Включването по подразбиране на API Idle Detection в Chrome 94 предизвика вълна от критика с позовавания на възражения от разработчиците на Firefox и WebKit/Safari.
API Idle Detection позволява на сайтовете да определят времето, когато потребителят е неактивен, т.е. не взаимодейства с клавиатурата/моята или извършва работа на друг монитор. API също така позволява да се установи дали в системата е активен защитник на екрана. Информирането за неактивност се осъществява чрез изпращане на уведомление след достигане на зададен праг на неактивност, минималната стойност на който е установена на 1 минута.
Важно е да се отбележи, че прилагането на API Idle Detection изисква изрично предоставяне на разрешения от потребителя, т.е. ако приложението се опита за първи път да определи факта на неактивност, на потребителя ще бъде показан прозорец с предложение да предостави разрешения или да блокира операцията. За пълно деактивиране на API Idle Detection в настройките за "Доверителност и сигурност" е предвидена специална опция ("chrome://settings/content/idleDetection").
Като области на приложение се цитират приложения за чат, социални мрежи и комуникации, които могат да променят статуса на потребителя в зависимост от присъствието му пред компютъра или да отложат появата на известия за нови съобщения до пристигането на потребителя. API също може да се прилага в киоски-приложения, за да се възстанови до началния екран след определено време на неактивност или да се деактивират ресурсозадължаващи интерактивни операции, като презарисуване на сложни постоянно обновяващи се диаграми, когато потребителят не е пред компютъра.
Позицията на противниците на включването на API Idle Detection е, че информацията за това дали потребителят е зад компютъра или не, може да се счита за конфиденциална. Освен полезните приложения, този API може да се използва и за неблагоприятни цели, например за опити за експлоатация на уязвимости по време на отсъствието на потребителя или за прикриване на потайна злонамерена активност, като например копаене на криптовалути. Чрез разглеждания API могат също така да се събират данни за моделите на поведение на потребителя и дневния му ритъм на работа. Например, може да се разбере кога обикновено потребителят отива на обяд или напуска работното си място. В условия на задължително искане за потвърждение предоставянето на пълномощията, тези опасения се възприемат от Google като незначителни.
Допълнително може да се отбележи, че разработчиците на Chrome се фокусират върху разработването на нови техники за осигуряване на безопасност при работа с паметта. Според Google, 70% от проблемите със сигурността в Chrome се дължат на грешки при работа с паметта, като например достъп до буфер след освобождаването на свързаната с него памет (use-after-free). Определят се три основни стратегии за справяне с подобни грешки: усилване на проверките на етапа на компилация, блокиране на грешки по време на изпълнение и прилагане на език, осигуряващ безопасна работа с паметта.
Съобщава се за стартиране на експерименти по добавяне в кодовата база на Chromium възможността за разработване на компоненти на езика Rust. Кодът на Rust все още не влиза в доставяните на потребителите сборки и основно е насочен към тестване на възможността за разработване на отделни части на браузъра на Rust и тяхната интеграция с останалите части, написани на C++. Паралелно с това, проектът по прилагането на типа MiraclePtr вместо raw-указатели за блокиране на възможността за експлоатация на уязвимости, причинени от достъп до вече освобождавани блокове памет, продължава да се развива за кода на C++. Освен това се предлагат нови методи за откритие на грешки на етапа на компилация.
Освен това, компанията Google започва експеримент по тестване на възможно нарушаване на работата на сайтове след достигане на версия на браузъра, състояща се от три цифри вместо две. В частност, в тестовите версии на Chrome 96 се появи настройка "chrome://flags#force-major-version-to-100", при указването на която в заглавието User-Agent започва да се издава версия 100 (Chrome/100.0.4650.4). През август подобен експеримент се проведе в Firefox, който установи проблеми с обработката на трицифрени версии на някои сайтове.
Източник: opennet.ru
