Chrome 102 väljalaskmine

Google esitleb Chrome 102 veebibrauseri väljaannet. Samuti on saadaval stabiilne versioon avatud projekti Chromium, mis on Chrome'i alus. Chrome brauser erineb Chromiumist Google'i logode kasutamise, kokkuvarisemisel teavitussüsteemide, kaitstud kopeerimise vastu videosisu (DRM) esitamise moodulite, automaatsete värskenduste installimise süsteemi, pideva Sandbox-isolatsiooni, Google API võtmete pakkumise ja otsingu käigus RLZ-parameetrite edastamise poolest. Need, kes vajavad rohkem aega värskendamiseks, saavad eraldi Extended Stable haru, mida toetatakse 8 nädala jooksul. Järgmine Chrome 103 väljaanne on planeeritud 21. juuni.

Põhimuudatused Chrome 102-s:

• Kuna uute pihta võtmisprobleemidega seotud haavatavuste ärahoidmiseks hakati tavaliste viidete asemel kasutama MiraclePtr (raw_ptr) tüüpi. MiraclePtr pakub viidete ümber tõstukihistust, mis teostab täiendavaid kontrollimisi vabastatud mälupiirkondadele ja lõpetab tööd kriitilistel juhtudel, kui selliseid viiteid tuvastatakse. Uue kaitsemeetodi mõju jõudlusele ja mälu kasutusele hinnatakse väikeseks. MiraclePtr mehhanismi ei rakendata kõigis protsessides, sealhulgas mitte joonistamisprotsessides, kuid see võib oluliselt suurendada turvalisust. Näiteks praeguses väljaandes 32-st parandatud haavatavusest 12 oli põhjustatud use-after-free probleemidest.
• Allalaadimise teabe kasutajaliidese kujundus on muudetud. Alumise riba, mis näitas allalaadimise edenemist, asemel on aadressiriba paneeli lisatud uus indikaator, millele klikates näidatakse failide allalaadimise edenemist ja ajalugu juba allalaaditud failide loendiga. Erinevalt alumisest paneelist on nupp pidevalt nähtav paneelil ja võimaldab kiiresti pääseda alla laadimise ajalukku. Uut liidest pakutakse hetkel vaikimisi vaid osale kasutajatest ja see levitatakse kõigile, kui probleeme ei ole. Vanasse liidesesse naasmiseks või uue aktiveerimiseks on saadaval seadistus „chrome://flags#download-bubble“.
• Piltide otsimisel kontekstimenüüst («Search image with Google Lens» või «Leidke Google'i objektiiviga») kuvatakse tulemused nüüd mitte eraldi lehel, vaid külgribal koos algse lehe sisuga (ühes aknas on korraga nähtavad nii lehe sisu kui ka otsingutulemused).
• Seadetes jaotises «Privaatsus ja turvalisus» on lisatud jaotis «Privaatsusjuhend» («Privacy Guide»), mis annab ülevaate peamistest privaatsust mõjutavatest seadistustest koos iga seadistuse mõju üksikasjalike selgitustega. Näiteks saab jaotises määrata andmete edastamise poliitika Google'i teenustele, hallata sünkroonimist, küpsiste töötlemist ja ajaloo salvestamist. Funktsioon on ette nähtud osale kasutajatest, aktiiviseerimiseks saab kasutada seadistust «chrome://flags#privacy-guide».
• Otsingu ajaloo ja vaadatavate lehtede struktuur on tagatud. Kui proovite aadressiribal uuesti otsida, kuvatakse soovitus «Jätka otsingut ajaloos» («Resume your journey»), mis võimaldab jätkata otsimist kohast, kus see varem peatati.
• Chrome Web Store'i kataloogis on soovitatud leht «Extensions Starter Kit» koos algse valikuga soovitatud laiendustest.
• Testrežiimis on aktiveeritud peamise veebisaidi serverisse CORS-i (Cross-Origin Resource Sharing) volituste kinnitamise päringu saatmine koos pealkirjaga «Access-Control-Request-Private-Network: true» juhul, kui lehelt pääseb ligi sisemistele võrgule (192.168.x.x, 10.x.x.x, 172.16.x.x) või localhostile (128.x.x.x). Kui tehing on kinnitatud, peab server sellele päringule vastates saatma pealkirja «Access-Control-Allow-Private-Network: true». Chrome 102 versioonis ei mõjuta kinnitamise tulemus päringu töötlemist — kinnituse puudumisel kuvatakse veebi konsoolis hoiatus, kuid alampäringut ei blokeerita. Blokeerimise aktiveerimine kinnituse puudumise korral on oodata mitte varem kui Chrome 105 väljaandes. Varasemates väljaannetes saab blokeerimist aktiveerida seadistuse «chrome://flags/#private-network-access-respect-preflight-results» kaudu.

