Web-brauseri Chrome 127 väljaanne

Google on avaldanud Chrome 127 veebibrauseri uue versiooni. Samuti on saadaval Chromiumi stabiilne väljaanne, mis toimib Chrome'i alusena. Chrome'i brauser erineb Chromiumist Google'i logode, krahhi korral teavitussüsteemi, kopeerimise kaitsega videoinitite (DRM) taasesituse, automaatse värskenduse süsteemi, pideva Sandbox-isolatsiooni kasutamise, võtmete pakkumise Google API-le ning RLZ-parameetrite edastamise osas otsingu ajal. Need, kes vajavad rohkem aega värskendamiseks, saavad eraldi pikendatud stabiilse haru, mida toetatakse 8 nädala jooksul. Järgmine Chrome'i 128 väljaanne on plaanitud 20. augustiks.

Peamised muudatused Chrome 127-s:

• Inkognito režiimis on vaikimisi aktiveeritud 'HTTPS-Esimese' funktsioon, mis suunab automaatselt HTTP-päringud HTTPS-ile. Et tagada ühenduvus HTTPS-iga mitteühilduvate saitidega, on rakendatud tagasitõmbamine HTTP-le, kui HTTPS-i kaudu päringu edastamine ei õnnestu või sertifikaadiga tekivad probleemid. HTTP kaudu saidi avamisel kuvatakse eriline hoiatusteade.
• Chrome'i juursertifikaatide salvestuses (Chrome Root Store) on otsustatud katkestada usaldus Entrust'i sertifitseerimisasutusele mitmete sertifitseerimisasutuste nõuete rikkumiste, probleemsete sertifikaatide suhtes reageerimise tähtajast kinnipidamise eiramise, sertifikaatide tagasivõtmise viivitamise, incidentide aruanne halva haldamise ja väljaandmise reeglite mittetäitmise tõttu. TLS-sertifikaadid EV (Extended Validation) taseme sertifikaadid, mis nõuavad domeeni kuuluvuse dokumentide uuringut ja ressurssi omaniku kinnitamist. Tõsiste puuduste kõrvaldamiseks mitte midagi tehes, pärast 31. oktoobrit 2024 antud Entrust'i TLS-sertifikaate käsitletakse Chrome'is usaldusväärsetena. 31. oktoobrist enne väljaantud sertifikaadid jäävad normaalseks.
• Alustati Chrome'i teise versiooni manifesti toe järkjärgulise lõpetamise protsess, mis määratleb pluginatele kättesaadavad võimalused ja ressursid, mis on kirjutatud WebExtensions API-de kasutamisel. Teise versiooni manifesti kasutavad pluginad seavad praegu ohtu ainult osa Chrome'i testversioonide kasutajatest (mitte versioonides). Kolmandale versioonile ülemineku lõpuleviimine on plaanitud juuni 2025. aastaks.
• Kui on aktiveeritud täiendav brauserikaitse (Safe Browsing > Täiustatud kaitse), on rakendatud teabe saatmine serverid Google'ile täiendavat telemeetriat, mis sisaldab teavet külastatud lehtede kohta, kui nendel lehtedel kasutatakse API-sid vibratsiooni (Vibration) algatamiseks või hiire (PointerLock) ja klaviatuuri (Keyboard) täielikuks juhtimiseks. Kui avatud leht on mustas nimekirjas, kuvatakse kasutajale vastav hoiatus ja märgitud API-de toimingud keelatakse.
• On lõpetatud töö, mis puudutab laaditavate failide kontrolli täiendava brauserikaitse režiimis (Safe Browsing > Täiendav kaitse), kus on aktiveeritud täitvate failide ja kahtlaste arhiivide saatmine Google'i serveritesse viiruste ja kahjuliku tarkvara kontrollimiseks. Laaditavate krüpteeritud arhiivide (.zip, .7z ja .rar) turvalisuse kontrollimiseks palub brauser kasutajalt arhiivi dekrüpteerimise parooli. Kasutaja võib kontrollimisest loobuda või sisestada parooli, mille järel brauser saadab failiga koos parooli Google'i serveritesse kontrollimiseks. Tavalises (mitte täiendavas) Safe Browsing režiimis küsitakse samuti parooli, kuid arhiivi sisu saadetakse Google'i serveritesse kontrollimiseks ainult metainformatsiooni ja arhiivis sisalduvate failide hash'id. On rakendatud silmapaistvamaid hoiatuseid ohtlike failide laadimise kohta, mis kuvatakse mitte alumises paneelis, vaid ülemise paneeli all.
• Pakutud Private Network Access spetsifikatsiooni algne rakendus piirab võimalust laadida ressursse avalikelt veebisaitidelt, mis viitavad sisevõrgu hostidele (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 jne). Taoliste ressursside laadimist lubatakse nüüd ainult siis, kui leht avatakse turvalises kontekstis (HTTPS-i kaudu). Edasi on plaanis täielikult piirata kontrollimata juurdepääsu sise-intraneti allvõrkudele lehtedelt, mis avatakse avalikelt saitidelt, kuna selliseid päringuid kasutavad ründajad CSRF-rünnakute teostamiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliideste ja teiste seadmete ja teenuste kallal, mis võtavad vastu päringuid ainult kohalikust võrgust. Blokeerimise katsetused algasid juba 2022. aastal Chrome 98 juures, kuid tuvastatud probleemide tõttu lükati blokeerimine edasi.
