Zavedení API Idle Detection ve výchozím nastavení v Chromu 94 vyvolalo vlnu kritiky s odkazy na námitky od vývojářů Firefoxu a WebKit/Safari.
API Idle Detection umožňuje webům zjistit, kdy uživatel nečiní žádnou aktivitu, tj. když neinteraguje s klávesnicí/myší nebo vykonává práci na jiném monitoru. API také umožňuje zjistit, zda je v systému spuštěna obrazovka s ochranou. O neaktivitě je informováno prostřednictvím zaslání upozornění po dosažení stanoveného prahu neaktivity, jehož minimální hodnota je nastavena na 1 minutu.
Je důležité podotknout, že použití API Idle Detection vyžaduje jasné udělení oprávnění uživatelem, tj. pokud se aplikace pokusí poprvé zjistit neaktivitu, uživateli se zobrazí okno s nabídkou poskytnout oprávnění nebo zablokovat operaci. Pro úplné vypnutí API Idle Detection je v sekci nastavení 'Ochrana soukromí a bezpečnost' k dispozici speciální možnost ('chrome://settings/content/idleDetection').
Mezi oblasti použití patří aplikace pro chat, sociální sítě a komunikaci, které mohou měnit stav uživatele v závislosti na jeho přítomnosti u počítače, nebo odkládat zobrazení upozornění na nové zprávy do doby, než se uživatel vrátí. API může být také použito v kioskových aplikacích k návratu na výchozí obrazovku po stanoveném čase neaktivity nebo k deaktivaci energeticky náročných interaktivních operací, jako je překreslování složitých neustále aktualizovaných grafů, když u počítače není uživatel.
Postoj protivníků zapnutí API Idle Detection spočívá v tom, že informace o tom, zda je uživatel za počítačem nebo ne, mohou být považovány za důvěrné. Kromě užitečných aplikací může být toto API také zneužíváno k neblahým účelům, například k pokusům o exploataci zranitelností v době, kdy uživatel není přítomen, nebo k zakrytí nápadné škodlivé aktivity, jako je těžba kryptoměn. Pomocí tohoto API mohou být rovněž shromažďovány informace o vzorcích chování uživatele a denním rytmu jeho práce. Například lze zjistit, kdy obvykle uživatel odchází na oběd nebo opouští pracovní místo. V podmínkách povinného požadavku na potvrzení udělení oprávnění jsou uvedené obavy považovány Googlem za bezvýznamné.
Dále lze zmínit poznámku vývojářů Chrome o zavádění nových technik zajištění bezpečné práce s pamětí. Podle údajů Google způsobuje 70 % bezpečnostních problémů v Chrome chyby při práci s pamětí, jako je přístup k poli po uvolnění související paměti (use-after-free). Byly definovány tři hlavní strategie boje proti těmto chybám: posílení kontrol během kompilace, blokování chyb během běhu a použití jazyka, který zajišťuje bezpečné zacházení s pamětí.
Existují zprávy o začátku experimentů na přidání možnosti vývoje komponentů v jazyce Rust do kódu Chromium. Kód v Rustu zatím není součástí dodávaných uživatelských sestavení a je především cílen na testování možnosti vývoje jednotlivých částí prohlížeče v Rustu a jejich integraci s ostatními částmi napsanými v C++. Současně pokračuje projekt pro kód v C++ zaměřený na použití typu MiraclePtr namísto raw ukazatelů, aby se zablokovala možnost exploatace zranitelností způsobených přístupem k již uvolněným blokům paměti, a navrhuje se nový způsob odhalování chyb během kompilace.
Kromě toho začíná společnost Google experiment s testováním možného narušení fungování webových stránek po dosažení verze prohlížeče, která se skládá ze tří číslic místo dvou. V konkrétních testovacích verzích Chrome 96 se objevila možnost „chrome://flags#force-major-version-to-100“, která v hlavičce User-Agent začíná vracet verzi 100 (Chrome/100.0.4650.4). V srpnu byl podobný experiment proveden ve Firefoxu, který odhalil problémy s zpracováním tříciferných verzí na některých webech.
Zdroj: opennet.ru
