Кампанія Google апублікавала рэліз web-браўзэра Chrome 142. Адначасова даступны стабільны выпуск вольнага праекта Chromium, які выступае асновай Chrome. Браўзэр Chrome адрозніваецца ад Chromium выкарыстаннем лагатыпаў Google, наяўнасцю сістэмы адпраўкі апавяшчэнняў у выпадку краху, модулямі для прайгравання абароненага ад капіявання відэакантэнту (DRM), сістэмай аўтаматычнай усталёўкі абнаўленняў, сталым уключэннем Sandbox-ізаляцыі, пастаўкай ключоў да Google API і перадачай RLZ-пара. Для тых, каму неабходна больш часу на абнаўленне, асобна падтрымліваецца галінка Extended Stable, якая суправаджаецца 8 тыдняў. Наступны выпуск Chrome 143 запланаваны на 2 снежня.
Асноўныя змены ў Chrome 142:
- Уключана абарона ад звароту да лакальнай сістэмы пры ўзаемадзеянні з публічнымі сайтамі. Пры зваротах з сайта ў публічнай або ўнутранай сетцы (інтранэт) да IP-адрасам лакальнай сістэмы або loopback-інтэрфейсу (127.0.0.0/8) браўзэр будзе выводзіць карыстачу дыялог з запытам пацверджання аперацыі. Пад дзеянні абароны трапляюць спробы загрузкі рэсурсаў, запыты fetch() і iframe-устаўкі. Абарона пакуль не прымяняецца для злучэнняў праз WebSockets, WebTransport і WebRTC, але будзе дададзена для дадзеных тэхналогій пазней.
Зварот да ўнутраных рэсурсаў выкарыстоўваюцца зламыснікамі для ажыццяўлення CSRF-нападаў на маршрутызатары, кропкі доступу, друкаркі, карпаратыўныя web-інтэрфейсы і іншыя прылады і сэрвісы, якія прымаюць запыты толькі з лакальнай сеткі. Акрамя таго, сканіраванне ўнутраных рэсурсаў можа выкарыстоўвацца для ўскоснай ідэнтыфікацыі або збору звестак аб лакальнай сетцы.
- Прапанаваны адзіны спрошчаны інтэрфейс для прывязкі да ўліковага запісу ў Google і сінхранізацыі дадзеных, такіх як захаваныя паролі і закладкі. Сінхранізацыя інтэграваная з уваходам ва ўліковы запіс і не падаецца як асобная магчымасць у наладах. Карыстальнікі могуць падлучыць Chrome да ўліковага запісу ў Google і выкарыстоўваць яе для захоўвання пароляў, закладак, гісторыі наведванняў і ўкладак. Магчымасць пакуль актываваная для часткі карыстальнікаў, паступова ахоп будзе павялічвацца.
- Задзейнічана новая мадэль ізаляцыі працэсаў - "Origin Isolation", пры якой кожная крыніца кантэнту (origin - звязак з пратакола, дамена і порта, напрыклад, "https://foo.example.com"), ізалюецца ў асобным працэсе адмалёўкі. Так як павелічэнне драбнення ізаляцыі можа прывесці да павышэння спажывання памяці і росту нагрузкі на CPU, новы рэжым ізаляцыі ўключаецца толькі на сістэмах, якія маюць больш за 4 ГБ АЗП. На маламагутным абсталяванні працягне выкарыстоўвацца стары падыход да ізаляцыі, пры якім у асобным працэсе ізалююцца ўсе розныя крыніцы кантэнту, злучаныя з адным сайтам (напрыклад, foo.example.com і bar.example.com).
- На сістэмах з Windows и macOS, у якіх не прымяняецца цэнтралізаванае кіраванне Chrome, рэалізавана аўтаматычнае адключэнне прымусова ўсталяваных браузерных дапаўненняў, у якіх выяўлены неістотныя парушэнні правілаў каталога Chrome Web Store. Да неістотных парушэнняў прылічаецца наяўнасць патэнцыйных уразлівасцяў, навязванне дадатку без вядзёнай карыстача, маніпуляцыі з метададзенымі, парушэнне правіл працы з карыстацкімі дадзенымі і ўводзіны ў памылку аб функцыянальнасці. Пры жаданні карыстальнік можа вярнуць адключаны дадатак.
- У версіі для Android, па аналогіі са зборкамі для дэсктоп-сістэм, рэалізаваны выснова папярэджання аб ашуканскіх старонках, выяўленых вялікай моўнай мадэллю на аснове аналізу змесціва. Выкарыстанне AI ужываецца ў рэжыме пашыранай абароны браўзэра (Enhanced Safe Browsing). AI-мадэль выконваецца на баку кліента, але ў выпадку выяўлення падазрэнняў на сумнеўны кантэнт, выконваецца дадатковая праверка на серверах Google.
