Google şirkəti Chrome 102 veb-brauzerinin buraxılışını təqdim edib.Eyni zamanda Chrome-un əsasını təşkil edən pulsuz Chromium layihəsinin stabil buraxılışı da mövcuddur. Chrome brauzeri Chromium-dan Google loqolarından istifadə, qəza zamanı bildirişlər göndərmək üçün sistemin olması, surətdən qorunan video məzmunun (DRM) oynatılması üçün modulların, yeniləmələrin avtomatik quraşdırılması sistemi, Sandbox-dan daimi təcrid edilməsi ilə fərqlənir. , Google API-yə açarların verilməsi və axtarış zamanı RLZ-nin ötürülməsi.parametrlər. Yeniləmə üçün daha çox vaxta ehtiyacı olanlar üçün Genişləndirilmiş Stabil filialı ayrıca dəstəklənir, ardınca 8 həftə. Chrome 103-ün növbəti buraxılışı iyunun 21-nə planlaşdırılır.
Chrome 102-da əsas dəyişikliklər:
- Artıq boşaldılmış yaddaş bloklarına (istifadədən sonra pulsuz) daxil olmaq nəticəsində yaranan zəifliklərin istismarını bloklamaq üçün adi göstəricilər əvəzinə MiraclePtr (raw_ptr) növü istifadə olunmağa başladı. MiraclePtr, boşaldılmış yaddaş sahələrinə girişlərdə əlavə yoxlamalar həyata keçirən göstəricilər üzərində bağlama təmin edir və bu cür girişlər aşkar edildikdə qəzalar baş verir. Yeni qorunma metodunun performansa və yaddaş istehlakına təsiri əhəmiyyətsiz olaraq qiymətləndirilir. MiraclePtr mexanizmi bütün proseslərdə tətbiq olunmur, xüsusən də göstərmə proseslərində istifadə edilmir, lakin təhlükəsizliyi əhəmiyyətli dərəcədə yaxşılaşdıra bilər. Məsələn, cari buraxılışda düzəldilmiş 32 boşluqdan 12-si istifadədən sonra yaranan problemlərdən qaynaqlanır.
- Yükləmələr haqqında məlumat olan interfeysin dizaynı dəyişdirildi. Yükləmənin gedişi ilə bağlı məlumatları olan alt sətir əvəzinə ünvan çubuğu olan panelə yeni bir göstərici əlavə edildi, üzərinə kliklədiyiniz zaman faylların yüklənməsinin gedişatı və artıq yüklənmiş faylların siyahısı ilə tarix göstərilir. Alt paneldən fərqli olaraq, düymə daim paneldə göstərilir və yükləmə tarixçənizə tez daxil olmaq imkanı verir. Yeni interfeys hazırda defolt olaraq yalnız bəzi istifadəçilərə təklif olunur və problem olmadığı təqdirdə hamıya şamil ediləcək. Köhnə interfeysi qaytarmaq və ya yenisini aktivləşdirmək üçün “chrome://flags#download-bubble” parametri təmin edilir.
- Kontekst menyusu ("Google Lens ilə şəkil axtar" və ya "Google Lens vasitəsilə tap") vasitəsilə şəkilləri axtararkən, nəticələr indi ayrıca səhifədə deyil, orijinal səhifənin məzmununun yanındakı yan paneldə göstərilir. bir pəncərədə siz eyni vaxtda həm səhifənin məzmununu, həm də axtarış sisteminə daxil olmanın nəticəsini görə bilərsiniz).
- Parametrlərin "Məxfilik və Təhlükəsizlik" bölməsində hər bir parametrin təsirinin ətraflı izahatları ilə məxfiliyə təsir edən əsas parametrlərin ümumi icmalını təklif edən "Məxfilik Bələdçisi" bölməsi əlavə edilmişdir. Məsələn, bölmədə məlumatların Google xidmətlərinə göndərilməsi siyasətini müəyyən edə, sinxronizasiyanı, kukilərin işlənməsini və tarixçənin saxlanmasını idarə edə bilərsiniz. Funksiya bəzi istifadəçilərə təklif olunur, onu aktivləşdirmək üçün “chrome://flags#privacy-guide” parametrindən istifadə edə bilərsiniz.
