Jaa

Vaikutus asiakkaiden verkkosivustoihin ja Microsoftin palveluihin ja tuotteisiin Chrome-versiossa 80 tai uudemmassa

  • Koskee seuraavia:: Microsoft 365, Azure Active Directory, Azure

Huomautus

Aiemmin tässä artikkelissa viitattiin Google Chrome Beta -versioon 79. Google aikoo julkaista evästekäyttäytymisen Chrome 80 viimeisimmässä versiossa. Chrome on päivittänyt käyttöönoton aikajananansa osoittaakseen, että tämä muutos otetaan käyttöön Chrome 80:ssä 17. helmikuuta alkavasta viikosta. Chrome 80 toimitetaan 4. helmikuuta, ja tämä ominaisuus on oletuksena pois käytöstä. Ominaisuus otetaan käyttöön asteittaisessa aikataulussa 17. helmikuuta alkaen.

Yhteenveto

Google Chrome -selaimen vakaa julkaisu (koontiversio 80, julkaistaan 4. helmikuuta 2020) muuttaa evästeiden oletuskäyttäytymistä 17. helmikuuta alkaen. Vaikka muutoksen tarkoituksena on estää haitallisten evästeiden seuranta ja suojata verkkosovelluksia, sen odotetaan vaikuttavan myös moniin avoimiin standardeihin perustuviin sovelluksiin ja palveluihin. Tämä sisältää Microsoftin pilvipalvelut.

Yritysasiakkaita kannustetaan varmistamaan, että he ovat valmistautuneet muutokseen ja ovat valmiita toteuttamaan lievennyksiä testaamalla sovelluksiaan (joko räätälöityjä tai ostettuja). Lisätietoja löydät Suositukset-osiosta.

Microsoft on sitoutunut huomioimaan tämän muutokseen tuotteissaan ja palveluissaan ennen Chrome 80:n julkaisupäivää. Tässä artikkelissa käsitellään sekä Microsoftin että Googlen ohjeita tuotteille ja kirjastoille vaadittavien päivitysten asentamiseksi sekä testausta ja valmistelua koskevia ohjeita. On kuitenkin yhtä tärkeää, että testaat omat sovelluksesi tätä Chrome-käyttäytymisen muutosta varten ja valmistelet omat verkkosivustosi ja verkkosovelluksesi tarpeen mukaisesti.

Vaikutus asiakassovelluksiin

Huomautus

Jos et voi tarkistaa käyttöoikeuksia yrittäessäsi aktivoida Microsoft Learn -hiekkalaatikkoa, Poista selaustiedot siirtymällä kohtaan chrome://settings/clearBrowserData.

Kaikki Microsoft Cloud -palvelut päivitetään vastaamaan Chromen uusia vaatimuksia, mutta tämä saattaa silti vaikuttaa joihinkin muihin sovelluksiin. Tarkista "Suositukset"-osio joillekin palvelintuotteille, jotka asiakkaiden on päivitettävä.

Testaa kaikki sovellukset perusteellisesti käyttämällä Chromen Beta versiota 80 nähdäksesi tämän muutoksen vaikutukset. Odotamme, että tämän artikkelin kuvaamien ongelmien kaltaiset ongelmat koskevat sovelluksiasi. Tämä pätee erityisesti sovelluksiin, jotka käyttävät mitä tahansa verkkotunnusta tai tekniikkaa, joka perustuu verkkotunnusten väliseen evästeiden jakamiseen, kuten sovelluksiin, jotka on upotettu muihin sovelluksiin.

Chromen versioissa 78- ja 79-beta on parannus, joka viivästyttää SameSite:Laxmääritteen täytäntöönpanoa kahdeksi minuutiksi. Näiden versioiden käyttäminen testaamiseen voi kuitenkin peittää muita ongelmia. Siksi suosittelemme testaamista Chrome-versiolla 80 niin, että tietyt liput ovat käytössä. Tämä voi ainakin auttaa sinua löytämään vaikutukset, jotta voit luoda parhaan mahdollisen suunnitelman. Lisätietoja on Testausohjeet-osiossa.

Nämä SameSite-muutokset eivät vaikuta Chromiumin Microsoft Edge -selaimeen (versio 80). Voit lukea Edgen ohjeet nähdäksesi nykyisen suunnitelman tähän muutokseen sopeutumisesta.