  Volituste kinnitamine serverilt sisestatud, et suurendada kaitset süüdistuste eest, mis on seotud kohalike ressursside või kasutaja arvuti (localhost) juurde pääsemisega skriptidest, mis laaditakse saidi avamisel. Selliseid päringuid kasutavad kurjategijad CSRF-rünnakute teostamiseks ruuteritele, kohtadele ja muudele seadmetele ja teenustele, mis aktsepteerivad päringuid ainult lokaalsest võrgust. Nende rünnakute kaitsmiseks saadab brauser sisemiste ressursside päringute korral selge volituse, et laadida neid subressursse.
• Inkognito režiimis linkide avamisel kontekstimenüüs on tagatud automaatne mõnede URL-i parameetrite eemaldamine, mis mõjutavad privaatsust.
• Windowsi ja Androidi uuenduste edastamise strateegiat on muudetud. Uue versiooni laadimise käitumise täielikuks võrdlemiseks genereeritakse nüüd mitu uut versiooni.
• On stabiliseeritud võrgusegmentimise tehnoloogia, et kaitsta meetodite eest, mis jälgivad kasutaja liikumisi veebisaitide vahel, põhinedes identifikaatorite salvestamisel aladel, mis ei ole mõeldud teabe püsivaks salvestamiseks ("Supercookies"). Kuna vahemälu ressursid on salvestatud ühte ja samasse nimede ruumi, olenemata algsest domeenist, võib üks sait määrata teisest saidist laaditud ressursside olemasolu vahemälus. Kaitse põhineb võrgusegmentimise (Network Partitioning) kasutamisel, mille olemus on lisada ühiseks kasutamiseks mõeldud vahemäludesse täiendav seos kirjetega domeeniga, millelt avatakse põhileht, mis piirab vahemälu ulatust jälgimisskriptide jaoks ainult praeguse saidiga (iframe'i skript ei saa kontrollida, kas ressurss laaditi teiselt saidilt). Oleku jagamine katab võrguühendused (HTTP/1, HTTP/2, HTTP/3, websocket), DNS vahemälu, ALPN/HTTP2 andmed, TLS/HTTP3, konfiguratsiooni, allalaadimised ja teabe Expect-CT päises.
• Eraiseltatud veebirakenduste (PWA, Progressive Web App) jaoks on võimalik muuta akna ülemise ala kujundust Window Controls Overlay komponente kasutades, mis laiendavad veebirakenduse ekraanipinda kogu aknani. Veebirakendus saab hallata renderdamist ja sisendi töötlemist kogu aknas, välja arvatud ülevõetud plokk koos vaikimisi akna juhtnuppudega (sulgemine, minimeerimine, maksimumsuurus), et anda veebirakendusele tavalise lauaarvuti rakenduse kuju.
• Automaatse täitmise süsteemis on lisatud tugi virtuaalsete krediitkaardi numbrite genereerimiseks internetipoodide makseviiside väliades. Virtuaalse kaardi kasutamine, mille number genereeritakse iga makse jaoks, võimaldab mitte edastada andmeid tegeliku krediitkaardi kohta, kuid vajab panga poolt vajaliku teenuse pakkumist. Praegu saab funktsiooni kasutada vaid mõnede Ameerika Ühendriikide pankade klientide poolt. Funktsiooni sisselülitamise haldamiseks on pakutud seadistus "chrome://flags/#autofill-enable-virtual-card".
• Vaikimisi on aktiveeritud mehhanism "Capture Handle", mis võimaldab edastada teavet rakendustele, mis teostavad video salvestamist. API võimaldab korraldada rakenduste vahelist suhtlemist, mille sisu salvestatakse, ja rakenduste vahel, mis teevad salvestamise. Näiteks videokonverentsi rakendus, mis teeb video salvestamise esitlusülekande jaoks, võib saada teavet esitlusjuhtnuppude kohta ja kuvada need videoga aknas.
• Vaikimisi on aktiveeritud spekulatiivsete reeglite (Speculation rules) tugi, mis pakub paindlikku süntaksit seotud andmete ennetava laadimise määratlemiseks, mis toimub enne, kui kasutaja klõpsab lingil.
