- Um das alte Web-Sicherheitsproblem zu lösen, dass sich über das Styling von
:visited-Links der „Besuchsverlauf von Nutzern offenlegen“ ließ, wurde eine neue Funktion eingeführt
- Ab Chrome 136 wird der
:visited-Verlauf „partitioniert“ gespeichert, wodurch die Architektur so verbessert wird, dass diese Angriffe grundsätzlich blockiert werden können
- Die visuelle Unterscheidung besuchter Links bleibt erhalten, ist aber so gestaltet, dass andere Websites sie nicht missbrauchen können
Erklärung der partitionierten Speicherung von :visited-Links
- Im bisherigen Verfahren wurde ein angeklickter Link auf jeder Website als
:visited angezeigt
- Das war ein Sicherheitsfehler im Design, der es bösartigen Websites ermöglichte, den Besuchsverlauf von Nutzern nachzuverfolgen
- Beispiel: Nachdem auf Site-A ein Link zu Site-B angeklickt wurde, konnte Site-Evil bei demselben Link erkennen, dass Site-B als
:visited markiert war, und so feststellen, ob der Nutzer die Seite besucht hatte
- In der neuen Architektur wird der Besuchsverlauf nur noch für die Kombination „Site A + Linkziel B“ gespeichert
- Das heißt: Auf Site-Evil wird der Link nicht als
:visited angezeigt, weil der Nutzer ihn dort nicht angeklickt hat
- Dadurch wird der Besuchsverlauf nicht mehr global gespeichert, sondern anhand von „Link-URL + Top-Level-Site + Frame-Herkunft“ getrennt abgelegt
Verarbeitung von Links innerhalb derselben Website
- Angenommen, ein Nutzer recherchiert Metallarten und hat auf
metals.com die site.wiki-Seiten zu chrome und brass angeklickt
- Besucht er später die gold-Seite von
site.wiki, werden die Links zu chrome und brass nicht als :visited angezeigt, weil sie in einem anderen Kontext angeklickt wurden
- Um das zu verbessern, wurde eine Ausnahme für
self-links eingeführt
- Links zu Unterseiten innerhalb derselben Website werden auch dann als
:visited angezeigt, wenn sie nicht im exakt gleichen Kontext angeklickt wurden
- Das ist zulässig, weil eine Website den eigenen Besuchsverlauf der Nutzer ohnehin selbst nachverfolgen kann und daher keine zusätzlichen Informationen offengelegt werden
- Für Drittanbieter-Websites oder Drittanbieter-Links in iframes gilt diese Ausnahme jedoch nicht
Einführungsstatus der Funktion
1 Kommentare
Auch bei GeekNews wollten wir
:visitednutzen, haben es wegen der Sicherheit aber aufgegeben, weil fast nichts möglich war.Wenn das alles umgesetzt wird, könnten vielleicht verschiedenste Stylings möglich werden.