Google, Gizliliği Artırmak İçin Ön Belleğinin Çalışma Şeklini Güncelledi

Google, gizliliği güçlendirmek adına Chrome tarayıcısındaki çekirdek bileşenlerden biri üzerinde güncelleme yaptı. HTTP Cache veya Shared Cache olarak bilinen bileşen, bir web sayfasına yüklenen görüntü, CSS veya JavaScript dosyaları gibi kaynakların kopyalarını kayıt altına alıyor.

Bir kullanıcı aynı dosyaların kullanıldığı web sayfalarını ziyaret ettiğinde Chrome, bu sayfaları tekrar yüklemek yerine ön belleğinden geri yüklüyor.

Chrome’un yanı sıra diğer tüm internet tarayıcılarında internetin ilk günlerinden bu yana var olan özellik, geniş-bant tasarrufu yapmayı sağlıyor. Tüm tarayıcılarda ön bellek sistemi neredeyse aynı şekilde çalışıyor. Ön bellekte saklanan her bir görüntü, CSS veya JS dosyasına, genelde kaynağın URL’si olan bir depolama anahtarı atanıyor (Örnek: https://x.example/doge.png).

Tarayıcı yeni bir sayfa yüklediğinde, iç ön bellek veri tabanında anahtarı (URL) arıyor ve görüntüyü indirmesi mi yoksa ön bellekten mi yüklemesi gerektiğine karar veriyor.

Son yıllarda internet reklam ve analitik şirketleri bu özelliğin siber saldırılara kapı aralayabildiğini fark etti. Google mühendisleri tarafından yapılan açıklamada, bir sayfanın HTTP talebine cevap vermek için geçirdiği süre esnasında aynı kaynaklara geçmişte erişip erişmediğinin ortaya çıktığı ve bu durumun güvenlik ile gizlilik sorunları doğurduğu kaydedilmişti. Bu sayede art niyetli kişiler, rakip şirketler veya herhangi bir tüketicinin ön belleğini inceleyerek geçmişte hangi sayfaları ziyaret ettiğini görebilir.

Bir diğer saldırıda, belli bir sayfanın arama motorunda “sonuç bulunamadı” bağlantılı arama sonuçlarına bakılarak kullanıcının hangi web sayfalarında hangi aramaları yaptığı tespit edilebiliyor. Böylece, sayfalar arasında yapılan aramalar ortaya çıkarılıyor.

Üçüncü ve en çok rastlanan diğer saldırı türünde, ön bellek sayfalar arası tanımlama yapmak için çerez benzeri tanımlayıcıları bulmak adına kullanılabilir.

Saldırı yapılabilme olasılığı düşüyor…

Chrome 86 ile gelen ön bellek bölüntülemesi, HTTP ön belleğinde kaynakların nasıl saklandığını iki ek faktöre dayalı olarak değiştiriyor. Artık, bir kaynağın depolama anahtarı tek bir değil ama üç içerik bulunduracak. Bunlar:

– En üst seviye alan adı (Örnek: http://a.example)

– Kaynağın mevcut çerçevesi (Örnek: http://c.example)

– Kaynağın URL’si (Örnek: https://x.example/doge.png)

Ek anahtarların eklenmesi ile Chrome, geçmişte yaşanan saldırı türlerini başarılı bir şekilde bloke etmeyi başardı. Böylece şirketler sadece kendi kaynaklarına erişime sahip olacak ve kendileri tarafından oluşturulmayan kaynaklara bakamayacaklar.

Güvenlik uzmanları, ön belleklerin çakışabileceği bazı senaryolar olsa da saldırı yapılabilme olasılığının çok düşük olduğunu vurguluyor.

Chromium açık kaynak kodunda da geçerli olan ön bellek bölüntülemesinin önümüzdeki aylarda Edge, Brave, Opera, Vivaldi ve diğer tarayıcılarda da belirmesi bekleniyor. Mozilla, Chrome’un ön bellek bölüntüleme sistemine benzer bir güncelleme üzerinde çalışıldığını duyurmuştu, ancak güncellemenin ne zaman hayata geçeceği belirsiz. Apple’ın tarayıcısı Safari ise 2013’ten bu yana bu özelliği kullansa da depolama anahtarı olarak Google’ın üç basamağından sadece ilk ve üçüncüsünü kullanıyor.