• Korrasustatud on ressursside pakkimise mehhanism Web Bundle formaadis, mis võimaldab suurendada paljude seotud failide (CSS-stiilid, JavaScript, pildid, iframe-d) laadimise efektiivsust. Erinevalt Webpack formaadi pakettidest, omab Web Bundle järgmisi eeliseid: HTTP-cache'i salvestatakse mitte pakett ise, vaid selle koostisosad; JavaScripti kompileerimine ja käitamine algab enne, kui pakett on täielikult laetud; lubatakse lisainventaaride lisamine, nagu CSS ja pildid, mis Webpackis pidanuks olema kodeeritud JavaScripti stringidena.
• On antud võimalus määrata PWA-rakendus teatud MIME-tüüpide ja faililaiendite käsitlejaks. Pärast sidumise määratlemist manifestis field file_handlers, saab rakendus spetsiaalse sündmuse, kui kasutaja üritab avada faili, mis on rakendusega seotud.
• On lisatud uus inert atribuut, mis võimaldab määrata DOM-i puu osa kui "passiivset". Selle olekuga DOM-i sõlmede jaoks on keelatud teksti valimise ja hiire üle tõstmise töötlused, st CSS omadused pointer-events ja user-select on alati seatud väärtusele 'none'. Kui sõlm võimaldas redigeerimist, siis inert režiimis muutub see redigeerimisvõimetuks.
• On lisatud Navigation API, mis võimaldab veebirakendustel peade navigeerimisoperatsioone aknas, algatada üleminekuid ja analüüsida rakenduse tegevuse ajalugu. API pakub alternatiivi properties window.history ja window.location, optimeeritud ühesektsiooniliste veebirakenduste jaoks.
• Atribuudile «hidden» on ettepanek uus lipp «until-found», mis muudab elemendi leheotsingu ja teksti maskeeringu kerimise ajal kergesti leitavaks. Näiteks võib lehele lisada varjatud teksti, mille sisu ilmneb kohaliku otsingu käigus.
• WebHID API-s, mis on mõeldud madala taseme juurdepääsuks HID-seadmetele (inimese liideseseade, klaviatuurid, hiired, mängupuldid, puuteplaatide) ja funktsioneerimiseks ilma süsteemis spetsiifiliste draiveriteta, on objekt requestDevice() lisatud omadus exclusionFilters, mis võimaldab teatud seadmeid välistada, kui brauser näitab saadavalolevate seadmete loendit. Näiteks võib välistada seadme ID-d, kus on teadaolevad probleemid.
• Maksete vormi kuvamine on keelatud läbi kutsumise PaymentRequest.show() ilma kasutaja selge tegevuseta, näiteks klõpsamisel elemendil, mis on seotud töötlijaga.
• Toetatud alternatiivse SDP (Session Description Protocol) rakenduse tugi, mida kasutatakse WebRTC sessiooni seadistamiseks, on lõpetatud. Chrome’i puhul pakuti kahte varianti SDP-d — standardset, mis ühilduks teiste brauseritega, ja Chrome’ile spetsiifilist. Edaspidi jääb alles vaid ülekantav variant.
• Web-arendaja tööriistadele on tehtud täiustusi. Styles paneelis on lisatud nupud tumeda ja heleda teema simuleerimiseks. Preview vahekaart on tugevdatud võrgu inspektsioonirežiimis (rakendatakse Content Security Policy). Debuggeris on rakendatud skripti täitmise lõpetamine, et uuesti laadida murrangupunkte. Pakutakse uue 'Performance insights' paneeli eellahendust, mis võimaldab analüüsida teatud toimingute tulemuste jõudlust lehe peal.

Uues versioonis on lisaks uuendustele ja vigade parandustele kõrvaldatud 32 haavatavust. Paljusid neist tuvastati automatiseeritud testimise tööriistade, nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL, abil. Üks probleem (CVE-2022-1853) on klassifitseeritud kriitiliseks, mis tähendab, et see võimaldab kõiki brauseri kaitsekihti ületada ja käivitada koodi süsteemis väljaspool sandbox-ruumi. Selle haavatavuse kohta üksikasju ei avalikustata, on teada, et see on tingitud vabastatud mäluploki (use-after-free) lugemisest Indexed DB API rakenduses.

Haavatavuste avastamise rahalise tasu programmi raames on Google vahendanud 24 preemiat kogusummas 65 600 USA dollarit (üks preemia $10 000, üks preemia $7 500, kaks preemiat $7 000, kolm preemiat $5 000, neli preemiat $3 000, kaks preemiat $2 000, kaks preemiat $1 000 ja kaks preemiat $500). Seitsme preemia suurust pole veel määratud.

Allikas: opennet.ru