• Käitusrežiimis "Origin trials" on rakendatud katse blokeerimine juurdepääsuks IP-le 0.0.0.0, kuna seda IP-d saab kasutada blokeerimise ümbersõiduks IP-le 127.0.0.1 (localhost) Linuxi ja macOS-i platvormidel.
• Androidi platvormi versioonis on Google'i kontoga sidumise ja andmete, nagu salvestatud paroolid ja järjehoidjad, sünkroniseerimise liides lihtsustatud. Sünkroniseerimine on nüüd integreeritud konto sisse logimisega ja ei esitle seda eraldi võimalusena seadetes.
• Androidi platvormi versioonis on uuendatud paroolihalduse liidest. Kasutajatele, kes on oma Google'i kontoga sisse loginud, kuid sünkroniseerimist ei aktiveerinud, on antud võimalus salvestada ja kasutada paroole, mis on seotud Google'i kontoga.
• Lisatud on seade "Automaatne täisekraanirežiimi aktiveerimine" (Automatic Fullscreen, chrome://settings/content/automaticFullScreen), mis võimaldab veebisaitidel automaatselt aktiveerida täisekraanirežiimi meetodiga Element.requestFullscreen() ilma kasutaja kinnitust saamata, ning samuti võimaldab näidata brauseri dialooge väljaspool täisekraanirežiimi. Vaikimisi on seade välja lülitatud ja seda saab aktiveerida eraldi veebisaitide ja veebirakenduste jaoks. Koos Window Management API ja hüpikakna seadetega (chrome://settings/content/popups) lihtsustab uus funktsioon selliste võimaluste kasutamist nagu hüpikakna avamine teise ekraani täisekraanil, täisekraanisisu kuvamine kõikidel ekraanidel või lisamonitoril, ning täisekraanisisu vahetamine ühe ekraani ja teise vahel.
• Lisatud on CSS-omand font-size-adjust, mis võimaldab muuta väike tähtede suurust võrreldes suurte tähtede suurusega, mis on määratud omadusega "font-size". See võib olla kasulik näiteks, et säilitada teksti loetavust olukordades, kus kasutatakse varu fontide peret, kui põhifont on kättesaamatu. Erinevate väiketähtede ja fontide kõrguse suhte koefitsientidega fontide puhul erineb tähtede suurus oluliselt, mis võib näiteks muuta teksti halvemini loetavaks, kui font Verdana asendatakse fontidega Times.
• ServiceWorker-ide staatilise marsruutimise API-s (Service Worker Static Routing), mis võimaldab määrata, kuidas tuleks laadida teatud ressursse ja keelata ServiceWorker-i kutsumise ressursside jaoks, mida saab vahemälust välja võtta või otse laadida, on lisatud võimalus rakendada loogilist operatsiooni "not" päringute vastavuse tingimuste pöördumiseks.
• Kasutaja poolt sisu töötlemise käigus avatud pildipildirežiimis (picture-in-picture) loodud aktiveerimisürituste edastamine tagatakse vanemasse aknasse. See muudatus võimaldab põhilehe, millelt pildipildirežiimi aken avati, kasutajal kasutada API-d User Activation (navigator.userActivation), et tuvastada kasutaja interaktsiooni selle aknaga (näiteks saab teada, kas kasutaja klõpsas pildipildirežiimi aknas või kas leht oli lihtsalt laaditud ja jäi puudutamata).
• On web development tools have been improved. When viewing CSS styles, links have been added to the corresponding positions in the document referenced by the CSS properties controlling the display of elements related to the location of other elements (CSS Anchor Positioning). When viewing the HTML code, links are now indicated by the 'popovertarget' attribute. A new speed simulation preset 'Fast 4G' has been added to the network activity inspection panel (the 'Fast 3G' preset has been renamed to 'Slow 4G', and 'Slow 3G' to '3G'). In the performance analysis panel, event details for sending and receiving messages via WebSocket are now displayed during tracing.

Uues versioonis on kõrvaldatud 24 haavatavust, lisaks uuendustele ja veaparandustele. Palju haavatavusi tuvastati automatiseeritud testimise käigus tööriistade nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL abil. 5 probleemile on määratud kõrge ohtlikkuse tase. Kriitilisi probleeme, mis võimaldaksid mööda minna kõikidest brauseri kaitsekihtidest ja käivitada süsteemis koodi väljaspool liivakasti keskkonda, ei tuvastatud. Turvaaugu leidmise preemia programmi raames maksis Google selle versiooni eest 16 preemiat kogusummas 47.5 tuhat USA dollarit (üks preemia $11000, $5000, $3000 ja $500, kaks preemiat $8000, kolm preemiat $2000). 6 preemia suurus ei ole veel määratud.

Allikas: opennet.ru