Verze webového prohlížeče Chrome 137

Společnost Google vydala verzi webového prohlížeče Chrome 137. Současně je k dispozici stabilní verze svobodného projektu Chromium, na němž je Chrome založen. Prohlížeč Chrome se od Chromia liší používáním log a Google, systémem pro zasílání upozornění v případě pádu, moduly pro přehrávání chráněného videobsahu (DRM), systémem automatických aktualizací, trvalým zapnutím izolace Sandbox, poskytováním klíčů k API Google a přenášením parametrů RLZ při vyhledávání. Pro uživatele, kteří potřebují více času na aktualizaci, je samostatně podporována větev Extended Stable, která je doprovázena po dobu 8 týdnů. Další verze Chrome 138 je naplánována na 24. června.

Hlavní změny v Chrome 137:

• Do verzí pro Windows a macOS byl integrován chatbot Gemini, který může vysvětlovat obsah zobrazené stránky a odpovídat na související otázky, aniž by bylo nutné přepínat na jiný panel. Podporováno je textové a hlasové interakce s Geminim. Práce s chatbotem je zatím dostupná jen části uživatelů v USA, kteří mají předplatné Google AI Pro a Ultra.
• Podobně jako při dříve zavedeném segmentování úložiště byla zajištěna izolace zpracování URL schématu „blob:”, určeného pro přístup k lokálně generovaným datům pomocí API Blob nebo File. Při segmentaci se ke klíči použitému pro extrakci objektů připojuje samostatná značka, která určuje vazbu na primární domain, ze které byla otevřena hlavní stránka, což umožňuje blokovat metody sledování pohybů uživatele mezi webovými stránkami prostřednictvím manipulace s URL „blob:”.
• V režimu rozšířené ochrany prohlížeče (Bezpečné procházení > Rozšířená ochrana) byla aktivována možnost použití velkého jazykového modelu k rozpoznávání podvodných stránek na základě jejich obsahu. AI model běží na straně klienta, ale v případě podezření na problematický obsah probíhá dodatečná kontrola na serverech Google. V aktuální verzi se zatím provádí pouze sběr informací o problematických stránkách. V další verzi se plánuje zahájení zobrazování upozornění pro uživatele.
• Byla aktivována ochrana proti skrytému identifikování uživatelů pomocí HSTS cache (HTTP Strict Transport Security). HSTS umožňuje webům přesměrovat uživatele na HTTPS, když se připojují přes HTTP. Během činnosti se název hostitele určený pomocí HSTS ukládá do interní cache, což umožňuje používat přítomnost či nepřítomnost hostitele v cache k uchovávání jediné bitové informace. K skrytému uchování 32bitového identifikátoru uživatele lze využít pole 32 obrázků, které jsou poskytovány z různých hostitelů přes HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg atd.). Identifikátor je určen kontrolou, z jakých hostitelů byly obrázky staženy přes HTTPS a z jakých přes HTTP (pokud byly obrázky dříve poskytnuty přes HTTP a následně přesměrovány na HTTPS pomocí HSTS, pak při následujících žádostech budou okamžitě načteny přes HTTPS, obcházejíc žádost přes HTTP). Ochrana spočívá v povolení aktualizace HSTS pouze pro zdroje nejvyšší úrovně a blokování aktualizace HSTS v žádostech subzdrojů.
• Pro připojení WebRTC byla implementována podpora protokolu DTLS 1.3 (Datagram Transport Layer Security, což je ekvivalent TLS pro UDP). Podpora DTLS 1.3 je nezbytná pro využití postkvantových šifrovacích algoritmů ve WebRTC.
• Byla odstraněna volba příkazového řádku „—load-extension“, která umožňovala načítat rozšíření. Tato volba byla odstraněna s cílem snížit riziko jejího využití k substituci škodlivých rozšíření. Pro nucené načítání rozbalených rozšíření se doporučuje použít tlačítko Load Unpacked na stránce správy rozšíření (chrome://extensions/) po aktivaci režimu pro vývojáře. V Chromiu a testovacích sestavách Chrome For Testing byla podpora volby „—load-extension“ zachována.
