🥇Издание на Chrome 145

Компания Google пусна версия на уеб браузъра Chrome 145. Същевременно е налично стабилно издание на свободния проект Chromium, който служи като основа за Chrome. Браузърът Chrome се отличава от Chromium с използването на логотипите на Google, наличието на система за уведомления при срив, модули за възпроизвеждане на защитено от копиране видео съдържание (DRM), автоматична инсталация на актуализации, постоянно активирана изолация Sandbox, предоставяне на ключове за Google API и изпращане на параметри RLZ при търсене. За тези, които се нуждаят от повече време за актуализация, има отделна поддръжка на клона Extended Stable, която може да продължи 8 седмици. Следващото издание на Chrome 146 е планирано за 10 март.

Основни промени в Chrome 145:

Добавена е поддръжка на формата на изображения JPEG XL, за декодиране на който е използвана библиотеката jxl-rs с реализация на JPEG-XL на езика Rust. Поддръжката на JPEG XL все още е деактивирана по подразбиране и изисква активиране на параметъра „chrome://flags/#enable-jxl-image-format“.
Продължава развитието на AI режима, който позволява взаимодействие с AI агент от адресната лента или от страницата, показвана при отваряне на нова раздел. AI режимът дава възможност за задаване на сложни въпроси на естествен език и получаване на отговори, основани на агрегиране на информация от най-релевантните страници по зададената тема. При необходимост потребителят може да уточнява информацията с допълнителни въпроси. Режимът също така позволява задаване на въпроси относно съдържанието на страницата директно от адресната лента. В Chrome 145 AI режимът е реализиран във версиите за платформите Android и iOS. За потребителите от Канада, Индия и Нова Зеландия започна автоматично включване на чат бота Gemini (при използване на английски език).
Добавен механизъм DBSC (Device Bound Session Credentials), който позволява свързването на сесията на аутентификация на сайта с определено устройство, за да се усложни извършването на атаки от други системи, използващи прихванати сесионни бисквитки. За създаване на сесия, привързана към устройството, е предложен HTTP заглавие «Secure-Session-Registration». Методът на защита се заключава в предоставянето на двойка криптографски ключове, свързани с текущото устройство, генерирани при свързването и съхранявани в TPM (Trusted Platform Module). В сесията се използват бисквитки с кратък живот, които периодично се обновяват, използвайки частния ключ и могат да бъдат проверени с публичния ключ.
Параметърът, позволяващ отключването на блокировката на принудително установени браузърни разширения с незначителни нарушения на правилата на каталога на Chrome Web Store, е премахнат. Към незначителните нарушения се отнасят наличието на потенциални уязвимости, налагане на разширения без знанието на потребителя, манипулации с метаданни, нарушение на правилата за работа с потребителски данни и създаване на заблуждение относно функционалността.
В версията за платформата Android, при активиране на режима за разширена защита (AAPM, Android Advanced Protection Mode), JavaScript API WebGPU е деактивиран. Уебсайтовете, използващи WebGPU за рендиране на 3D съдържание (например Google Maps), могат да използват по-бавни алтернативи, като WebGL (в тестовете е с 5.78% по-бавно). За да се определи деактивирането на WebGPU, може да се използва свойството navigator.gpu.
В версията за Android, при включване на режима за разширена защита на браузъра (Enhanced Safe Browsing), е реализиран локален анализ на външния вид на страниците за наличие на признаци на измама. Ако локалната проверка установи подозрителен съдържание, се извършва допълнителна проверка на сървърите на Google и в случай на потвърждение, се показва предупреждение на потребителя.
Добавен API Origin, който предоставя обект Origin, реализиращ концепцията за Web Origin и предлагащ методи за сравнение, сериализация и анализ на Web Origin. Терминът «Web Origin» е дефиниран в RFC 6454 за разделяне на границите на изолация и доверие към съдържанието. Web Origin обхваща част от URL с името на протокола, името на хоста и номера на порта (например, https://opennet.ru). Новият API е въведен за унифициране на операциите с Web Origin, за да се изключат уязвимости поради некоректни сравнения на сериализирани ASCII представления на Web Origin при определяне на принадлежността на ресурсите към един сайт.
