Chrome 118 on välja antud. Valmistumine kolmandate osapoolte küpsiste blokeerimiseks Chrome'is

Google on avalikustanud veebibrauseri Chrome 118 väljaande. Samal ajal on saadaval stabiilne vabaprojekti Chromium väljalase, mis on Chrome'i alus. Chrome erineb Chromiumist Google'i logode, krahhi korral teavitussüsteemi, kopeerimise vastu kaitstud videomaterjali (DRM) taasesituse moodulite, automaatsete värskenduste installimise süsteemi, pideva Sandbox-isolatsiooni kasutuselevõtu, Google API võtmete tarnimise ja otsingutes RLZ-parameetrite edastamise poolest. Need, kes vajavad värskendamiseks rohkem aega, saavad eraldi pikendatud stabiilse haru, mis kestab 8 nädalat. Järgmine Chrome 119 väljalase on planeeritud 31. oktoobriks.

Peamised muudatused Chrome 118-s:

• On alustatud ettevalmistusi kolmandate osapoolte küpsiste toetuse lõpetamiseks Chrome'is, mis on määratud veebisaitidele, erinevatele domeenidele kui praeguse lehe domeen. Selliseid küpsiseid kasutatakse kasutaja liikumise jälgimiseks veebisaitide vahel reklaamivõrkude, sotsiaalmeedia vidinate ja veebianalüüsi süsteemide koodis. Muudatused on osa Privacy Sandbox algatusest, mille eesmärk on saavutada tasakaal kasutajate privaatsuse säilitamise vajaduse ja reklaamivõrkude ning veebisaitide soovi jälgida külastajate eelistusi vahel.

  Chrome 118-s on veebiarendajate tööriistades lisatud teatis kolmandate osapoolte küpsiste saatmisel, mis langevad tulevaste blokeeringute alla. Samuti on lisatud käsurea suvand „—test-third-party-cookie-phaseout“ ja seadistus „chrome://flags/#test-third-party-cookie-phaseout“ blokeerimise sundimiseks testimise eesmärgil. Kolmandate osapoolte küpsiste tegelik blokeerimine algab 2024. aasta esimese kvartali jooksul ning katseperioodi jooksul katab see vaid 1% Chrome'i kasutajatest. Pärast 2024. aasta kolmandat kvartalit laieneb blokeerimine 100%-ni.

  Jälgivate küpsiste asemel soovitatakse kasutada järgmisi API-sid:

  • FedCM (Federated Credential Management), mis võimaldab luua ühendatud autentimisteenuseid, mis tagavad privaatsuse ja töötavad ilma kolmandate osapoolte küpsisteta.
  • Privaatse olekute tokenid võimaldavad eristada erinevaid kasutajaid ilma veebiväliste identifikaatorite kasutamiseta ning edastada kasutaja autentimise kohta teavet erinevates kontekstides.
  • Teemad (kriitika) võimaldavad määratleda kasutaja huvikategooriaid, mida saab kasutada sarnaste huvidega kasutajagruppide eristamiseks ilma konkreetsete kasutajate tuvastamata jälgivate küpsiste abil. Huvid arvutatakse kasutaja brauseri aktiivsuse põhjal ja salvestatakse kasutaja seadmesse. API Teemasid kaudu võib reklaamivõrk saada üldkontrolli individuaalsete huvide üle ilma konkreetse kasutaja aktiivsuse kohta teavet omamata.
  • Kaitstud publik, lahendab taastargeteerimise ja oma sihtrühma hindamise ülesandeid (töötamine kasutajatega, kes on varem juba veebisaiti külastanud).
  • Atributsiooniraporteerimine, võimaldab hinnata reklaami efektiivsuse selliseid omadusi nagu klikkimised ja konversioon (ost veebisaidilt pärast külastust).
  • Salvestusjuurdepääsu API võib kasutada kasutajalt küpsiste salvestamise juurdepääsu lubamise taotlemiseks, kui kolmandate osapoolte küpsised on vaikimisi blokeeritud.
• Kõigil kasutajatel on sisse lülitatud ECH (Encrypted Client Hello) toe mehhanism, mis jätkab ESNI (Encrypted Server Name Indication) arendamist ja mida kasutatakse TLS-seansside parameetrite, nagu taotletud domeeninime, teabe krüpteerimiseks. ECH peamine erinevus ESNI-st on see, et ECH-is krüpteeritakse kogu TLS-sõnum ClientHello tasemel, mitte üksikute väljade tasemel, mis võimaldab blokeerida lekked väljade osas, mida ESNI ei kata, näiteks PSK (eelnevalt jagatud võti) väli. ECH aktiveerimise haldamiseks on ette nähtud seadistus "chrome://flags#encrypted-client-hello".
• Laienenud brauserikaitse (Safe Browsing > Enhanced protection) aktiveerimise korral on võimalik eemalt keelata pahatahtlikud lisandmoodulid, mis ei ole installitud ametlikust lisandmoodulite kataloogist. Eemaldamise otsus tehakse Google'i serverites käsitsi kontrolli põhjal või automaatse pahavara avastamise süsteemi aktiveerimise järel.
• Standardsed brauserikaitsed (Safe Browsing > Standard protection) aktiivsete URL-ide turvalisuse kontrolle viiakse ellu reaalajas, edastades neid. serverid Google'i osalistatud hash'idest avatud URL-idelt. Vastete vältimiseks IP-aadressid kasutaja ja hash, edastatakse andmed vaheproksi kaudu. Varem toimus kontroll kohaliku koopiana ebaturvaliste URL-ide loendi laadimise kaudu kasutaja süsteemi. Uus skeem võimaldab kiiremini kahjulikke URL-e blokeerida.
• Parandatud lehekülgede kujundus, mis kuvatakse, kui proovida avada veebisaiti, mis on kontrollimise käigus tunnustatud ebaturvalisena Safe Browsing süsteemi kaudu.
• Telemetry, mis saadetakse Google'i serveritesse, kui on aktiveeritud brauseri täiustatud kaitse (Safe Browsing > Enhanced protection), arvestab nüüd laiendite pöördumisi API chrome.tabs poole. Andmeid kogutakse kahjuliku tegevuse ja reeglite rikkumiste tuvastamiseks laiendites.
• Kui brauseri täiustatud kaitse (Safe Browsing > Enhanced protection) on sisse lülitatud, on tagatud sügava skaneerimise tugi krüpteeritud ZIP- ja RAR-arhiveid Google'i poolel (kasutajalt küsitakse dekompressiooni parooli, seejärel saadetakse sisu Google'i serveritesse kontrollimiseks).
• Konfiguratsiooni ja privaatsuse tagamise juhendis on lisatud uus tekst, mis selgitab Safe Browsing kaitse tasemeid ja on lisatud lingid vastavatesse artiklitesse, kus on rohkem teavet. Lihtsustatud on standardse kaitse, kaitse väljalülitamise ja paroolide kompromiteerimise hoiatused.
• Uue vahelehe lehe Quests sektsiooni (hindade jälgimine veebipoodides) on lisatud teave allahindluste kohta. Allahindluste indikaator võib samuti ilmuda aadressiribal, kui avatakse tooteid veebipoodidest, mida Google'i teenus jälgib.
• Vastavalt spesifikatsioonile RFC-6265bis on tagatud kõigi küpsiste blokeerimine, mis sisaldavad juhtmärke ja on seatud läbi JavaScripti. Varem kärbiti nullisümbolite, tagasikutsumise ja reavahetusmärkidega küpsiseid probleemsete sümbolite kohaselt, mitte ei blokeeritud, mis mõnes olukorras võis olla kahjulike toimingute jaoks kasutatav. Uue käitumise keelamiseks saab kasutada valikut "—disable-features=BlockTruncatedCookies".
• Registreeritud laiendites on Service Worker'itele lubatud pöördumine API WebUSB poole.
• Eelneva aktiveerimise vajadus, et kasutaja saaks lubada dialoogide kuvamist maksete küsimiseks ja kinnitamiseks, on eemaldatud.
• ASCII-märkide esitamise dekodeerimine koodidena "%xx" on lõpetatud. Näiteks varem dekodeeriti "http://example.com/" enne url.href-sse kirjutamist "http://example.com/A"-ks, aga nüüd jääb see "http://example.com/".
• Lisatud on võimalus paigutada tekst vertikaalselt web-vormide elementides nagu select, meter, progress, button, textarea ja input. Vormide tekstipositioneerimine toimub CSS-omandi writing-mode abil, mille vertikaalse kuvamise korral võivad väärtused olla vertical-rl või vertical-lr.
• CSS-eesmärgi „appearance” raames on lõpetatud mitte-standardsete võtmesõnade toetus: inner-spin-button, media-slider, media-sliderthumb, media-volume-slider, media-volume-sliderthumb, push-button, searchfield-cancel-button, slider-horizontal, sliderthumb-horizontal, sliderthumb-vertical ja square-button. Nende mitte-spetsifikatsioonis olevate võtmesõnade populaarsuse uurimiseks on kogutud statistika, mille kohaselt neid kasutati vaid 0,001% juhtumistest.
• Lisatud on CSS-reegel @scope, mis seob CSS-stiilid elementide määratlemise läheduse järgi. Reeglit @scope saab kasutada, et mööda minna stiilide tavalist paigutust elementide järjekorra põhjal või komponentide stiili kohandamiseks, mõjutamata selle sees olevaid elemente. Näiteks, seotud divide puhul: <div class="»lightpink-theme»"> <a href="/et/»/#»">Ma olen kerge roosa!</a> <div class="»pink-theme»"> <a href="/et/»/#»">Erinev roosa!</a> </div> </div> kogu sisu värvitakse kerge roosa tõttu, mis mõjutab kogu stiiliblocki «lightpink-theme», mis on määratud ülemises div-is. Kasutades @scope'i, on võimalik muuta nähtavust ja saavutada selle, et seotud div-i stiil «pink-theme» määratakse stiili määratlemise läheduse põhjal, mitte kodeerimise järjekorra põhjal: @scope (.pink-theme) { a { color: hotpink; } } @scope (.lightpink-theme){ a { color: lightpink; } }
• Lisatud on meedia päringute toetus (@media) „scripting”, mis võimaldab kontrollida skriptide täitmise võimaluse kättesaadavust (näiteks, CSS-is saab määrata, kas JavaScripti tugi on sisse lülitatud).
• Lisatud on meedia päringute toetus prefers-reduced-transparency, mis võimaldab tuvastada muudatusi süsteemi seadetest, mis vastutavad läbipaistvuse või poolläbipaistvuse efekti rakendamise vähendamise eest (näiteks, „Reduce transparency” režiim macOS-is, mida kasutatakse teksti loetavuse parandamiseks).
• CSS-is on lisatud uued väärtused „float: inline-start”, „float: inline-end”, „clear: inline-start”, „clear: inline-end”, „resize: block”, „resize: inline”, mis reguleerivad elementide loogilist positsioneerimist (keelte toetamiseks, kus kirjutamine toimub mitte ülevalt alla ja vasakult paremale, kasutatakse loogilises positsioneerimises mõisted algus, lõpp ja suund).
• CSS-eesmärgi „transform-box” raames on lisatud toetust väärtustele stroke-box, content-box ja border-box, mis võimaldavad muuta viisi, kuidas arvutatakse referentsala transformatsiooni operatsioonide jaoks, näiteks laienenud graafiliste efektide rakendamiseks.
• Lisatud on võimalus fookuse seadmiseks kerimise plokkidele, kui navigeeritakse klaviatuuriga (näiteks, fookus kerimisele saab seadistada, vajutades Tab klahvi ning kerida nooleklahvidega).
• Web-arenduse tööriistadele on tehtud täiustusi. Sources paneelis on laiendatud võimalusi, kus 'Filesystem' sektsiooni asemel pakutakse 'Workspace' vahekaarti, mille kaudu saab synchroniseerida arendustööriistade kaudu tehtud muudatusi algfailidega.

