2022年1月においてCSRF未対策のサイトはどの条件で被害を受けるか
サマリ2020年2月にGoogle ChromeはCookieのデフォルトの挙動をsamesite=laxに変更しましたが、2022年1月11日にFirefoxも同様の仕様が導入されました。この変更はブラウザ側でCSRF脆弱性を緩和するためのもので、特定の条件下では、ウェブサイト側でCSRF対策をしていなくてもCSRF攻撃を受けなくなります。この記事では、デフォルトsamesite=laxについての基礎的な説明に加え、最近のブラウザの挙動の違いについて説明します。 （2022年1月29日追記） 本日確認したところ、Firefoxにおけるデフォルトsamesite=laxはキャンセルされ、従来の挙動に戻ったようです（Firefox 96.0.3にて確認）。デフォルトsamesite=lax自体は先行してGoogle Chromeにて実装されていましたが、細かい挙動の差異で既存サイトに不具合が
無料でJavaScriptによるトラッキングを防げるマルウェア対策拡張機能「JShelter」をフリーソフトウェア財団が発表
フリーソフトウェア財団が2021年9月30日に、トラッキングやデータ収集などJavaScriptを悪用したマルウェアによるリスクを軽減するブラウザ拡張機能「JShelter」を発表しました。 JShelter: Home https://jshelter.org/ FSF announces JShelter browser add-on to combat threats from nonfree JavaScript — Free Software Foundation — Working together for free software https://www.fsf.org/news/fsf-announces-jshelter-browser-add-on-to-combat-threats-from-nonfree-javascript JavaScriptを使えば、ブラウ
[OUTDATED] First-Party Sets and the SameParty attribute | Privacy Sandbox | Google for Developers
[OUTDATED] First-Party Sets and the SameParty attribute Stay organized with collections Save and categorize content based on your preferences. Many organizations have related sites with different domain names, such as brandx.site and fly-brandx.site—or domains for different countries such as example.com, example.rs, example.co.uk and so on. Browsers are moving towards making third-party cookies ob
グーグル、「Chrome」でクッキー機能を制限へ--サイトによるユーザー追跡の抑制でプライバシー改善図る
Chromeのプロダクトマネージャーを務めるTal Oppenheimer氏は米国時間5月7日、年次開発者会議のGoogle I/Oで、「当社は今後、Chromeにおけるクッキーのはたらきを変更していき、デフォルトでプライバシーとセキュリティをより高いものにする」と述べた。 クッキーは長年、ウェブサイトへのサインインを記憶したり、通販サイトのカートに歯磨き粉を入れたままにしたりするのに、便利に使われてきた。一方で、訪問先の多数のウェブサイトなど、ユーザーのオンライン活動を広告主やパブリッシャーが追跡できるようにするのにも、クッキーが有用であることが明らかになった。 クッキーの能力を制限するのはユーザーのプライバシー改善に向けた大きな一歩だが、Chromeは他のブラウザーほどには踏み込んだものにならない可能性がある。Googleの考えはこうだ。クッキーの厳格なブロックは、意図しない結果を招く
chromeの機能拡張の変更について | 280blocker
(2019/2/18追記）方針が変わったようで、この記事の内容は古くなりました。広告ブロック機能への影響はこの記事で書いているほどにはひどいことにはならないようです。ただ最終決定ではありませんので、どうなるかは流動的です。 After outrage over Chrome ad-block block plan, Google backs away from crippling web advert, content filters • The Register Chromeの機能拡張の仕様が変更となり広告ブロッカーが使えなくなるかもしれないとの話について。調べた範囲でまとめます。簡単にはURLブロッキングは使えるが、要素非表示は使えなくなるような気がします。 ニュース：Googleがウェブ上の広告を非表示にする広告ブロック機能をChromeなどで無効化するための施策を進める – GIG
12月の「Chrome 71」、悪質広告の排除をさらに強化へ - CNET Japan
Googleのブラウザ「Chrome」で、閉じることのできないポップアップボックスや、個人情報を盗むために使用される可能性のある偽のシステムレポートなどを表示する、悪質なウェブサイトの取り締まりが強化される。 2018年にリリースされたバージョン64以降、Google Chromeでは、ユーザーを予期せぬウェブサイトにリダイレクトしたり、悪質なポップアップ広告を表示したりするような、ウェブサイト上の一種のおとり行為を排除する試みを取り入れてきた。しかし、その保護策は十分ではなかった。Googleによると、こうした不快な体験の半分以上がブロックされず、そのほぼすべてが悪質または誤解を招く広告を含んでいたという。 そこでGoogleは12月にリリースする「Chrome 71」から悪質サイトのフィルタリング機能を強化し、執拗で悪質な体験をともなう一部のサイトからすべての広告を削除する。ウェブサイ
