Udgivelsen af webbrowseren Chrome 137

Google har udgivet en ny version af webbrowseren Chrome 137. Samtidig er der tilgængelig en stabil udgave af det frie projekt Chromium, som danner grundlaget for Chrome. Browseren Chrome adskiller sig fra Chromium ved brugen af Googles logoer, en system til at sende meddelelser ved nedbrud, moduler til at afspille beskyttet videoindhold (DRM), en automatisk opdateringsinstallation, permanent aktivering af Sandbox-isolation, levering af nøgler til Google API og transmission af RLZ-parametre under søgninger. For dem, der har brug for mere tid til at opdatere, understøttes en separat Extended Stable-gren i 8 uger. Den næste udgivelse, Chrome 138, er planlagt til den 24. juni.

De vigtigste ændringer i Chrome 137:

• I versionerne til Windows og macOS er der integreret chatbotten Gemini, der kan forklare indholdet af den viste side og besvare relaterede spørgsmål uden at skifte fanen. Der understøttes tekstbaseret og stemmeinteraktion med Gemini. Arbejdet med chatbotten er dog kun tilgængeligt for en del brugere i USA, som har Google AI Pro og Ultra-abonnementer.
• I lighed med den tidligere implementering af segmentering af lageret er der sikret isolation af behandlingen af URL-skematikken 'blob:', som er beregnet til adgang til lokalt genererede data gennem Blob- eller File API'et. Ved segmenteringen tilknyttes en særskilt indikator til nøglen, der bruges til at hente objekter, hvilket definerer tilknytningen til den primære domænet, som den primære side åbnes fra, hvilket gør det muligt at blokere metoder til at spore brugerens bevægelser mellem websteder ved manipulation af URL'en 'blob:'.
• I udvidet beskyttelse til browseren (Safe Browsing > Enhanced protection) er muligheden for at bruge en stor sprogmodel aktiveret til at identificere svindelsider ud fra deres indhold. AI-modellen kører på klientens side, men ved mistanke om tvivlsomt indhold gennemføres der en yderligere kontrol på servere Google. I den nuværende version registreres der kun informationer om problematiske sider. I den næste udgave planlægges det at begynde at advare brugeren.
• Beskyttelse mod skjult identifikation af brugere er aktiveret ved hjælp af HSTS-cache (HTTP Strict Transport Security). HSTS giver websteder mulighed for at omdirigere brugeren til HTTPS, når de tilgår via HTTP. Under arbejdet gemmes det vært navn, der angives via HSTS, i den interne cache, hvilket gør det muligt at bruge tilstedeværelsen eller fraværet af værten i cachen til at gemme et enkelt bit information. Til skjult opbevaring af en 32-bit brugeridentifikator kan man anvende et array bestående af 32 billeder, der sendes fra forskellige værter via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg osv.). Identifikationen udføres ved at kontrollere, hvilke værter billederne blev downloadet fra via HTTPS, og hvilke der blev downloadet via HTTP (hvis billederne tidligere blev sendt via HTTP og derefter omdirigeret til HTTPS via HSTS, vil de ved efterfølgende forespørgsler straks blive indlæst fra HTTPS uden at gå via HTTP). Beskyttelsen begrænser sig til at tillade opdatering af HSTS kun for topniveau ressourcer og blokere opdatering af HSTS i forespørgsler til subressourcer.
• For WebRTC-forbindelser er der implementeret support for protokollen DTLS 1.3 (Datagram Transport Layer Security, en analog til TLS for UDP). Supporten for DTLS 1.3 er nødvendig for at kunne bruge algoritmer til post-kvantum kryptering i WebRTC.
• Muligheden for kommandoen «—load-extension», der tillod indlæsning af udvidelser, er fjernet. Muligheden er fjernet for at reducere risikoen ved dens brug til indsættelse af skadelige udvidelser. For at tvinge indlæsning af udpakkede udvidelser anbefales det at bruge knappen Load Unpacked på udvidelseshåndteringssiden (chrome://extensions/) efter aktivering af udviklerindstillingen. I Chromium og testversionerne af Chrome for Testing er understøttelsen af muligheden «—load-extension» bevaret.