- Axtarış tarixçəsinin və baxılan səhifələrin strukturlaşdırılması təmin edilir. Yenidən axtarış etməyə çalışdığınız zaman ünvan sətrində “Səyahətinizi davam etdirin” işarəsi göstərilir ki, bu da axtarışı sonuncu dəfə kəsildiyi yerdən davam etdirməyə imkan verir.
- Chrome Veb Mağazası tövsiyə olunan əlavələrin ilkin seçimi ilə "Uzantılar Başlanğıc Dəsti" səhifəsini təklif edir.
- Test rejimində, səhifə daxili şəbəkədəki resursa daxil olduqda “Giriş-nəzarət-istək-özəl şəbəkə: doğru” başlığı ilə əsas sayt serverinə CORS (Mənbələrarası Resurs Paylaşımı) icazə sorğusunun göndərilməsi aktivləşdirilir ( 192.168.xx , 10.xxx, 172.16.xx) və ya localhost-a (128.xxx). Bu sorğuya cavab olaraq əməliyyatı təsdiqləyərkən server “Access-Control-Allow-Private-Network: true” başlığını qaytarmalıdır. Chrome versiyası 102-də təsdiqləmə nəticəsi hələ sorğunun işlənməsinə təsir göstərmir - əgər təsdiqləmə yoxdursa, veb konsolda xəbərdarlıq göstərilir, lakin subresurs sorğusu özü bloklanmır. Serverdən təsdiq olmadıqda bloklamanın aktivləşdirilməsi Chrome 105-in buraxılışına qədər gözlənilmir. Əvvəlki buraxılışlarda bloklamağı aktivləşdirmək üçün "chrome://flags/#private-network-access-respect-preflight-" parametrini aktivləşdirə bilərsiniz. nəticələr".
Səlahiyyətin server tərəfindən yoxlanılması sayt açarkən yüklənmiş skriptlərdən yerli şəbəkədə və ya istifadəçinin kompüterində (localhost) resurslara daxil olmaq ilə bağlı hücumlardan müdafiəni gücləndirmək üçün tətbiq edilib. Bu cür sorğular təcavüzkarlar tərəfindən marşrutlaşdırıcılara, giriş nöqtələrinə, printerlərə, korporativ veb interfeyslərə və yalnız yerli şəbəkədən sorğuları qəbul edən digər cihazlara və xidmətlərə CSRF hücumları həyata keçirmək üçün istifadə olunur. Bu cür hücumlardan qorunmaq üçün daxili şəbəkədə hər hansı alt resurslara giriş olarsa, brauzer bu alt resursları yükləmək üçün icazə almaq üçün açıq sorğu göndərəcək.
- Kontekst menyusu vasitəsilə inkoqnito rejimində keçidləri açarkən məxfiliyə təsir edən bəzi parametrlər avtomatik olaraq URL-dən silinir.
- Windows və Android üçün yeniləmələrin çatdırılması strategiyası dəyişdirildi. Yeni və köhnə buraxılışların davranışını daha dolğun müqayisə etmək üçün yeni versiyanın bir neçə quruluşu indi yükləmək üçün yaradılır.
- Məlumatın daimi saxlanması üçün nəzərdə tutulmayan ərazilərdə identifikatorların saxlanmasına əsaslanan saytlar arasında istifadəçi hərəkətlərini izləmək üsullarından qorunmaq üçün şəbəkə seqmentasiyası texnologiyası stabilləşdirilmişdir (“Superkukilər”). Keşlənmiş resurslar mənşəli domendən asılı olmayaraq ümumi ad məkanında saxlandığı üçün bir sayt həmin resursun keşdə olub-olmadığını yoxlamaqla digər saytın resursları yüklədiyini müəyyən edə bilər. Mühafizə şəbəkə seqmentasiyası (Şəbəkə bölməsi) istifadəsinə əsaslanır, bunun mahiyyəti əsas səhifənin açıldığı domenə qeydlərin əlavə bağlanmasını paylaşılan keşlərə əlavə etməkdir ki, bu da yalnız hərəkət izləmə skriptləri üçün keşin əhatə dairəsini məhdudlaşdırır. cari sayta (iframe-dən olan skript resursun başqa saytdan endirilib-endirilmədiyini yoxlaya bilməyəcək). Dövlət mübadiləsi şəbəkə bağlantılarını (HTTP/1, HTTP/2, HTTP/3, veb-soket), DNS keşini, ALPN/HTTP2, TLS/HTTP3 məlumatlarını, konfiqurasiyanı, endirmələri və Expect-CT başlıq məlumatlarını əhatə edir.