Разделени са правата за достъп до локалната система при взаимодействие с публични сайтове. Обажданията от сайта до IP адреси локалната мрежа (интранет или вътрешни адреси) и loopback интерфейса (127.0.0.0/8) сега се обработват с различни разрешения (local-network и loopback-network), изискващи от потребителя потвърждение на операцията в специален диалог. Под действията за защита попадат опити за зареждане на ресурси, поиска fetch() и iframe вграждания. Обаждането до вътрешни ресурси се използва от злонамерени лица за извършване на CSRF атаки на маршрутизатори, точки за достъп, принтери, корпоративни уеб интерфейси и други устройства и услуги, които приемат запитвания само от локалната мрежа. Освен това, сканирането на вътрешни ресурси може да се използва за косвено идентифициране или събиране на информация за локалната мрежа.
Премахната е настройката UserAgentReduction, която позволяваше предаването на нерязаната информация в HTTP заглавието User-Agent и JavaScript параметрите navigator.userAgent, navigator.appVersion и navigator.platform. Браузерът сега винаги предава съкратена версия на User-Agent без подробна информация за платформата (например, «Android 16; S» вместо «Android 16; SM-A205U»).
Вграденият PDF прегледник получи опцията за запазване на документа в облачното хранилище Google Drive. В Google Drive документите от Chrome се запазват в папката «Saved from Chrome».
API LayoutShift, позволяващ проследяване на промени в позицията на DOM елементите на екрана, е променен да извежда информация в CSS пиксели, вместо в екранни пиксели. CSS пикселът взема предвид DPI на екрана и визуално изглежда еднакво на всякакви екрани, включително на монитори с висока плътност на пикселите. Промените са направени, за да приведат Chrome в поведението на другите браузъри.
За API Controlled Frame е реализиран метод WebRequest.SecurityInfo, който позволява на уеб приложението да прихваща HTTPS, WSS или WebTransport заявки към сървъра и да получава отпечатък на сертификата. сървър и да го използва за ръчна верификация на сертификата, използван при директното свързване с този сървър по TCP/UDP.
Добавена е поддръжка за CSS свойства column-wrap и column-height, определени в спецификацията CSS Multi-column Layout 2. Свойството column-wrap позволява прехвърляне на колоните на нов ред вместо хоризонтално превъртане, ако колоните не се побират в зададената височина чрез свойството column-height.
Добавено е CSS свойство text-justify, което позволява да се определи типът на подравняване на текста при използването на 'text-align: justify';
В CSS свойствата letter-spacing и word-spacing е разрешено задаването на размера на отстъп в проценти.
В JavaScript обектите Map и WeakMap е реализирана спецификация 'upsert', опростяваща работата с колекции от двойки ключ/стойност. Добавени са методи getOrInsert и getOrInsertComputed, които връщат стойността, асоциирана с указания ключ в колекцията или създават нова запис, ако ключът не е намерен.
Реализацията на API IndexedDB е преработена с използване на СУБД SQLite като бекенд (предишната реализация се основаваше на LevelDB в отделни файлове). Новият вариант в момента се използва само в контексти, хоствани в оперативната памет, например в режим инкогнито.
Внесени са подобрения в инструментите за уеб разработчици. В интерфейса за инспекция на мрежата в панела 'Условия на заявките' е включена по подразбиране възможността за ограничаване на скоростта на отделни мрежови заявки.

В допълнение към нововъведенията и корекциите на грешки в новата версия са отстранени 11 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са установени критични проблеми, които да позволят заобикалянето на всички нива на защита на браузера и изпълнението на код в системата извън sandbox средата. В рамките на програмата за награди за откриване на уязвимости за настоящото издание компания Google е учредила 11 награди и е изплатила 18.5 хиляди долара САЩ (по една награда от $8000, $5000, $2000 и $500, три награди по $1000). Размерът на 4 награди все още не е определен.

Източник: opennet.ru