Починаючи з учорашнього дня, сторонні файли cookie блокуються у 1% користувачів браузера Chrome, що є найпопулярнішим у світі. До кінця року Google планує заблокувати сторонні куки для всіх користувачів Chrome. Це серйозне випробування для маркетологів і власників сайтів, що займаються рекламними технологіями — обидві сторони стверджують, що представила нові програмні інструменти Google недостатньо підготувала ринок для нововведення. Становище посилюється тим, що перехід намічено на IV квартал, тобто час найбільшої протягом року активності у рекламної галузі.

У Google на цей рахунок інша думка: компанія заявляє, що готова надати галузі всебічну підтримку, а запропоновані їй інструменти допоможуть бізнесу досягти своїх цілей, тільки тепер буде дотримуватися конфіденційності користувачів. Деякі представники рекламної індустрії самі просять Google прискорити перехід на нову модель, який і без того кілька разів переносився.

Файли cookie існують з перших днів роботи інтернету – вони дозволяють зберігати налаштування користувача на комп’ютері користувача без необхідності авторизації на кожній відкритій сторінці. Сторонні cookie, з якими вирішила боротися Google, відкривають доступ до профілю користувача на одному сайті з іншого, що дозволяє відстежувати дії людини на кількох ресурсах, формувати профіль її переваг та пропонувати рекламу на основі її інтересів – захисники прав споживачів вказують, що ця технологія порушує конфіденційність людини та сприяє збиранню особистих даних. Нововведення Google не вплинуть на роботу локальних cookie для зберігання базової інформації, такої як дані для авторизації.

Браузери Mozilla Firefox та Apple Safari ще наприкінці минулого десятиліття почали вводити обмеження на стеження за користувачами через cookie. Google планувала ввести аналогічний захід щодо Chrome ще в 2020 році, але кілька разів відкладала цей процес через скарги з боку представників рекламної галузі, так і захисників конфіденційності — останні стурбовані технологією, яку компанія запропонувала замість сторонніх cookie. Ця технологія дозволяє відстежувати користувачів безпосередньо через їхні браузери і є побоювання, що вона зміцнить домінування Google за рахунок централізації критично важливих функцій. На частку Chrome за підсумками грудня 2023 року припали майже 65% веб-трафіку в усьому світі, свідчать дані Statcounter, а частка Safari, що посів друге місце, виявилася втричі меншою. Антимонопольну перевірку ініціативи проводить британське Управління з конкуренції та ринків (CMA), якому Google пообіцяла, що не надаватиме власним продуктам жодних переваг. Компанія також заявила, що її угода з CMA діятиме у всьому світі.

На заміну стороннім cookie компанія Google запропонувала API Privacy Sandbox – інструмент, який охопить не лише настільні версії Chrome, а й мобільну ОС Android. Великі рекламні агенції вже направили скарги до CMA та Google на те, що цей інструмент містить значні технічні прогалини, наприклад, щодо відео, і це ускладнює тестування, необхідне для підготовки до повної відмови від сторонніх cookie. Google стверджує, що перший етап плану, що вступив в силу, є обмеженим тестуванням нових коштів; а CMA зберегло за собою право заблокувати ініціативу, якщо дійде висновку, що вона завдасть шкоди іншим компаніям. У Google нагадали, що мета нововведення – підвищити конфіденційність користувачів і визнали, що деяким представникам рекламної галузі доведеться переробити існуючі продукти або створити нові. «Це не статична картина у заданий момент часу. В екосистему входять тисячі компаній, і згодом вони продовжать адаптуватися та оптимізуватися», – зазначив віце-президент Google Ентоні Чавес (Anthony Chavez).

Існує думка, що впровадження Privacy Sandbox призведе до зниження цін на рекламу, адже ціни на рекламу для користувачів Firefox і Safari після блокування в них сторонніх cookie дійсно впали. У листопаді 2022 року компанія Criteo, постачальник рекламних технологій, виявила, що сторонні cookie при таргетуванні вп’ятеро ефективніше за інструмент Topics, що входить до комплекту Privacy Sandbox. У Google запевнили, що після виходу дослідження Criteo інструмент Topics був перероблений. А в рекламному агентстві Havas Media, навпаки, встановили, що альтернативи стороннім cookie на практиці дають аналогічні й навіть найкращі результати. Робити якісь висновки у масштабах галузі можна буде, коли Google почне реалізовувати свої плани повною мірою.

«Google відомо, що експлойт для CVE-2023-5217 існує в дикій природі», — йдеться в  повідомленні компанії щодо безпеки, опублікованому в середу.

Цю вразливість у безпеці усунено в Google Chrome 117.0.5938.132, який доступний у всьому світі для користувачів Windows, Mac і Linux у каналі Stable Desktop. Хоча в повідомленні сказано, що, ймовірно, знадобляться дні або тижні, поки виправлена ​​версія досягне всієї бази користувачів, оновлення стало доступним одразу, коли BleepingComputer перевірив наявність оновлень.

Веб-браузер також буде автоматично перевіряти наявність нових оновлень і автоматично встановлювати їх після наступного запуску.

Використовується для атак шпигунських програм

Уразливість нульового дня високого рівня (CVE-2023-5217) спричинена недоліком  переповнення буфера купи  в кодуванні VP8 бібліотеки відеокодеків libvpx із відкритим вихідним кодом, недоліком, вплив якого варіюється від збоїв програми до виконання довільного коду.

Про помилку повідомив дослідник безпеки Google Threat Analysis Group (TAG) Клемент Лесінь у понеділок, 25 вересня.