- У рэалізацыі пратаколу DTLS (Datagram Transport Layer Security, аналаг TLS для UDP), якая ўжываецца для злучэнняў WebRTC, уключана выкарыстанне алгарытмаў постквантавага шыфравання.
- Рэалізавана захаванне статусу актывацыі, які выстаўляецца пры актыўнасці карыстальніка на старонцы, пасля пераходу на іншую старонку з тым жа даменам. Захаванне актывацыі спросціць распрацоўку шматстаронкавых web-прыкладанняў і вырашыць такія праблемы, як выстаўленне фокусу ўводу пры адлюстраванні сайтам сваёй віртуальнай клавіятуры.
- У CSS дададзеныя псеўда-класы ":target-before" і ":target-after" для вызначэння папярэдніх і наступных маркераў, адносна бягучай пазіцыі пракруткі (":target-current").
- У кантэйнерах стыляў ("@container") і функцыі "if()" дазволена выкарыстанне сінтаксісу дыяпазонаў (Range Syntax), вызначанага ў спецыфікацыі Media Queries Level 4 і які дазваляе выкарыстоўваць звычайныя матэматычныя аператары параўнання і лагічныя аператары для вызначэння дыяпазонаў значэнняў. Напрыклад, зараз можна паказваць @container style(-inner-padding > 1em) і background-color: if(style(attr(data-columns, type) ) > 2): lightblue; else: white);»
- У элементы " " і " " дададзена падтрымка атрыбуту "interestfor", пры дапамозе якога можна арганізаваць выклік дзеянняў, напрыклад, паказаць усплывальнае акно, у сітуацыях калі карыстач праявіць цікавасць да элемента. Прыкметамі праявы цікавасці браўзэр лічыць такія сітуацыі, як навядзенне і ўтрыманне паказальніка на элеменце, націск гарачых клавіш ці ўтрыманне дотыку на сэнсарным экране. Пры выяўленні цікавасці на элеменце з атрыбутам "interestfor" браўзэр генеруе падзею InterestEvent.
- Унесены паляпшэнні ў інструменты для web-распрацоўшчыкаў. У верхні правы кут дададзена кнопка для хуткага выкліку AI-асістэнта. Элемент кантэкстнага меню "Ask AI" перайменаваны ў "Debug with AI" і пашыраны магчымасцю выканання непасрэдных дзеянняў у залежнасці ад кантэксту. У web-кансолі і панэлі з кодам AI-асістэнт Gemini зараз можа генераваць рэкамендацыі з кодам.
У інструментах для web-распрацоўшчыкаў забяспечана інтэграцыя з сэрвісам GDP (Google Developer Program). Распрацоўнік зараз зможа падлучацца да свайго профіля ў GDP непасрэдна з Chrome DevTools і атрымліваць бонусы за выкананне вызначаных прац у дадзеным інтэрфейсе.
Акрамя новаўвядзенняў і выпраўленні памылак у новай версіі ўхіленыя 20 уразлівасцяў. Многія з уразлівасцяў выяўлены ў выніку аўтаматызаванага тэсціравання інструментамі AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Крытычных праблем, якія дазваляюць абыйсці ўсе ўзроўні абароны браўзэра і выканаць код у сістэме за межамі sandbox-акружэнні, не выяўлена. У рамках праграмы па выплаце грашовай узнагароды за выяўленне ўразлівасцяў для бягучага рэлізу кампанія Google заснавала 20 прэмій на суму 130 тысяч даляраў ЗША (дзве прэміі 50 тысяч даляраў, па адной прэміі ў $10000 і тры прэміі $3000, дзве прэміі $2000 і тры прэміі $1000. Памер 8 узнагароджанняў пакуль не вызначаны.
Дадаткова можна адзначыць выяўленне яшчэ не выпраўленай уразлівасці ў рухавічку Blink, якая прыводзіць да аварыйнага завяршэння і завісання браўзэра пры выкананні вызначанага JavaScript-кода. Уразлівасць выклікана архітэктурнымі праблемамі ў рухавічку адмалёўкі, звязанымі з адсутнасцю абмежавання на інтэнсіўнасць аперацый абнаўлення ўласцівасці "document.title". Адсутнасць абмежаванняў дазваляе выкарыстоўваць "document.title" для занясення ў DOM дзясяткаў мільёнаў змен у секунду, што праз некалькі секунд прыводзіць да завісання інтэрфейсу з-за блакаванні асноўнага струменя і значнага спажывання памяці, а праз 15-60 секунд браўзэр аварыйна завяршае працу.
Крыніца: opennet.ru
