Chrome ließ öffentliche Websites um Erlaubnis bitten, bevor sie auf Heimnetzwerke von Besuchern zugreifen

Ars Technica berichtete im Januar 2022, dass Google gegen eine Angriffsklasse vorging, die seit über einem Jahrzehnt funktionierte: Browser als Brückenkopf in Router und andere Geräte im Netzwerk des Besuchers zu nutzen. Browser können standardmäßig Verbindungen zu praktisch jeder Ressource innerhalb des lokalen Netzwerks herstellen, was zu Cross-Site-Request-Forgery-Angriffen geführt hat. Bei einem Vorfall im Jahr 2014 änderten Hacker die DNS-Einstellungen auf mehr als 300.000 Routern; 2016 nutzte die Malware DNSChanger denselben Weg gegen Router von Netgear, D-Link, Comtrend und Pirelli.

Die Lösung ist eine Spezifikation namens Private Network Access. Wenn eine öffentliche Website einen Endpunkt im privaten Netzwerk erreichen will, sendet Chrome eine Preflight-Anfrage mit dem neuen Header Access-Control-Request-Private-Network: true; die Anfrage wird nur dann durchgelassen, wenn das Gerät mit Access-Control-Allow-Private-Network: true antwortet. Sie baut auf dem CORS-Protokoll auf.

Die Einführung erfolgt stufenweise. Ab Chrome 98 sendet der Browser den Preflight, aber ein Fehlschlag protokolliert nur eine Warnung im Issues-Panel der DevTools, und die Anfrage findet trotzdem statt. Etwa ab Chrome 101 wird die Erlaubnis verpflichtend, wenn der Test keine größeren Beeinträchtigungen zeigt. Google-Ingenieure schrieben, dass jeder fehlgeschlagene Preflight dann zu einem fehlgeschlagenen Fetch führt, und die protokollierten Warnungen es Website-Betreibern ermöglichen, ihre Websites vorher zu testen.

CORS wiederverwenden: Eine öffentliche Website dazu bringen, einen Preflight zu senden, und das interne Gerät ausdrücklich die Erlaubnis erteilen lassen, bevor die Anfrage durchgeht.

Browser müssen viele Dienste erreichen, daher können sie standardmäßig alles innerhalb des lokalen Netzwerks erreichen, was Angreifer ausnutzen.

Router und Drucker sind oft abgeschottet, daher gehen Angreifer stattdessen über den Browser.

Die Wiederverwendung von CORS bedeutet einen vertrauten Mechanismus und eine kleine Änderung der Spezifikation.

Warnungen mit reiner Protokollierung lassen Google sehen, was brechen würde, bevor die Durchsetzung erfolgt.

Ein seit Langem offenes Loch in Stufen schließen, zuerst mit reiner Protokollierung, damit man sehen kann, was brechen würde, bevor die Regel verpflichtend wird.

Der damalige Plan sah Warnungen in Chrome 98 und eine verpflichtende Erlaubnis etwa ab Chrome 101 vor, sofern die Ergebnisse nicht zeigten, dass größere Teile des Internets brechen würden. Ars berichtete nicht, was danach geschah.