Společnost Google vydala verzi webového prohlížeče Chrome 140. Současně je k dispozici stabilní verze volného projektu Chromium, který tvoří základ Chrome. Prohlížeč Chrome se od Chromium liší používáním loga Google, systémem odesílání upozornění v případě pádu, moduly pro přehrávání ochráněného videoobsahu (DRM), systémem automatické instalace aktualizací, trvalým zapnutím Sandbox izolace, dodáváním klíčů k Google API a předáváním parametrů RLZ při vyhledávání. Pro ty, kteří potřebují více času na aktualizaci, je odděleně podporována větev Extended Stable, která je doprovázena 8 týdny. Další verze Chrome 141 je naplánována na 30. září.
Hlavní změny v Chrome 140:
- Pro zvýšení ochrany před sledováním pohybu mezi webovými stránkami v režimu inkognito byla zavedena možnost skrytí informací o IP adrese uživatele v externích kontextech (například pro stránky načítané přes iframe). Skrytí se používá pouze pro domény uvedené v seznamu MDL (Masked Domain List) a je realizováno prostřednictvím odeslání požadavku nikoliv přímo, ale přes proxy server Google. Stránka tedy uvidí jako přicházející IP adres adresu proxy, nikoli uživatele.
- Pro získání selektivních informací o IP adresách uživatelů při zapnutí režimu ochrany IP adres v prohlížeči, který odesílá žádosti přes tranzitní proxy, byl implementován mechanismus PRT (Probabilistic Reveal Token). PRT předpokládá odeslání hlavičky s zašifrovaným tokenem, který umožňuje získat náhodný zkrácený soubor skutečných IP adres klientů, kteří se obrátili na dané domain, ale nejsou vázány na konkrétní požadavky. Část PRT tokenů obsahuje informace o skutečné IP, zatímco část ne, a obsah tokenu lze určit pouze po uplynutí určité doby, jehož dešifrování je možné klíčem, který je vydán Google po zvláštním požadavku. Takové informace o IP adresách mohou být využity v systémech ochrany proti podvodům a pro analýzu kvality webového provozu.
- V režimu inkognito byl implementován mechanismus "Script Blocking", který selektivně blokuje přístup k některým JavaScript API, jež lze použít pro skrytou identifikaci uživatele. Například jako dodatečný prvek pro identifikaci mohou být zohlednění rozdíly v renderování obrázků různými prohlížeči prostřednictvím API Canvas. Blokace se provádí pouze pro externí obsah (např. vložený na stránku prostřednictvím tagů iframe nebo script) při zjištění aktivit specifických pro skrytou identifikaci a pro domény z černé listiny MDL (Masked Domain List), usvědčené ze skryté identifikace.
- Byl zapnut režim OverrideDefaultOzonePlatformHintToAuto pro automatický výběr backendu v mezivrstvě Ozone, která abstrahuje interakci s grafickým subsystémem. Změna umožňuje adaptivně aktivovat Wayland backend na systémech s podporou Wayland, aniž by se výchozí nastavení vázalo na backend X11.
- Byla aktivována funkce automatické změny hesla na základě použití AI. Pokud je heslo obsaženo v známých databázích kompromitovaných účtů, při pokusu o přihlášení s tímto heslem na web Chrome zobrazí varování s návrhem na změnu hesla. Pokud uživatel souhlasí, prohlížeč vygeneruje silné heslo, změní heslo na webu (sám vyplní a odešle potřebné webové formuláře) a uloží nové heslo do správce hesel.
- Byla přidána optimalizace DSE Prewarming (Default Search Engine Prewarming) pro urychlení otevření stránky s výsledky hledání po provedení dotazu prostřednictvím adresního řádku. Při zapnutí DSE Prewarming se ihned po přepnutí fokusů na adresní řádek provádí přerennderování rozložení stránky s výsledky hledání a načítání nezbytných zdrojů pro tuto stránku. Načtené zdroje jsou také využívány pro urychlení dalších dotazů. Možnost je zatím aktivována ve výchozím nastavení pouze pro část uživatelů.
