Tính năng mới:

Gmail đang tăng cường bảo mật người dùng bằng cách kích hoạt Cross-Origin Opener Policy (COOP). Do đó, các nhà phát triển trang web và tiện ích mở rộng trình duyệt mở hoặc thao tác trên trang Gmail có thể phải cập nhật mã của họ để đảm bảo chức năng liên tục khi việc thực thi bắt đầu vào ngày 20/01/ 2026. Quản trị viên Workspace hoặc người dùng cuối không cần thực hiện bất kỳ hành động nào.

Bối cảnh COOP

Tìm kiếm chéo trang (XS-Search) là một loại tấn công Rò rỉ chéo trang (XS-Leaks) nhắm vào các hệ thống tìm kiếm dựa trên truy vấn, chẳng hạn như Gmail. Kẻ tấn công khai thác lỗ hổng này bằng cách chiếm quyền kiểm soát cửa sổ Gmail, bằng cách mở một cửa sổ bật lên mới hoặc truy cập vào cửa sổ hiện có thông qua trình xử lý. Sau khi chiếm được quyền truy cập này, chúng có thể thu thập thông tin qua một kênh phụ để xác định xem có kết quả tìm kiếm cụ thể nào không bằng cách liên tục tải các thuật ngữ tìm kiếm khác nhau, từ đó làm rò rỉ dữ liệu nhạy cảm của người dùng.

COOP là một tính năng bảo mật web được thiết kế để cô lập các ứng dụng web khỏi các nguồn không đáng tin cậy. Biện pháp này sẽ ngăn chặn kẻ tấn công truy cập vào cửa sổ quản lý của Gmail, do đó bảo vệ người dùng khỏi các cuộc tấn công Tìm kiếm Liên trang (XS-Search) khác nhau dựa vào cửa sổ quản lý để thu thập thông tin kênh phụ, chẳng hạn như đếm khung. Điều này cũng ngăn chặn đáng kể các cuộc tấn công như thăm dò bộ nhớ đệm, vốn dựa vào thời gian và các quan sát khác đối với các tài nguyên mà Gmail tải cho kết quả tìm kiếm. Mặc dù các cuộc tấn công này không trực tiếp thu thập thông tin kênh phụ thông qua chính cửa sổ quản lý, COOP ngăn chặn các tìm kiếm lặp lại, do đó làm tăng độ khó và giảm hiệu quả, khiến chúng ít gây ra mối đe dọa hơn nhiều.

Ảnh hưởng:

Các trang web hoặc tiện ích mở rộng trình duyệt mở Gmail trong cửa sổ bật lên và tương tác với cửa sổ đó bằng cách truy cập các thuộc tính của nó (đã đóng, vị trí, độ dài, tiêu điểm) hoặc gọi các hàm (đóng, postMessage). Ngoài ra, các tiện ích mở rộng trình duyệt được đưa vào trang Gmail và truy cập vào trình xử lý mở, là tham chiếu đến cửa sổ đã mở trang Gmail hiện tại.

Thông tin chi tiết:

Để thực thi COOP, tiêu đề Cross-Origin-Opener-Policy sẽ có trong phản hồi:

Cross-Origin-Opener-Policy: same-origin-allow-popups; report-to="gmail-web-coop-coep"

Report-To:{"group":"gmail-web-coop-coep","endpoints":[{"url":"https://csp.withgoogle.com/csp/report-to/gmail-web"}]}

Làm thế nào để bắt đầu:

• Lập trình viên:
  • Đối với các trang web và tiện ích mở rộng trình duyệt mở Gmail, hãy cấu trúc lại mã lỗi để tránh truy cập các thuộc tính hoặc chức năng của cửa sổ thông qua trình xử lý cửa sổ và thay vào đó, hãy sử dụng các API thay thế để đạt được chức năng mong muốn (ví dụ: chrome.tabs, Messaging).
  • Đối với các tiện ích mở rộng trình duyệt được đưa vào trang Gmail, thay vì cố gắng giao tiếp hoặc truy cập trình mở rộng, tiện ích mở rộng trình duyệt nên được cập nhật để không cần phải tương tác với trình mở rộng và logic của tiện ích mở rộng nên được sửa đổi để hoạt động độc lập. Nếu không thể thực hiện được điều đó, các tiện ích mở rộng trình duyệt có thể sử dụng các API hiện có (ví dụ: chrome.tabs) để triển khai logic của chúng.
• Quản trị viên: Không có quyền kiểm soát của quản trị viên đối với tính năng này.
• Người dùng cuối: Không có cài đặt nào dành cho người dùng cuối cho tính năng này.

Thời gian triển khai:

• Việc thực thi sẽ bắt đầu vào ngày 20/1/2026. Thời gian triển khai sẽ được kéo dài (có thể lâu hơn 15 ngày đối với khả năng hiển thị tính năng).

Nguồn: LVtech