Google ha publicat la versió 142 del navegador web Chrome. També hi ha disponible una versió estable del projecte Chromium de codi obert, la base de Chrome. Chrome es diferencia de Chromium en l'ús dels logotips de Google, un sistema de notificació d'errors, mòduls per reproduir contingut de vídeo protegit contra còpia (DRM), instal·lació automàtica d'actualitzacions, aïllament de sandbox sempre actiu, subministrament de claus API de Google i la transmissió de paràmetres RLZ durant la cerca. Per a aquells que necessiten més temps per actualitzar, es manté una branca Extended Stable independent durant vuit setmanes. La propera versió, Chrome 143, està programada per al 2 de desembre.
Canvis clau a Chrome 142:
- La protecció contra l'accés al sistema local en interactuar amb llocs web públics està habilitada. Quan s'accedeix a un lloc web en una xarxa pública o interna (intranet), La meva adreça IP Quan s'accedeix al sistema local o a la interfície de bucle (127.0.0.0/8), el navegador mostrarà un quadre de diàleg a l'usuari que sol·licita confirmació. Els intents de descarregar recursos, les sol·licituds fetch() i les insercions d'iframe estan cobertes. Actualment, la protecció no s'aplica a les connexions mitjançant WebSockets, WebTransport i WebRTC, però s'afegirà per a aquestes tecnologies més endavant.
Els atacants exploten l'accés a recursos interns per dur a terme atacs CSRF a encaminadors, punts d'accés, impressores, interfícies web corporatives i altres dispositius i serveis que només accepten sol·licituds de la xarxa local. A més, l'escaneig de recursos interns es pot utilitzar per a la identificació indirecta o per recopilar informació sobre la xarxa local.
- S'ha introduït una interfície única i simplificada per enllaçar amb un compte de Google i sincronitzar dades, com ara contrasenyes desades i marcadors. La sincronització està integrada amb l'inici de sessió del compte i no es presenta com una opció separada a la configuració. Els usuaris poden connectar Chrome al seu compte de Google i utilitzar-lo per emmagatzemar contrasenyes, marcadors, historial de navegació i pestanyes. Aquesta funció està actualment activa per a alguns usuaris i s'ampliarà gradualment.
- S'utilitza un nou model d'aïllament de processos: "Aïllament d'origen", en què cada font de contingut (origen: un enllaç de protocol, domini i el port, per exemple, "https://foo.example.com"), s'aïlla en un procés de renderització separat. Com que augmentar la granularitat de l'aïllament pot comportar un augment del consum de memòria i de la càrrega de la CPU, el nou mode d'aïllament només està habilitat en sistemes amb més de 4 GB de RAM. En maquinari de baix consum, es continuarà utilitzant l'antic mètode d'aïllament, que aïlla totes les fonts de contingut diferents associades a un sol lloc (per exemple, foo.example.com i bar.example.com) en un procés separat.
- En sistemes amb Windows и macOSPer a les aplicacions que no utilitzen la gestió centralitzada de Chrome, hem implementat la desactivació automàtica dels complements del navegador instal·lats de manera forçada que infringeixen les polítiques menors de Chrome Web Store. Les infraccions menors inclouen possibles vulnerabilitats, complements basats en insercions sense el coneixement de l'usuari, manipulació de metadades, infraccions de les polítiques de dades d'usuari i funcionalitats enganyoses. Els usuaris poden restaurar els complements desactivats si així ho desitgen.
- En la versió per AndroidDe manera similar a les versions d'escriptori, s'ha implementat un avís sobre pàgines fraudulentes detectades per un model de llenguatge gran basat en l'anàlisi de contingut. La IA s'utilitza en el mode de navegació segura millorada del navegador. El model d'IA s'executa al costat del client, però si es detecta contingut sospitós, es realitza una comprovació addicional als servidors de Google.
- La implementació del protocol DTLS (Datagram Transport Layer Security, un anàleg TLS per UDP) utilitzat per a connexions WebRTC inclou l'ús d'algoritmes de xifratge postquàntic.
- L'estat d'activació, definit durant l'activitat de l'usuari en una pàgina, ara es conserva després de navegar a una altra pàgina del mateix domini. Conservar l'activació simplificarà el desenvolupament d'aplicacions web de diverses pàgines i resoldrà problemes com ara definir el focus d'entrada quan el lloc web mostra el seu teclat virtual.
- S'han afegit les pseudoclasses CSS ":target-before" i ":target-after" per definir els marcadors anterior i següent en relació amb la posició de desplaçament actual (":target-current").
- Els contenidors d'estil (@container) i la funció if() ara admeten la sintaxi de rang definida a l'especificació Media Queries Level 4, que permet l'ús d'operadors de comparació matemàtica estàndard i operadors lògics per definir rangs de valors. Per exemple, ara podeu especificar "@container style(—inner-padding > 1em)" i "background-color: if(style(attr(data-columns, type ) > 2): blau clar; altrament: blanc);"
- Els elements " " i " " ara admeten l'atribut "interestfor". Aquest atribut es pot utilitzar per activar accions, com ara mostrar una finestra emergent, quan l'usuari mostra interès en l'element. El navegador reconeix esdeveniments com ara passar el cursor i mantenir el punter per sobre de l'element, prémer tecles d'accés ràpid o mantenir un toc en una pantalla tàctil com a indicadors d'interès. Quan s'identifica un element amb l'atribut "interestfor", el navegador genera un InterestEvent.
- S'han fet millores a les eines de desenvolupament web. S'ha afegit un botó d'inici ràpid per a l'assistent d'IA a la cantonada superior dreta. L'element del menú contextual "Pregunta a la IA" s'ha rebatejat com a "Depura amb IA" i s'ha ampliat per incloure la possibilitat de realitzar accions immediates en funció del context. A la consola web i al panell de codi, l'assistent d'IA de Gemini ara pot generar recomanacions amb codi.
Les eines per a desenvolupadors web ara s'integren amb el programa per a desenvolupadors de Google (GDP). Els desenvolupadors ara poden accedir al seu perfil de GDP directament des de Chrome DevTools i obtenir recompenses per completar tasques específiques dins d'aquesta interfície.
A més de noves funcions i correccions d'errors, la nova versió aborda 20 vulnerabilitats. Moltes de les vulnerabilitats es van identificar mitjançant proves automatitzades amb AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. No es van identificar problemes crítics que poguessin permetre eludir totes les capes de protecció del navegador i executar codi fora de l'entorn de proves. Com a part del programa de recompenses per vulnerabilitats per a la versió actual, Google ha establert 20 recompenses per un total de 130.000 dòlars (dues recompenses de 50.000 dòlars, una de 10000 dòlars, tres de 3000 dòlars, dues de 2000 dòlars i tres de 1000 dòlars). Els imports de vuit de les recompenses encara no s'han determinat.
A més, s'ha identificat una vulnerabilitat sense pegats al motor Blink, que fa que el navegador es bloquegi i es bloquegi en executar cert codi JavaScript. La vulnerabilitat està causada per problemes arquitectònics al motor de renderització relacionats amb la manca d'un límit de velocitat en l'actualització de la propietat "document.title". Aquesta manca de limitació permet que "document.title" s'utilitzi per fer desenes de milions de canvis al DOM per segon. Això fa que la interfície es bloquegi en pocs segons a causa del bloqueig del fil principal i un consum significatiu de memòria. Després de 15-60 segons, el navegador es bloqueja.
Font: opennet.ru