Suositukset

Microsoft-asiakkaiden, jotka käyttävät Active Directory Federation Services -palvelua (AD FS) tai Web-sovelluksen välityspalvelinta, on asennettava yksi seuraavista Windows Server -päivityksistä:

Tuote KB-artikkeli Julkaisupäivämäärä
Windows Server 2019 KB 4534273: tiistai 14. tammikuuta 2020
Windows Server 2016 KB 4534271: tiistai 14. tammikuuta 2020
Windows Server 2012 R2 KB 4534309: tiistai 14. tammikuuta 2020

Myös seuraavat Microsoft-palvelin- tai asiakastuotteet on päivitettävä. Päivitykset lisätään tähän artikkeliin, kun ne ovat saatavilla. Suosittelemme, että vierailet tässä artikkelissa säännöllisesti uusimpien päivitysten saamiseksi.

Tuote KB-artikkeli Julkaisupäivämäärä
Exchange Server 2019 KB 4537677: tiistai 17. maaliskuuta 2020
Exchange Server 2016 KB 4537678: tiistai 17. maaliskuuta 2020
Project Server 2013 KB 4484360: tiistai 12. toukokuuta 2020
Project Server 2010 KB 4484388: tiistai 12. toukokuuta 2020
SharePoint Foundation 2013 KB 4484364:
(Kumulatiivinen päivitys: KB 4484358)1		 tiistai 12. toukokuuta 2020
SharePoint Foundation 2010 KB 4484386: maanantai 27. huhtikuuta 2020
SharePoint Server 2019 KB 4484259: tiistai 11. helmikuuta 2020
SharePoint Server 2016 KB 4484272: tiistai 10. maaliskuuta 2020
SharePoint Server 2013 KB 4484362: tiistai 12. toukokuuta 2020
SharePoint Server 2010 KB 4484389: tiistai 12. toukokuuta 2020
Skype for Business Server 2019 KB 4549672:
(Kumulatiivinen päivitys: KB 4582629)1		 Syyskuu 2020, kumulatiivinen päivitys (CU 4)
Skype for Business Server 2015 KB 4549672:
(Kumulatiivinen päivitys: KB 4558387)1		 Toukokuu 2020, kumulatiivinen päivitys (CU 11)

Huomautus

1 Tämä kumulatiivinen päivitys sisältää SameSite-evästeongelman korjauksen sekä muita korjauksia, jotka eivät liity SameSite -evästeongelmaan. Microsoft suosittelee kumulatiivisen päivityksen asentamista yksittäisen päivityksen sijasta varmistaakseen, että ympäristössäsi on kaikki korjaukset, jotka ovat käytettävissä kumulatiivisen päivityksen julkaisuhetkellä.

Sinun on testattava sovelluksesi kaikissa seuraavissa tilanteissa ja määritettävä sopiva suunnitelma testien tulosten perusteella:

  • SameSite-muutokset eivät vaikuta sovellukseesi. Tässä tapauksessa ei ole mitään mitä voit tehdä.
  • Korjaus vaikuttaa sovellukseesi, mutta ohjelmistokehittäjät voivat tehdä muutoksen ajoissa käyttääkseen SameSite:None-evästeasetusta. Tällöin sinun on vaihdettava sovelluksesi seuraamalla kehittäjän ohjeita kohdassa "Testausohjeet"
  • Muutos vaikuttaa sovellukseesi, mutta sitä ei voida tehdä ajoissa. Sisäisten sivustojen kohdalla sovellus voidaan sulkea pois SameSite-täytäntöönpanokäyttäytymisestä Chromessa käyttämällä LegacySameSiteCookieBehaviorEnabledForDomainList-asetusta.

Jos yritysasiakkaat tietävät, että tämä vaikuttaa useimpiin heidän sovelluksistaan tai jos heillä ei ole tarpeeksi aikaa testata sovelluksiaan ennen ominaisuuden asteittaista julkaisua 18. helmikuuta alkaen, heitä kehotetaan poistamaan käytöstä SameSite-käyttäytyminen hallitsemissaan tietokoneissa. He voivat tehdä tämän käyttämällä ryhmäkäytäntöä, System Center Configuration Manageria tai Microsoft Intunea (tai mitä tahansa mobiililaitteiden hallintaohjelmistoa), kunnes he voivat varmistaa, että uusi käytös ei riko sovellusten perustilanteita.

