Udgivelsen af webbrowseren Chrome 135

Google har offentliggjort en opdatering af webbrowseren Chrome 135. Samtidig er der en stabil version af det frie projekt Chromium tilgængelig, som fungerer som grundlaget for Chrome. Chrome adskiller sig fra Chromium ved at anvende Google-logoer, have et system til at sende meddelelser i tilfælde af nedbrud, moduler til afspilning af beskyttet videoinhold (DRM), automatisk opdateringsinstallation, konstant aktivering af Sandbox-isolation, levere nøgler til Google API og overføre RLZ-parametre under søgning. For dem, der har brug for længere tid til at opdatere, understøttes en separat Extended Stable-gren i 8 uger. Den næste version af Chrome 136 er planlagt til den 29. april.

De vigtigste ændringer i Chrome 135:

• Tilføjet beskyttelse mod skjult brugeridentifikation ved hjælp af HSTS-cache (HTTP Strict Transport Security). HSTS gør det muligt for websteder ved indgang via HTTP at omdirigere brugerne til HTTPS. Under brug gemmes værtsnavnet, der er angivet gennem HSTS, i en intern cache, hvilket muliggør brugen af tilstedeværelsen eller fraværet af værten i cachen til at opbevare et enkelt bit information.

  Til skjult opbevaring af en 32-bit brugeridentifikator kan der anvendes et array af 32 billeder, der leveres fra forskellige værter via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg osv.). Identifikatoren defineres ved at kontrollere, hvilke værter billederne blev indlæst fra via HTTPS, og hvilke via HTTP (hvis billederne tidligere blev leveret via HTTP og omdirigeret til HTTPS gennem HSTS, så vil de ved efterfølgende forespørgsler straks blive indlæst via HTTPS, og undgå en anmodning via HTTP). Beskyttelsen er reduceret til at tillade opdatering af HSTS kun for overordnede ressourcer og blokere for opdatering af HSTS i anmodninger om subressourcer.
• Tilføjet lokalt kørende maskinlæringsmodeller til at forbedre detektionen af forekomsten af indtastningsfelter til adgangskoder på sider og automatisk ændring af adgangskoder. Hvis en adgangskode betragtes som kompromitteret, vil Chrome give en advarsel ved indlogning med denne adgangskode og foreslå at ændre den. Ved samtykke vil browseren generere en sikker adgangskode, ændre adgangskoden på webstedet og gemme den nye adgangskode i password management — AI vil automatisk udfylde og sende de nødvendige webformularer på det påkrævede websted og opdatere den gemte adgangskode.
• I den udvidede beskyttelsesstilstand for browseren (Safe Browsing > Udvidet beskyttelse) er der tilføjet mulighed for at anvende en stor sprogmodel til at identificere bedrageriske sider baseret på deres indhold. AI-modellen kører på klientsiden, men hvis der opstår mistanke om tvivlsomt indhold, foretages der en ekstra kontrol på servere Google. Hvis den ekstra kontrol bekræftes, får brugeren vist en advarsel. Kontrollen udføres kun for sider, der bruger API'en Keyboard Lock.
• Brugere, der har tilsluttet Chrome til deres Google-konto, har nu mulighed for at gemme installerede udvidelser i deres Google-konto, så disse udvidelser automatisk kan anvendes på alle de computere, som brugeren benytter.
• Brugere, der for nylig har tilsluttet sig Google-kontoen eller bruger Chrome Sync, sikres opbevaring af synkroniserede indstillinger, webstedgenveje og temaer adskilt fra lokale indstillinger. På den måde vil de oprindelige indstillinger forblive, når Chrome Sync er deaktiveret på enheden, og lokal indstillinger bliver ikke indlæst, når der tilsluttes til Google.
• I Android-versionen er understøttelsen af den indbyggede password manager ophørt, og den er blevet erstattet af den ensartede Google Password Manager, som leveres via Google Play. Brugere kan gemme indholdet fra den gamle password manager i CSV-format for at overføre det til andre password managers.
• I inkognito-tilstand er der implementeret en udelukkelig blokering af tredjeparts cookies, som sendes ved besøg på websider, der er forskellige fra domænet den aktuelle side (disse cookies anvendes til at spore brugerens bevægelser mellem websider i reklamenetværkers kode, sociale medie widgets og webanalyse systemer). Muligheden for at styre blokeringen af tredjeparts cookies fra websider forbliver uændret, men i browseren kan indstillingen BlockThirdPartyCookies i inkognito-tilstand nu ikke sættes til false.
• Der er tilføjet pseudo-elementerne «::column», «::scroll-button», «::scroll-marker» og «::scroll-marker-group» i CSS, som gør det muligt at implementere scrolling i form af en karusel.
• HTML-attributterne „command“ og „commandfor“ er implementeret, som kan bruges i knapper i stedet for attributterne „popovertargetaction“ og „popovertarget“ til deklarativ konfiguration af interaktionen med menuen, der vises ved at klikke på knappen. Ved brug af de nye attributter håndterer browseren al logik til interaktion med menuen uden behov for at tilføje egne JavaScript-håndterere. For eksempel, for at oprette en dropdown-menu, skal du blot angive: <button commandfor="»my-menu»" command="»show-popover»">Åbn menu</button> <div popover id="»my-menu»"> … </div>
• CSS har fået en ny funktion, shape(), der gør det muligt at danne former ved hjælp af CSS-egenskaberne clip-path og offset-path. Funktionen shape() understøtter kommandoer til at danne former, der svarer til funktionen path(), men gør det muligt at anvende den standardiserede CSS-syntaks.
• I Web Speech API, der tilbyder funktioner til syntese og genkendelse af tale, er der tilføjet støtte til MediaStreamTrack-grænsefladen til behandling af lyd, der kommer fra forskellige kilder, herunder eksterne lydspor. Tidligere kunne Web Speech API kun behandle lyd, der kom fra den valgte standardmikrofon.
• JavaScript har fået støtte til typede arrays Float16Array, som er beregnet til at gemme værdier af typen Float16.
• API Observable er blevet tilføjet til behandling af eventstrømme asynkront. API'et giver mulighed for at abonnere på et objekt for at modtage events, når de kommer ind, og deklarativt beskrive strømmen af transformationer, der vil blive anvendt på de indkommende events.
• Metoden navigator.xr.supportsSession, tidligere erklæret som forældet, er blevet fjernet. I stedet bør metoden navigator.xr.isSessionSupported anvendes, som er angivet i specifikationen for WebXR.
• Indstillingerne InsecurePrivateNetworkRequestsAllowedForUrls og InsecurePrivateNetworkRequestsAllowed, der blev anvendt til at aktivere mekanismen PNA 1.0 (Private Network Access), som begrænser indlæsning af ressourcer fra en offentligt tilgængelig side, der henviser til værter i det interne netværk (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 osv.), er blevet fjernet. Denne aktivitet bruges af ondsindede aktører til at udføre CSRF-angreb på routere, adgangspunkter, printere, virksomhedens webgrænseflader og andre enheder og tjenester, der kun accepterer anmodninger fra det lokale netværk.

