最新消息:关注人工智能 AI赋能新媒体运营

Google即将修补已存在23年的浏览器历史纪录外洩漏洞

科技智能 admin 浏览 评论
图片来源:

Google

浏览器使用者都应该熟悉在所造访的网站点选某个连结时,该连结就会变色,以让使用者知道已点选过,这是透过CSS :visited伪类(pseudo-class)技术来完成,有鉴于其目的是为了改善使用者浏览网路的体验,却被其它有心人士用来窥探使用者的浏览历史纪录,于是Google準备在最新的Chrome 136透过将纪录分割,以修补此一已存在于浏览器产业23年的隐私漏洞。

在用来控制网页外观的阶层样式表(Cascading Style Sheets,CSS)中,有一个名为:visited的伪类(pseudo-class)选择器,可用来选取使用者已造访过的连结元素,并使其变色,以让使用者区分已造访及未造访的连结。

然而,由于系统会在供应该连结的每个网站上都显示「已造访」,而允许其它网站也能检查使用者所造访过的网站,让第三方有机会了解使用者的浏览习惯及兴趣,结合其它资讯建立更完整的用户文件,或是根据使用者兴趣量身打造网钓讯息,也能投放未经使用者同意的目标式广告,使得Google决定採用分区金钥(Partition Key)来终结该功能遭到第三方滥用的情况。

例如使用者正在浏览A站,并点选了连结以前往B站,系统即会将B站新增至使用者的:visited纪绿中,之后当使用者造访其它网站时,若该站也提供了B站的连结,它也会显示:visited,外洩了使用者的蹤迹。

Google的作法是在Chrome中利用3种金钥来储存使用者所造访过的连结,包括使用者实际点选的连结网址、浏览器位址栏位所显示的顶级网域名称,以及实际显示该连结的原始框架,未来只有使用者于相同的环境中(同样的顶级网域名称与框架来源)看到相同的网域名称连结时,才会变色,标记为已造访。

在透过金钥分割造访纪录后,当使用者浏览A站,并自A站点选了连结以到达B站,系统的造访纪录存放的是「A站+B站」,于是,在使用者造访第三方网站之后,B站连结就不会显示为:visited。

不过,该设计有一个名为自我连结(self links)的例外,亦即在同一个网域名称之下,不受上述限制,例如维基百科(Wikipedia),仍能在不同的页面上呈现:visited。

目前Google已于4月初释出的Chrome 136 Beta版中测试该功能,Chrome 136正式版预计于4月29日出炉。

其实Google是在2008年推出Chrome浏览器,迄今不过16年,但有关:visited的隐私漏洞早就现身于其它更早发表的浏览器中,且一直未被修复,Google软件工程师Kyra Seevers表示,Chrome将成为第一个消灭此一隐私问题的主要浏览器。图片来源/Google

发表我的评论
取消评论

表情

您的回复是我们的动力!

  • 昵称 (必填)
  • 验证码 点击我更换图片

网友最新评论