• Bylo rozhodnuto zrušit automatické přepínání na používání SwiftShader pro systém softwarového vykreslování WebGL, který implementuje API Vulkan. V případě absence odpovídajícího GPU backendu nyní vytvoření kontextu WebGL vrátí chybu místo přepnutí na SwiftShader. Ukončení používání SwiftShader zvýší bezpečnost díky vyloučení provádění kódu generovaného JIT kompilátorem v procesu, který se stará o interakci s GPU. Pro opětovné povolení používání SwiftShader je k dispozici samostatná příkazová volba „—enable-unsafe-swiftshader“. Ve verzi Chrome 137 pro uživatele platforem Linux a macOS se při používání SwiftShader ve webové konzoli zobrazí varování, a v Chrome 138 bude přepnutí na SwiftShader zakázáno. U uživatelů Windows byla systém SwiftShader nahrazena integrovanou softwarovou vykreslovací platformou WARP (Windows Advanced Rasterization Platform).
• Do nastavení byla přidána možnost aktivace funkce „Autofill with AI“, která usnadňuje vyplňování webových formulářů. Po jejím aktivaci prohlížeč využívá AI model k porozumění webovému formuláři a automatickému vyplnění polí na základě toho, jak uživatel dříve vyplňoval podobné formuláře.
• Do API Web Cryptography byla přidána podpora kryptografických algoritmů založených na eliptických křivkách Curve25519, jako je algoritmus pro vytváření digitálních podpisů Ed25519.
• Bylo implementováno CSS vlastnost „reading-flow“, která umožňuje řídit pořadí zpracování prvků ve flex, grid a blokových kontejnerech při používání čteček obrazovek a při sekvenční navigaci. Také byla přidána vlastnost „reading-order“, která umožňuje ručně předefinovat pořadí prvků.
• V CSS byla navržena funkce „if()“, určená pro výběr hodnot na základě výsledku vyhodnocení podmínkových výrazu. Jako argument se předává seznam dvojic „podmínka:hodnota“ oddělených středníkem. Funkce prochází těmito dvojicemi a zastaví se při prvním splněném podmínkovém výrazu. Například: „background-color: if(style(—color: white): black; else: white);“.
• V CSS vlastnosti offset-path byla implementována funkce shape() pro vytváření tvarů pomocí příkazů, které jsou ekvivalentní funkci path(), ale umožňují používat standardní syntaxi CSS.
• Byl přidán API JSPI (JavaScript Promise Integration), který zajišťuje integraci aplikací WebAssembly s objektem Promise v JavaScriptu a umožňuje programům WebAssembly fungovat jako generátor Promise a interagovat s API založenými na Promise.
• V API CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D a ImageData byla přidána podpora pixelových formátů využívajících hodnoty s plovoucí desetinnou čárkou pro reprezentaci složek barev.
• V režimu Origin trials byly navrženy experimentální API Rewriter a Writer, které umožňují přepracovávat (například ve zhuštěné formě říct nebo měnit styl vyprávění) nebo generovat text pomocí velkých jazykových modelů.
• Do nástrojů pro webové vývojáře byla přidána možnost vázání k pracovním prostorům, která umožňuje ukládat do místních souborů změny provedené v JavaScriptu, HTML a CSS při práci s nástroji zabudovanými do prohlížeče. Byly rozšířeny možnosti AI asistenta, který může měnit CSS a analyzovat výkon.

Kromě novinek a oprav chyb byla v nové verzi odstraněna 1 zranitelnost. Mnoho zranitelností bylo odhaleno pomocí automatizovaných testů nástroji jako AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Nebyly zjištěny kritické problémy, které by umožnily obcházet všechny úrovně ochrany prohlížeče a vykonávat kód v systému mimo sandboxové prostředí. V rámci programu odměn za nalezení zranitelností společnost Google vyplatila 8 prémií v celkové výši 7500 dolarů (po jedné prémii ve výši 4000 $, 2000 $, 1000 $ a 500 $). Výše čtyř odměn zatím není určena.

Zdroj: opennet.ru