- Byly rozšířeny prostředky pro automatické vyplňování formulářů, které využívají AI model pro pochopení webového formuláře a automatické vyplnění polí na základě toho, jak uživatel předtím vyplnil podobné formuláře. Nastavení „Autofill with AI“ bylo přejmenováno na „Enhanced autofill“. V nové verzi bylo rozšířeno množství zemí a jazyků, pro které je funkce dostupná, a byla přidána podpora dalších typů informací.
- Pro uživatele z USA byl aktivován integrovaný chatovací bot Gemini v prohlížeči, který dokáže vysvětlit obsah zobrazené stránky a odpovídat na otázky související se stránkou, aniž by se přepínal na aktuální záložku. Podporována je textová i hlasová interakce s Geminim. V budoucnu se plánuje zahrnutí chatovacího bota i pro uživatele z jiných zemí.
- Všichni uživatelé mají nyní možnost se připojit k již vytvořeným skupinám sdílených záložek, se kterými mohou současně pracovat více uživatelů. Podpora vytváření skupin je prozatím dostupná pouze pro uživatele testovacích verzí (Beta/Dev/Canary), kteří mohou vytvořit sadu záložek a sdílet ji s jinými uživateli, kteří uvidí stejné záložky na svých zařízeních. Pokud někdo z účastníků změní záložku ve skupině, změna se okamžitě promítne i na zařízeních ostatních uživatelů.
- Bylo změněno zobrazení upozornění, které se zobrazuje při pokusu o otevření webu bez HTTPS, pokud je v nastavení (chrome://settings/security) zvolen režim pro instalaci pouze bezpečných připojení. Místo zobrazení stránky s varováním byl implementován dialog, který se objevuje pod adresním řádkem a blokuje načítání dat bez šifrování, dokud uživatel nevybere akci.
- V žádostech souvisejících s předběžným načítáním prostředků nebo vykreslováním ( nebo ) byla zajištěna odesílání HTTP hlavičky „Sec-Purpose“. Dříve používaná HTTP hlavička „Purpose: prefetch“ byla označena za zastaralou, ale zatím nebyla ve výchozím nastavení vypnuta pro zachování kompatibility.
- V API ToggleEvent byla přidána vlastnost source, která obsahuje objekt Element představující ovládací prvek, který inicioval změnu stavu, na jejíž základě bylo vygenerováno událost Toggle. Například když uživatel klikne na prvek „
- Byla přidána možnost používat funkce counter() a counters() v alternativním textu ve vlastnosti „content“ (například ‘content: „Kapitola“ counter(chapter);’).
- Bylo přidáno CSS vlastnost „caret-animation“, která umožňuje ovládat animaci změny kurzoru v textových polích (například blikání kurzoru může být nahrazeno vlastní animací). Také byla přidána vlastnost animation-timing-function, animation-iteration-count, animation-direction a animation-play-state pro kontrolu přechodových animačních efektů.
- V CSS pravidle „@font-face“ byla implementována podpora vlastnosti font-variation-settings pro úpravu glifů ve variabilních písemnách (tloušťka čar, šířka znaků, sklon znaků atd.).
- CSS nyní podporuje typizovanou aritmetiku, což umožňuje používat výrazy jako „calc(10em / 1px)“ a „calc(20% / 0.5em * 1px)“.
- Byly přidány metody Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 a Uint8Array.fromHex pro převod mezi Uint8Array a daty ve formátu base64 nebo hexadecimálním zobrazení.
- Nástroje pro webový vývoj nyní rozšířily možnosti související s použitím AI pro ladění problémů s výkonem. Byla přidána podpora emulace chování při použití HTTP hlavičky „Save-Data“.
Kromě novinek a oprav chyb v nové verzi bylo odstraněno 6 zranitelností. Mnoho zranitelností bylo odhaleno díky automatizovanému testování nástroji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Nebyly nalezeny žádné kritické problémy, které by umožnily obcházení všech úrovní ochrany prohlížeče a provádění kódu v systému mimo sandboxové prostředí. V rámci programu odměn za nalezení zranitelností společnost Google vyplatila za aktuální vydání 4 odměny v celkové výši 10 000 USD (jedna odměna ve výši 5000 USD, 4000 USD a 1000 USD). Výše jedné odměny zatím nebyla určena.
Zdroj: opennet.ru
