que document.domaine ignore la partie numéro de port du domaine.
Autres fabricants de navigateurs, y compris Mozilla, cherchent également à déprécier document.domaine.
APPARENTÉ Les attaques de spectre contre les sites Web restent une menace sérieuse, prévient Google