  På grund af inkompatibilitet med nogle enheder kunne PNA 1.0 kun aktiveres med vilje. Som erstatning for PNA 1.0 er specifikationen PNA 2.0 udviklet, som ikke kræver ændringer på enhedens side, kun ændringer på hjemmesiderne, der har brug for adgang til intranetressourcer. PNA 1.0 og PNA 2.0 er ikke kompatible med hinanden, så før PNA 2.0 implementeres, har Google til hensigt først at fjerne understøttelsen af PNA 1.0.

• Muligheden for at genaktivere understøttelsen af den forældede MutationEvent API og de tilhørende synkrone DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument og DOMCharacterDataModified begivenheder er blevet fjernet. API'et blev brugt til at overvåge ændringer i DOM-træet, men havde en negativ indvirkning på sideydelsen og hindrede implementeringen af nogle nye funktioner. Denne API var som standard deaktiveret sidste sommer, men i Chrome var der stadig muligheden MutationEventsEnabled for at genaktivere understøttelsen. Som alternativ anbefales det at bruge Mutation Observer API'et.
• Mulighederne for værktøjerne til webudvikling er blevet udvidet til at analysere ydeevnen.

Udover nyhederne og bugfixes i den nye version er der blevet rettet 14 sårbarheder. Mange af sårbarhederne blev afsløret ved hjælp af automatiseret test med værktøjer som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Der er ikke identificeret kritiske problemer, der kan omgå alle lag af browserbeskyttelse og udføre kode i systemet uden for sandbox-miljøet. I forbindelse med programmet for belønning af sårbarhedsfinding har Google udbetalt 8 præmier på i alt 17.000 USD for den aktuelle udgivelse: én præmie på $10.000 og to præmier på henholdsvis $2.000, $1.000 og $500.

Kilde: opennet.ru