Chrome hizo que los sitios web públicos pidan permiso antes de acceder a las redes domésticas de los visitantes

Ars Technica informó en enero de 2022 que Google estaba actuando contra una clase de ataque que había funcionado durante más de una década: usar los navegadores como cabeza de puente hacia routers y otros dispositivos en la red del visitante. Los navegadores pueden, por defecto, conectarse a prácticamente cualquier recurso dentro de la red local, lo que ha dado lugar a ataques de falsificación de petición en sitios cruzados. En un incidente de 2014, los hackers cambiaron la configuración de DNS de más de 300.000 routers; en 2016, el malware DNSChanger usó la misma vía contra routers Netgear, D-Link, Comtrend y Pirelli.

La solución es una especificación llamada private network access. Cuando un sitio público quiere un endpoint en la red privada, Chrome envía una petición preflight con el nuevo encabezado Access-Control-Request-Private-Network: true; la petición solo se realiza si el dispositivo responde con Access-Control-Allow-Private-Network: true. Se basa en el protocolo CORS.

El despliegue es por fases. Desde Chrome 98 el navegador envía el preflight, pero un fallo solo registra una advertencia en el panel de problemas de DevTools, y la petición se realiza igualmente. Alrededor de Chrome 101, si la prueba no muestra interrupciones importantes, el permiso pasa a ser obligatorio. Los ingenieros de Google escribieron que entonces cualquier preflight fallido dará como resultado una fetch fallida, y las advertencias registradas permiten a los propietarios de sitios probar sus sitios de antemano.

Reutilizar CORS: hacer que un sitio público envíe un preflight y que el dispositivo interno conceda explícitamente permiso antes de que la petición se realice.

Los navegadores deben acceder a muchos servicios, por lo que por defecto pueden acceder a cualquier cosa dentro de la red local, lo que los atacantes aprovechan.

Los routers e impresoras suelen estar protegidos, así que los atacantes pasan por el navegador en su lugar.

Reutilizar CORS implica un mecanismo conocido y un cambio pequeño en la especificación.

Las advertencias en modo solo registro permiten a Google ver qué se rompería antes de la aplicación obligatoria.

Cerrar un agujero abierto durante mucho tiempo por fases, primero en modo solo registro, para poder ver qué se rompería antes de hacer obligatoria la regla.

El plan en aquel momento era advertencias en Chrome 98 y permiso obligatorio alrededor de Chrome 101, siempre que los resultados no mostraran que se romperían partes importantes de internet. Ars no informó sobre lo que ocurrió después.