Дослідники Google TAG відомі тим, що часто знаходять і повідомляють про використання нульових днів під час цілеспрямованих атак шпигунського програмного забезпечення спонсорованими державою загрозливими особами та хакерськими групами, націленими на осіб із високим ризиком, таких як журналісти та опозиційні політики.

Сьогодні Медді Стоун з Google TAG виявила, що вразливість нульового дня CVE-2023-5217 використовувалася для встановлення шпигунського ПЗ.

Разом із дослідниками Citizen Lab Google TAG також оприлюднив у п’ятницю, що три нульові дні, виправлені Apple минулого четверга, були використані для  встановлення шпигунського ПЗ Cytrox Predator  у період з травня по вересень 2023 року.

Незважаючи на те, що сьогодні Google заявив, що CVE-2023-5217 зеро-день використовувався в атаках, компанія ще не надала більше інформації щодо цих інцидентів.

«Доступ до деталей про помилку та посилань може бути обмеженим, доки більшість користувачів не оновлять виправлення», — заявили в Google. «Ми також збережемо обмеження, якщо помилка існує в сторонній бібліотеці, від якої так само залежать інші проекти, але ще не виправлені».

Як прямий результат, користувачі Google Chrome матимуть достатньо часу для оновлення своїх браузерів як превентивного заходу проти потенційних атак. 

Цей проактивний підхід може допомогти зменшити ризик того, що суб’єкти загроз створять власні експлойти та розгорнуть їх у реальних сценаріях, особливо коли стане доступним більше технічних деталей. Google виправив ще один нульовий день (відстежується як  CVE-2023-4863), який використовувався в дикій природі два тижні тому, четвертий з початку року.

Спочатку позначивши це як недолік Chrome, пізніше компанія  присвоїла інший CVE (CVE-2023-5129) і максимальний рейтинг серйозності 10/10, позначивши її як критичну вразливість у безпеці libwebp (бібліотека, яка використовується великою кількістю проектів), включаючи  Signal,  1Password, Mozilla Firefox, Microsoft Edge, Safari від Apple і рідний веб-браузер Android). Джерело

Якщо раніше шифрування HTTPS було потрібне лише для чутливих до конфіденційності веб-сайтів, таких як банки, то зараз воно стало використовуватися за замовчанням.

Нещодавно компанія додала в налаштуваннях безпеки Chrome перемикач “Завжди використовувати безпечні з’єднання”. Якщо ви випадково перейдете на небезпечну версію сайту, браузер намагатиметься перейти на HTTPS-версію. Якщо безпечна версія недоступна, на екрані з’явиться попередження про те, чи хочете ви продовжити.

Згідно з новою зміною коду та відповідним поясненням, Google збирається розширити цю функцію, щоб захистити користувачів Chrome від усіх потенційно небезпечних HTTP-завантажень. Це дозволить блокувати завантаження з будь-якого з’єднання: якщо ви натиснете на посилання завантаження HTTPS і воно перенаправить вас на небезпечний HTTP-сервер з наступним кінцевим HTTPS-з’єднанням, Google Chrome все одно заблокує завантаження як небезпечне. Аналогічно, якщо ви переглядаєте веб-сайт, доступний лише через HTTP, Chrome блокуватиме будь-які завантаження з цього сайту.

При цьому, як і у випадку з іншими способами блокування небезпечних веб-сайтів та завантажень у Chrome, ви можете обійти блокування. Таким чином, це скоріше настирливе попередження, щоб переконатися, що ви знаєте, що робите.

Найкращими розширеннями в категорії «Продуктивність» виявилися такі міні-програми, як Tango (автоматично записує дії користувача для створення навчальних відео), SwiftRead (додаток для підвищення швидкості читання) та Liner (дозволяє виділяти, зберігати, впорядковувати та отримувати рекомендації щодо прочитаних матеріалів) .

Також у список увійшли Compose AI (інструмент для написання програм на базі штучного інтелекту), Visbug (дозволяє дизайнерам вносити зміни до тексту та зображення на сайтах) та Check US Visa Slots (дозволяє перевірити наявність відкритих вікон для запису на отримання американської візи).

До категорії «Фокус» увійшли Workona Tab Manager (допомагає керувати безліччю вкладок) та CrXMouse Chrome Gestures (створює ярлики для переходу на певні сайти кліком миші).

Найкращими серед розваг були обрані RoPro (додаткові функції в популярній грі Roblox) та eJoy (дозволяє дивитися контент із субтитрами відразу двома мовами), а серед навчальних розширень – Equatio (помічник з математики) та MyBib: Free Citation Generator (спрощує створення бібліографії для наукових праць).

За словами журналістів медіа, користувачі Windows 7 та браузера Chrome почали отримувати сповіщення про необхідність оновити свою операційну систему. Подібне повідомлення почали показувати, зокрема, власникам ПК на базі ОС Windows 8.1.

Таким чином, користувачам браузера Google наполегливо порекомендували відмовитися від застарілих операційних систем Microsoft. В іншому випадку Google може вимкнути користувачів браузера від оновлень. У матеріалах компанії йдеться про те, що для отримання апдейтів потрібно мати пристрій на базі Windows 10 або більш актуальної системи. Google припинила основну підтримку Chrome для користувачів Windows 7 ще 2020 року.

Журналісти видання пояснили, що обмеження стосується всіх версій браузера, які базуються на базі Chromium. “Навіть якщо закрити повідомлення, щоб не бачити його, воно знову з’явиться при наступному запуску Chrome”, – наголосили автори.