出于安全方面的考量以及過去被惡意軟件濫用的情況，Google 表示 Chrome 瀏覽器近期將阻止互聯(lián)網(wǎng)網(wǎng)站和本地私人網(wǎng)絡(luò)內(nèi)的設(shè)備/服務(wù)器之間的查詢和互動。這一變化將通過實施新的 W3C 規(guī)范來實現(xiàn)，該規(guī)范被稱為私人網(wǎng)絡(luò)訪問（PNA），將在今年上半年推出。

訪問：

微軟Surface精選機(jī)型特惠6.3折起 翻新機(jī)滿100減100

新的 PNA 規(guī)范在 Chrome 瀏覽器內(nèi)增加了一個機(jī)制，通過該機(jī)制，互聯(lián)網(wǎng)網(wǎng)站可以在建立連接前向本地網(wǎng)絡(luò)內(nèi)的系統(tǒng)征求許可。Google 表示：

Chrome 瀏覽器將在任何子資源的私人網(wǎng)絡(luò)請求之前開始發(fā)送 CORS 預(yù)檢請求，該請求要求目標(biāo)服務(wù)器給予明確許可。

這個預(yù)檢請求將攜帶一個新的頭，即 Access-Control-Request-Private-Network: true，而對它的響應(yīng)必須攜帶一個相應(yīng)的頭，即 Access-Control-Allow-Private-Network: true。

如果本地設(shè)備，如服務(wù)器或路由器未能響應(yīng)，互聯(lián)網(wǎng)網(wǎng)站將被阻止連接。新的 PNA 規(guī)范是近年來將被添加到 Chrome 瀏覽器中的最重要的安全功能之一。自 2010 年代初以來，網(wǎng)絡(luò)犯罪團(tuán)伙已經(jīng)意識到，他們可以利用瀏覽器作為“代理”，轉(zhuǎn)發(fā)連接到公司的內(nèi)部網(wǎng)絡(luò)。

例如，一個惡意網(wǎng)站可能包含試圖訪問192.168.0.1這樣一個IP地址的代碼，這是大多數(shù)路由器管理面板的典型地址，只能從本地網(wǎng)絡(luò)訪問。當(dāng)用戶訪問這種惡意網(wǎng)站時，他們的瀏覽器可以在用戶不知情的情況下向他們的路由器發(fā)出自動請求，發(fā)送惡意代碼，繞過路由器的認(rèn)證，修改路由器設(shè)置。

這種攻擊此前確實發(fā)生過。這種互聯(lián)網(wǎng)到本地網(wǎng)絡(luò)的攻擊的變種也可以針對其他本地系統(tǒng)，如內(nèi)部服務(wù)器、域控制器、防火墻，甚至本地托管的應(yīng)用程序（通過http://localhost 域或其他本地定義的域）。通過在Chrome瀏覽器內(nèi)部引入PNA規(guī)范及其權(quán)限協(xié)商系統(tǒng)，Google希望防止這種自動攻擊成為可能。

據(jù)Google稱，PNA 的一個版本已經(jīng)與 2021 年 11 月發(fā)布的 Chrome 96 一起上線，但全面支持將在今年分兩個階段推出，分別是 Chrome 98（3月初）和Chrome 101（5月底）的發(fā)布，詳情如下。

在 Chrome 98 中。

● Chrome會在私有網(wǎng)絡(luò)子資源請求之前發(fā)送預(yù)檢請求。

● 預(yù)檢失敗只在DevTools中顯示警告，不影響私人網(wǎng)絡(luò)請求。

● Chrome收集兼容性數(shù)據(jù)，并向受影響最大的網(wǎng)站伸出援手。

● Google 預(yù)計這將與現(xiàn)有網(wǎng)站廣泛兼容。

最早在Chrome 101 中全面部署

● 只有當(dāng)兼容性數(shù)據(jù)表明該變化足夠安全，并且我們在必要時直接進(jìn)行了外聯(lián)時，這才會開始。

● Chrome瀏覽器強(qiáng)制要求預(yù)檢請求必須成功，否則會導(dǎo)致請求失敗。

● 廢棄試驗也同時開始，以允許受此階段影響的網(wǎng)站請求延長時間。該試驗將持續(xù)至少6個月。

關(guān)鍵詞： Google Chrome 谷歌瀏覽器 出于安全考量 Chrome即將限