Chrome ExtensionのLive HTTP Headersの調査(CoolBar.Pro導入 Extensionが何を行うかの調査)
a.md Chrome ExtensionのLive HTTP Headersを調査した。Firefox用のものではない。Firefox用のものではない。 https://chrome.google.com/webstore/detail/live-http-headers/iaiioopjkcekapmldfgbebdclcnpgnlo 11/7追記 類似 or 同様の方法で難読化scriptを埋め込んでいる拡張機能が大量にあったため、Googleに報告済み。 https://twitter.com/bulkneets/status/795260268221636608 English version: https://translate.google.com/translate?sl=ja&tl=en&js=y&prev=_t&hl=ja&ie=UTF-8&u=https%3A%2F%
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
「Chrome」ブラウザにゼロデイ脆弱性--多くの「Android」ユーザーに影響する可能性
ある中国人研究者が、「Chrome」ブラウザを介して「Android」搭載のモバイルデバイスを乗っ取ることができる脆弱性を発見した。これによって、数百万人のユーザーがリスクに晒される可能性があるという。 東京で11月11～12日に開催された「PacSecセキュリティカンファレンス」で、Qihoo 360 Technologyの研究者Guang Gong氏は、最新のアップデートが適用されたAndroidデバイスを、このゼロデイ脆弱性を利用して乗っ取る方法を説明した。 Security Affairsの報道によれば、Guang氏はChromeブラウザを介して「V8 JavaScript Engine」の脆弱性を利用する方法で、Googleのワイヤレス通信サービス「Project Fi」に対応した「Nexus 6」を乗っ取って見せたという。このデバイスに搭載されているOSは、最新の「Androi
Awesome Screenshot が閲覧したサイトのURLを収集している疑い
ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページ […] ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページに訪問したかをネットのどこかに送信する機能があるようです。 Jacq さんは、自分が管理するOSSECのサーバー上の Drupal の、ログインしないとアクセスできない管理画面の複数のURLに対して、”niki-bot”という名前のbotがアクセスしてくるのをアクセスログから発見しました。 外部から知りえないURLがアクセスされるからには、メンバー
Chromeは既定だとオンラインで証明書の失効確認していないので設定方法を調べてみた - piyolog
OpenSSLの脆弱性(HeartBleed)を悪用することでサーバーのSSL証明書秘密鍵が盗まれる可能性があり、この件を受けて偽のWebサイトの設置が懸念されています。影響を受けたサービスは証明書の再発行・失効処理を行っており、netcraftも証明書の失効が大量に来ていると報告しています。 Heartbleed certificate revocation tsunami yet to arrive | Netcraft HeartBleedの影響を受けたとされるyahoo.comやdropboxも脆弱性発覚後に証明書を再発行しています。 yahoo.com dropbox.com 証明書が失効されたWebサイトへアクセスするとどうなるか では最近証明書が失効されたWebサイトに訪れるとどうなるでしょうか。 IEやFirefox等は警告が表示されますが、Chromeは初期設定でオンライ
iOS版Chrome リリースに見るiOSプラットフォームの制約 - naoyaのはてなダイアリー
iOS版の Chrome がリリースされましたね。 アプリとしての使い勝手どうこうというところよりも、JavaScript エンジン周りをどうしているのかに興味があったのだけど、TechCrunch の記事 (http://techcrunch.com/2012/06/28/hands-on-with-googles-chrome-for-ios-just-like-chrome-for-android-only-slower/) を見る限り v8エンジンは搭載されていないし、当然 UIWebView での JIT コンパイラも有効にはなっていないように見えました。つまり、JavaScript の実効速度に関して言えば、Mobile Safari のそれを上回ることはない。(厳密に言えば、純粋な JavaScrpit の実効速度以外のところの実装が良くてトータルとして速い、というようなこと
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ChromeやEdgeの拡張機能複数にマルウェア実装。すでに300万人がダウンロード
WebUSBでレイヤーが低まるWeb開発 - Speaker Deck
Webブラウザーの動作を妨げる迷惑ソフトを一掃してくれるGoogle製のクリーナーツール - 窓の杜