- Quraşdırılmış müstəqil veb proqramları (PWA, Progressive Web App) üçün veb tətbiqinin ekran sahəsini bütün pəncərəyə genişləndirən Window Controls Overlay komponentlərindən istifadə edərək pəncərə başlığının dizaynını dəyişdirmək mümkündür. Veb tətbiqi standart pəncərə idarəetmə düymələri (bağlamaq, minimuma endirmək, böyütmək) ilə üst-üstə düşmə bloku istisna olmaqla, bütün pəncərənin göstərilməsi və daxil edilməsinə nəzarət edə bilər.
- Forma avtomatik doldurma sistemində onlayn mağazalardakı mallar üçün ödəniş detalları olan sahələrdə virtual kredit kartı nömrələrinin yaradılması üçün dəstək əlavə edilmişdir. Hər bir ödəniş üçün nömrəsi yaradılan virtual kartdan istifadə real kredit kartı haqqında məlumat ötürməməyə imkan verir, lakin bank tərəfindən lazımi xidmətin göstərilməsini tələb edir. Bu funksiya hazırda yalnız ABŞ bank müştəriləri üçün əlçatandır. Funksiyanın daxil edilməsinə nəzarət etmək üçün “chrome://flags/#autofill-enable-virtual-card” parametri təklif olunur.
- “Capture Handle” mexanizmi defolt olaraq aktivləşdirilib, məlumatı video çəkən proqramlara ötürməyə imkan verir. API məzmunu qeydə alınan proqramlar və qeydi həyata keçirən proqramlar arasında qarşılıqlı əlaqəni təşkil etməyə imkan verir. Məsələn, təqdimatı yayımlamaq üçün video çəkən video konfrans proqramı təqdimat idarəetmə elementləri haqqında məlumatı əldə edə və onları video pəncərəsində göstərə bilər.
- Spekulyativ qaydalara dəstək defolt olaraq aktiv edilir və istifadəçi linki klikləməzdən əvvəl linklə əlaqəli məlumatların proaktiv şəkildə yüklənə biləcəyini müəyyən etmək üçün çevik sintaksisi təmin edir.
- Resursların Web Bundle formatında paketlərə qablaşdırılması mexanizmi stabilləşdirilmişdir ki, bu da çoxlu sayda müşayiət olunan faylların (CSS üslubları, JavaScript, şəkillər, iframe-lər) yüklənməsinin səmərəliliyini artırmağa imkan verir. Webpack formatında paketlərdən fərqli olaraq, Web Bundle formatı aşağıdakı üstünlüklərə malikdir: HTTP keşində paketin özü deyil, onun komponent hissələri saxlanılır; JavaScript-in tərtibi və icrası paketin tam yüklənməsini gözləmədən başlayır; Veb paketinə JavaScript sətirləri şəklində kodlaşdırılmalı olan CSS və şəkillər kimi əlavə resursların daxil edilməsinə icazə verilir.
- PWA proqramını müəyyən MIME növlərinin və fayl uzantılarının işləyicisi kimi təyin etmək mümkündür. Manifestdə file_handlers sahəsi vasitəsilə bağlama müəyyən etdikdən sonra istifadəçi proqramla əlaqəli faylı açmağa cəhd etdikdə proqram xüsusi hadisə alacaq.
- DOM ağacının bir hissəsini "hərəkətsiz" kimi qeyd etməyə imkan verən yeni inert atribut əlavə edildi. Bu vəziyyətdə olan DOM qovşaqları üçün mətn seçimi və göstərici hover işləyiciləri qeyri-aktivdir, yəni. Göstərici hadisələri və istifadəçi tərəfindən seçilən CSS xassələri həmişə "yox" olaraq təyin olunur. Əgər node redaktə edilə bilərdisə, inert rejimdə o, redaktə edilə bilməyəcək hala gəlir.
