Chrome a fait en sorte que les sites web publics demandent la permission avant d'accéder aux réseaux domestiques des visiteurs

Ars Technica a rapporté en janvier 2022 que Google agissait contre une classe d'attaques qui fonctionnait depuis plus d'une décennie : utiliser les navigateurs comme tête de pont vers les routeurs et autres appareils du réseau du visiteur. Les navigateurs peuvent par défaut se connecter à pratiquement n'importe quelle ressource à l'intérieur du réseau local, ce qui a donné lieu à des attaques par falsification de requête intersites. Lors d'un incident en 2014, des pirates ont modifié les paramètres DNS de plus de 300 000 routeurs ; en 2016, le logiciel malveillant DNSChanger a emprunté la même voie contre des routeurs Netgear, D-Link, Comtrend et Pirelli.

Le correctif est une spécification appelée private network access. Lorsqu'un site public veut atteindre un point de terminaison du réseau privé, Chrome envoie une requête de précontrôle avec le nouvel en-tête Access-Control-Request-Private-Network: true ; la requête n'aboutit que si l'appareil répond avec Access-Control-Allow-Private-Network: true. Cela s'appuie sur le protocole CORS.

Le déploiement est progressif. À partir de Chrome 98, le navigateur envoie le précontrôle, mais un échec ne fait qu'enregistrer un avertissement dans le panneau des problèmes des DevTools, et la requête a toujours lieu. Vers Chrome 101, si l'essai ne révèle aucune rupture majeure, la permission devient obligatoire. Les ingénieurs de Google ont écrit que tout précontrôle échoué entraînera alors un échec de la récupération, et que les avertissements consignés permettent aux propriétaires de sites de tester leurs sites au préalable.

Réutiliser CORS : faire en sorte qu'un site public envoie un précontrôle et que l'appareil interne accorde explicitement la permission avant que la requête n'aboutisse.

Les navigateurs doivent atteindre de nombreux services, donc par défaut ils peuvent atteindre tout ce qui se trouve à l'intérieur du réseau local, ce que les attaquants exploitent.

Les routeurs et les imprimantes sont souvent verrouillés, donc les attaquants passent par le navigateur à la place.

Réutiliser CORS signifie un mécanisme familier et une petite modification de la spécification.

Les avertissements en mode journalisation seule permettent à Google de voir ce qui casserait avant l'application de la règle.

Fermer une faille ouverte de longue date par étapes, en commençant par le mode journalisation seule, afin de voir ce qui casserait avant de rendre la règle obligatoire.

Le plan de l'époque prévoyait des avertissements dans Chrome 98 et une permission obligatoire vers Chrome 101, à condition que les résultats ne montrent pas que des parties majeures d'Internet casseraient. Ars n'a pas rapporté ce qui s'est passé ensuite.