Google on julkaissut seuraavat yrityksen kontrollit joka voidaan asettaa poistamaan SameSite-täytäntöönpanokäyttäytyminen Chromessa:

Yritysasiakkaille, jotka kehittävät sovelluksiaan .NET Frameworkissa, suosittelemme, että he päivittävät kirjastot ja asettavat SameSite-käyttäytymisen tarkoituksellisesti, jotta vältetään arvaamattomat tulokset, jotka johtuvat evästekäyttäytymisen muutoksesta. Tämän tekemiseen löytyy lisätietoja seuraavasta Microsoft ASP.NET blogiartikkelista:

Tulevat SameSite-evästemuutokset ASP.NET- ja ASP.NET Core -sovelluksissa

Katso myös seuraavasta Google Chromium -blogiartikkelista kehittäjän ohjeita asiaa koskien:

Kehittäjät: Valmistaudu uuteen SameSite=None; Suojausevästeasetuksiin

Asiakkaiden, joilla on sivustoja joihin muutos vaikutti ja joiden sivut vaikuttavat kuluttajiin, tai käyttäjiin, jotka eivät kuulu heidän yrityskäytäntöjensä piiriin, on opastettava käyttäjiä käyttämään toista selainta (Edge, Firefox, Internet Explorer) tai opastamaan käyttäjiä ohjeiden avulla Chromen asetusten poistamiseksi käytöstä (kuten on esitetty) seuraavassa osassa), kun he korjaavat sovelluksensa.

Testausohjeet

Google on julkaissut kehittäjille tämän ohjeen valmistautumisesta SameSite-muutoksiin. Lisäksi suosittelemme, että testaat verkkosivustosi ja sovelluksesi seuraavalla tavalla.

Testaa skenaarioita Chrome 80 Beta -versiolla:

  1. Lataa Chrome Beta -versio 80:

  2. Käynnistä Chrome käyttämällä seuraavaa komentorivilippua: --enable-features=SameSiteDefaultChecksMethodRigorously

  3. Ota SameSite-liput käyttöön. Voit tehdä tämän kirjoittamalla chrome://flags osoiteriville, ja sitten etsimällä SameSiten ja valitsemalla Käytössä seuraaville vaihtoehdoille.

Näyttökuva SameSite-asetusten käyttöönotosta Chromessa.

Lisätietoja

Verkkoyhteisö pyrkii ratkaisemaan seurantaevästeiden ja sivustojen välisten väärennösten väärinkäytön standardin avulla, joka tunnetaan nimellä SameSite.

Chrome-tiimi oli ilmoittanut suunnitelmistaan ottaa käyttöön muutos oletuskäyttäytymisessä SameSite-ominaisuutta koskien Chrome-version 78 Beta julkaisusta 18. lokakuuta 2019 alkaen. Tämä julkaisu siirretään Chrome-version 80 julkaisuun 4. helmikuuta 2020. Tämä muutos auttaa parantamaan verkkoturvallisuutta. Se rikkoo kuitenkin myös OpenID Connect -standardiin perustuvia todennusvirtoja. Siksi vakiintuneet todennustavat eivät toimi.

Tarkistetaan Chrome-versio

Jos epäilet, että käyttäjäsi käyttävät Chrome-versiota 76 tai uudempaa versiota, jossa SameSite on käytössä, voit tarkistaa versionumeron siirtymällä kohtaan chrome://settings/helptai valitsemalla Chrome-asetuskuvakkeen ja valitsemalla sitten Apu>Tietoja Google Chromesta.

Näyttökuvassa näkyy vaiheet Chrome-version tarkistamiseksi.

Chromen versioissa 77–79 mene kohtaan chrome://flagsnähdäksesi, ovatko liput käytössä. Asetuksen oletus alkaa muuttua Chrome-versiossa 80 asteittain.

Kolmansien osapuolten tietoja koskeva vastuuvapauslauseke

Tässä artikkelissa käsitellyt muiden ohjelmistovalmistajien tuotteet ovat Microsoftista riippumattomien yritysten valmistamia. Microsoft ei anna minkäänlaista takuuta näiden tuotteiden suorituskyvystä tai luotettavuudesta.

Kolmansien osapuolten tietoja koskeva vastuuvapauslauseke

Microsoft antaa kolmannen osapuolen yhteystiedot, jotta asiakas voi hankkia teknistä tukea. Nämä yhteystiedot voivat muuttua ilman ennakkoilmoitusta. Microsoft ei takaa kolmannen osapuolen yhteystietojen paikkansapitävyyttä.