Chrome fez sites públicos pedirem permissão antes de acessar as redes domésticas dos visitantes

O Ars Technica relatou em janeiro de 2022 que o Google estava agindo contra uma classe de ataque que funcionava havia mais de uma década: usar navegadores como ponto de entrada para roteadores e outros dispositivos na rede do visitante. Por padrão, os navegadores podem se conectar a praticamente qualquer recurso dentro da rede local, o que deu origem a ataques de falsificação de requisição entre sites. Em um incidente de 2014, hackers alteraram as configurações de DNS de mais de 300.000 roteadores; em 2016, o malware DNSChanger usou o mesmo caminho contra roteadores Netgear, D-Link, Comtrend e Pirelli.

A correção é uma especificação chamada private network access. Quando um site público quer um endpoint na rede privada, o Chrome envia uma requisição de verificação preliminar com o novo cabeçalho Access-Control-Request-Private-Network: true; a requisição só passa se o dispositivo responder com Access-Control-Allow-Private-Network: true. Ela se baseia no protocolo CORS.

A implantação é feita em etapas. A partir do Chrome 98, o navegador envia a verificação preliminar, mas uma falha apenas registra um aviso no painel de problemas do DevTools, e a requisição ainda acontece. Por volta do Chrome 101, se o teste não mostrar quebras importantes, a permissão se torna obrigatória. Engenheiros do Google escreveram que qualquer verificação preliminar malsucedida passará então a resultar em uma busca falha, e os avisos registrados permitem que os donos de sites testem seus sites antes.

Reutilizar o CORS: fazer um site público enviar uma verificação preliminar e ter o dispositivo interno concedendo permissão explicitamente antes que a requisição passe.

Os navegadores precisam alcançar muitos serviços, então, por padrão, podem alcançar qualquer coisa dentro da rede local, o que os atacantes exploram.

Roteadores e impressoras costumam ser protegidos, então os atacantes passam pelo navegador.

Reutilizar o CORS significa um mecanismo familiar e uma pequena mudança na especificação.

Avisos somente de registro permitem ao Google ver o que quebraria antes da aplicação obrigatória.

Fechar uma brecha aberta há muito tempo em etapas, primeiro apenas com registro, para que você possa ver o que quebraria antes de tornar a regra obrigatória.

O plano na época era avisos no Chrome 98 e permissão obrigatória por volta do Chrome 101, desde que os resultados não mostrassem que partes importantes da internet quebrariam. O Ars não relatou o que aconteceu depois.