¿Cómo se aplica la misma política de origen a dos ventanas diferentes de un navegador?

La opción --disable-web-security se aplica a toda la aplicación de Chrome, no a una ventana en particular.

Si habilitas esta opción al iniciar Chrome, cualquier sitio que visites podrá acceder a los datos de los sitios que visitaste anteriormente.

Por ejemplo, si miraba mi cuenta de la Banca en Línea y cerraba esa pestaña y navegaba a un sitio malicioso, ese sitio malicioso tendría la capacidad de acceder a mi cuenta de la Banca en Línea, transferir fondos, etc. Tenga en cuenta que esto el riesgo sobrevive incluso después de que se cierre la pestaña, y continúa siempre y cuando todavía esté "registrado" en la cuenta de la Banca en línea.

Además, puede sobrevivir reinicios. Así que si

1. Me conecto a Gmail.
2. Reinicio el navegador, ahora habilitando --disable-web-security
3. Visito un sitio malicioso.

Lo más probable es que aún esté registrado en Gmail, porque a menudo no lo hará como lo haría un sitio de Banca en línea. En ese caso, el sitio malintencionado puede acceder a su cuenta de Google y controlar todos los servicios, siempre y cuando aún no haya cerrado la sesión.

  

¿Esta ventana podrá acceder a los datos en sitios web abiertos en otra ventana?

1. --disable-web-security se aplica a todo el navegador, no solo a una ventana.
2. La "otra ventana" no necesita estar abierta para que "esta ventana" acceda a los datos de ese sitio.

Entonces, si debe usar --disable-web-security , primero debe borrar datos privados, especialmente Cookies & Contraseñas guardadas. Luego realice sus pruebas y luego use la función de salida adecuada lo antes posible para volver a un entorno de navegación seguro. Asegúrese de que su navegador esté completamente cerrado (ni siquiera un icono de la bandeja) antes de asumir que está de nuevo en una sesión de navegación segura.

Para responder directamente a tu pregunta: no, pero sigue leyendo.

La pregunta no está muy clara porque pregunta sobre "datos en sitios web abiertos".

Si por datos, quiere decir " una pestaña puede ver el contenido de otra pestaña ", entonces no. El ataque provendría de JavaScript, un lenguaje cuyo modelo de seguridad se basa en referencias. Incluso si las reglas sobre los mecanismos existentes se ignoran debido a una bandera, todavía no hay manera de "copiar información" directamente desde otras pestañas / ventanas, porque no hay un "comando" que apunte al contenido web para obtener una lista de todas las pestañas, o incluso un identificador para una pestaña específica.

Si, por otra parte, quiere decir " ¿puede una pestaña recuperar datos de un servidor que el servidor tiene asociado con otra pestaña? ", entonces la respuesta es posiblemente . Sin embargo, no es fácil hacerlo porque la mayoría de los proveedores de servicios no requieren el supuesto de SOP como parte de su modelo de seguridad, lo cual sería imprudente ya que Python, Curl, PHP, etc., ignoran la política. ¿Qué es posible?

1. adivinar y comprobar los tokens y las cookies de sitios conocidos visitados, como gmail / SO / etc, usando un marco oculto: "sniffing"
2. secuestro de sesión en un ataque dirigido: "ser propietario" (ver la respuesta de George Bailey)
3. rastreando el $ #% * de ti mirando cookies / localStorage / perms - "spying"

ninguno de los anteriores es bueno, pero con el término no exacto de "datos en sitios web", no sé si todos se aplican ...

La restricción de origen se encuentra entre el script activo (el script en esa pestaña específica del navegador) y el script al que se llama.

No importa cómo abra otras pestañas, no forman parte del intercambio y no tienen ningún impacto en ellas, excepto las posibles sesiones abiertas. Las sesiones activas tampoco afectarán la misma restricción de origen.