Gestern hat Google die neue Version 80 seines Chrome-Browsers veröffentlicht. Damit realisieren die Entwickler lange angekündigten Veränderungen bei den Cookies um.
Same-Site-Cookies
Jetzt werden alle jene Cookies, die das Same-Site-Attribut nicht verwenden, so behandelt, als setzten sie die das Attribut „SameSite=Lax“. In Chrome 80 wird der externe Zugriff auf Cookies von Dritten nur noch dann erlaubt, wenn diese explizit als „SameSite=None“ definiert sind. Auch das Attribut Secure muss dazu gesetzt werden, das den Zugriff per HTTPS erzwingt. Dadurch werden alle Cookies ohne das Same-Site-Attribut auf First-Level-Domains beschränkt.
Mixed Content
Mit der Version 80 des Chrome-Browsers setzen die Entwickler außerdem weitere Änderungen um, mit denen HTTPS-Mixed-Content abgeschafft werden soll. Langfristig sollen dafür alle HTTP-Ressourcen automatisch auf HTTPS umgestellt werden.
Das versucht der Browser schon jetzt mit Audio- und Videoinhalten. Wenn diese aber nicht geladen werden können, bleibt es weiter bei HTTP. Das Laden von Bildern über eine HTTP-Verbindung auf einer HTTPS-Domain unterstützt der Browser weiter. Allerdings wird die Internetseite dann als nicht sicher angezeigt. Google schickt damit eine klare Botschaft an die Seitenbetreiber, ihre Seiten auf HTTPS umzustellen.
Schluss mit FTP
Mit Chrome 80 beenden die Entwickler die Unterstützung für FTP. FTP werde in dem Browser so wenig genutzt, dass es sich nicht mehr lohne, den Client weiter zu pflegen. Eigentlich hatte das Team geplant, den FTP-Support standardmäßig für alle Nutzer mit Chrome 80 zu deaktivieren, was bei uns aber noch nicht geschehen ist. Steuern kann man das Verhalten über chrome://flags/#enable-ftp. Ganz aus dem Browser entfernt werden soll FTP mit der Chrome-Version 82 im April.
Natürlich haben die Entwickler auch mehrere Sicherheitslücken geschlossen, Googles eigenes Sicherheitsteam Project Zero und das Edge-Team von Microsoft gefunden haben.