- Veb proqramlarına pəncərə naviqasiya əməliyyatlarını dayandırmağa, naviqasiyanı başlatmağa və proqramla hərəkətlərin tarixini təhlil etməyə imkan verən Naviqasiya API əlavə edildi. API tək səhifəli veb proqramlar üçün optimallaşdırılmış window.history və window.location xassələrinə alternativ təqdim edir.
- "Gizli" atribut üçün "tapılana qədər" yeni bayraq təklif edilib ki, bu da elementi səhifədə axtara bilən və mətn maskası ilə sürüşdürülə bilən edir. Məsələn, məzmunu yerli axtarışlarda tapılacaq səhifəyə gizli mətn əlavə edə bilərsiniz.
- HID cihazlarına (insan interfeysi cihazları, klaviaturalar, siçanlar, gamepadlar, sensor panellər) aşağı səviyyəli giriş üçün nəzərdə tutulmuş WebHID API-də sistemdə xüsusi sürücülərin iştirakı olmadan işin təşkili üçün exclusionFilters xüsusiyyəti requestDevice() əlavə edilmişdir. ) obyekti, brauzer mövcud cihazların siyahısını göstərdikdə müəyyən cihazları istisna etməyə imkan verir. Məsələn, məlum problemləri olan cihaz identifikatorlarını istisna edə bilərsiniz.
- Ödəniş formasının PaymentRequest.show() ünvanına edilən zəng vasitəsilə açıq-aydın istifadəçi hərəkəti olmadan, məsələn, işləyici ilə əlaqəli elementə klikləmədən göstərilməsi qadağandır.
- WebRTC-də sessiya yaratmaq üçün istifadə edilən SDP (Sessiya Təsviri Protokolu) protokolunun alternativ tətbiqi üçün dəstək dayandırılıb. Chrome iki SDP variantını təklif etdi - digər brauzerlərlə birləşdirilmiş və Chrome-a xas. Bundan sonra yalnız portativ seçim qalıb.
- Veb tərtibatçıları üçün alətlərdə təkmilləşdirmələr edilmişdir. Qaranlıq və açıq mövzunun istifadəsini simulyasiya etmək üçün Üslublar panelinə düymələr əlavə edildi. Şəbəkə təftişi rejimində Önizləmə nişanının qorunması gücləndirilib (Məzmun Təhlükəsizliyi Siyasətinin tətbiqi aktivləşdirilib). Sazlayıcı, kəsilmə nöqtələrini yenidən yükləmək üçün skriptin dayandırılmasını həyata keçirir. Səhifədə müəyyən əməliyyatların performansını təhlil etməyə imkan verən yeni “Performans anlayışları” panelinin ilkin tətbiqi təklif edilmişdir.
Yeniliklər və səhvlərin aradan qaldırılması ilə yanaşı, yeni versiya 32 zəifliyi aradan qaldırır. Boşluqların çoxu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer və AFL alətlərindən istifadə etməklə avtomatlaşdırılmış sınaq nəticəsində müəyyən edilib. Problemlərdən birinə (CVE-2022-1853) kritik təhlükə səviyyəsi təyin edilib ki, bu da brauzerin qorunmasının bütün səviyyələrini keçmək və sistemdə sandbox mühitindən kənarda kodu icra etmək qabiliyyətini nəzərdə tutur. Bu boşluqla bağlı təfərrüatlar hələ açıqlanmayıb; sadəcə məlumdur ki, o, Indexed DB API tətbiqində boşaldılmış yaddaş blokuna (pulsuz istifadədən sonra) daxil olmaqdan qaynaqlanır.
Cari buraxılış üçün zəiflikləri aşkar etmək üçün pul mükafatı proqramının bir hissəsi olaraq, Google $24 dəyərində 65600 mükafat ödədi (bir $10000 mükafat, bir $7500 mükafat, iki $7000 mükafat, üç $5000 mükafat, dörd $3000 mükafat, iki $2000 və 1000 dollar $500 bonuslar). 7 mükafatın ölçüsü hələ müəyyən edilməyib.
Mənbə: opennet.ru