• Det er besluttet at opgive den automatiske tilbagefald til at bruge SwiftShader software renderer til WebGL, som implementerer Vulkan API. I tilfælde af manglende GPU-baseret backend vil oprettelsen af en WebGL-kontekst nu returnere en fejl, i stedet for at skifte til SwiftShader. Ophævelsen af brugen af SwiftShader vil øge sikkerheden ved at eliminere udførelsen af kode genereret af JIT-kompileren i processen, der håndterer interaktionen med GPU'en. For at genaktivere brugen af SwiftShader er der en separat kommandolinjeindstilling «--enable-unsafe-swiftshader». I Chrome version 137 vil brugere på Linux- og macOS-platforme modtage en advarsel i webkonsollen ved brug af SwiftShader, og i Chrome version 138 vil tilbagefaldet til SwiftShader blive deaktiveret. For Windows-brugere er SwiftShader-systemet blevet erstattet med det indbyggede Windows WARP (Windows Advanced Rasterization Platform) software renderer.
• Indstillingerne er blevet opdateret med muligheden for at aktivere funktionen «Autofill with AI», der forenkler udfyldning af webformularer. Når funktionen er aktiveret, vil browseren bruge en AI-model til at forstå webformularen og automatisk udfylde felterne baseret på, hvordan brugeren tidligere har udfyldt lignende formularer.
• API'en til Web Cryptography har fået støtte til kryptografiske algoritmer baseret på den elliptiske kurve Curve25519, såsom algoritmen til generering af digitale signaturer Ed25519.
• CSS-egenskaben «reading-flow» er blevet implementeret, hvilket gør det muligt at styre rækkefølgen af behandling af elementer i flex, grid og blokcontainere ved brug af skærmlæsere og ved sekventiel navigation. Derudover er egenskaben «reading-order» blevet tilføjet, hvilket giver mulighed for manuelt at omdefinere rækkefølgen af elementer.
• I CSS er der foreslået en funktion «if()», der er beregnet til at vælge værdier afhængigt af resultatet af betingede udtryk. Som argument modtages en liste af par «betingelse:værdi» adskilt med semikolon. Funktionen gennemgår disse par og stopper ved den første opfyldte betingelse. For eksempel: «background-color: if(style(—color: white): black; else: white);».
• I CSS-egenskaben offset-path er funktionen shape() blevet implementeret for at skabe former ved hjælp af kommandoer, der er ækvivalente med funktionen path(), men som muliggør brugen af den standardiserede CSS-syntax.
• Der API JSPI (JavaScript Promise Integration) er tilføjet, hvilket sikrer integrationen af WebAssembly-apps med JavaScript Promise-objektet og gør det muligt for WebAssembly-programmer at fungere som generatorer af Promise og interagere med API'er baseret på Promise.
• I API'erne CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D og ImageData er der tilføjet support for pixel-formater, der bruger flydende værdier til at repræsentere farvekomponenter.
• I Origin trials-tilstanden er der introduceret eksperimentelle API'er Rewriter og Writer, der gør det muligt at omformulere (for eksempel at opsummere indhold eller ændre fortællestilen) eller generere tekst ved hjælp af store sprogmodeller.
• I udviklerværktøjerne til webudvikling er der tilføjet mulighed for at binde til arbejdsområder, hvilket gør det muligt at gemme ændringer i lokale filer, der er tilføjet i JavaScript, HTML og CSS, når man arbejder med browserens indbyggede værktøjer. Funktionerne i AI-assistenten er udvidet, så den kan ændre CSS og analysere ydeevnen.

Ud over nye funktioner og fejlrettelser i den nye version er der eliminering af 1 sårbarhed. Mange sårbarheder blev opdageret ved hjælp af automatiserede testværktøjer som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Der er ikke opdaget kritiske problemer, der gør det muligt at omgå alle niveauer af browserbeskyttelse og eksekvere kode i systemet uden for sandbox-miljøet. Som led i belønningsprogrammet for opdagede sårbarheder udbetalte Google 8 præmier på i alt 7500 USD for denne version (én præmie på $4000, $2000, $1000 og $500). Størrelsen på de fire præmier er endnu ikke bestemt.

Kilde: opennet.ru