Критика към включването на API за откриване на неактивност в Chrome 94. Експериментиране с Rust в Chrome

Включването по подразбиране на API за откриване на неактивност в Chrome 94 доведе до вълна от критики, цитирайки възражения от разработчиците на Firefox и WebKit/Safari.

API за откриване на неактивност позволява на сайтовете да откриват времето, когато даден потребител е неактивен, т.е. Не взаимодейства с клавиатура/мишка или извършва работа на друг монитор. API също ви позволява да разберете дали в системата работи скрийнсейвър или не. Информацията за неактивност се извършва чрез изпращане на известие след достигане на определен праг на неактивност, чиято минимална стойност е зададена на 1 минута.

Важно е да се отбележи, че използването на API за откриване на неактивност изисква изрично предоставяне на потребителски разрешения, т.е. Ако приложението се опита да открие неактивност за първи път, на потребителя ще се покаже прозорец с въпрос дали да предостави разрешения или да блокира операцията. За да деактивирате напълно API за откриване на неактивност, е предоставена специална опция („chrome://settings/content/idleDetection“) в секцията с настройки „Поверителност и сигурност“.

Областите на приложение включват приложения за чат, социални мрежи и комуникации, които могат да променят статуса на потребителя в зависимост от присъствието му пред компютъра или да забавят уведомяването за нови съобщения, докато потребителят пристигне. API може да се използва и в павилионни приложения за връщане към оригиналния екран след период на неактивност или за деактивиране на интерактивни операции, изискващи много ресурси, като преначертаване на сложни, постоянно актуализиращи се диаграми, когато потребителят не е пред компютъра.

Позицията на противниците на активирането на API за откриване на неактивност е, че информацията за това дали потребителят е на компютъра или не може да се счита за поверителна. В допълнение към полезните приложения, този API може да се използва и за лоши цели, например за опит за използване на уязвимости, докато потребителят отсъства или за скриване на видима злонамерена дейност, като копаене. С помощта на въпросния API може да се събира и информация за моделите на поведение на потребителя и ежедневния ритъм на неговата работа. Например, можете да разберете кога потребителят обикновено отива на обяд или напуска работното място. В контекста на задължително искане за доказателство за упълномощаване тези опасения се възприемат от Google като незначителни.

Освен това можете да обърнете внимание на бележката от разработчиците на Chrome за популяризирането на нови техники за осигуряване на безопасна работа с паметта. Според Google 70% от проблемите със сигурността в Chrome са причинени от грешки в паметта, като например използване на буфер след освобождаване на паметта, свързана с него (use-after-free). Идентифицирани са три основни стратегии за справяне с такива грешки: засилване на проверките на етапа на компилиране, блокиране на грешки по време на изпълнение и използване на безопасен за паметта език.

Съобщава се, че са започнали експерименти за добавяне на възможност за разработване на компоненти на езика Rust към кодовата база на Chromium. Кодът на Rust все още не е включен в компилациите, доставени на потребителите, и е насочен главно към тестване на възможността за разработване на отделни части от браузъра в Rust и тяхната интеграция с други части, написани на C++. Успоредно с това, за C++ код, продължава да се развива проект за използване на типа MiraclePtr вместо необработени указатели, за да се блокира възможността за използване на уязвимости, причинени от достъп до вече освободени блокове памет, и също така се предлагат нови методи за откриване на грешки на етапа на компилация.

Освен това Google започва експеримент, за да тества възможното прекъсване на сайтовете, след като браузърът достигне версия, състояща се от три цифри вместо две. По-специално, в тестовите издания на Chrome 96 се появи настройката „chrome://flags#force-major-version-to-100“, когато е посочена в заглавката на User-Agent, версия 100 (Chrome/100.0.4650.4) започва да се показва. През август подобен експеримент беше проведен във Firefox, който разкри проблеми с обработката на трицифрени версии на някои сайтове.

Източник: opennet.ru