  On antud võimalus vahekaartide järjestuse muutmiseks Sources paneelis, lohistades neid hiirega drag&drop režiimis. JavaScripti koodi, mis on sisestatud script elementidesse tüüpidena module, importmap ja speculationrules, on vormindatud. Syntax highlight on lisatud importmap ja speculationrules tüüpi skriptidele.

  

  Elements paneelis, Styles vahekaardil on lisatud eraldi sektsioon kasutaja omaduste jaoks, mis võimaldab määratleda oma CSS omadusi ilma JavaScripti vajaduseta. Otsingutulemustes näidatakse kõiki vasteid read, mitte ainult esimest, mis on mugav JavaScripti failide otsimisel, mis on pakitud suuruse vähendamiseks (otsingu tulemusele klikates avatakse fail redigeerijates ning keritakse vertikaalselt ja horisontaalselt, et näidata leidmist).

  

Uues versioonis on lisaks uuendustele ja veaparandustele kõrvaldatud 20 haavatavust. Paljusid haavatavusi tuvastati automatiseeritud testimise kaudu, kasutades tööriistu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Uues väljaandes kõrvaldatakse muuhulgas kriitiline haavatavus CVE-2023-5218, mis on seotud mälu juurde pääsemisega pärast selle vabastamist (Use after free) saidi isolatsioonimehhanismis. Haavatavus võimaldab läbida kõik brauseri kaitseastmed ja käivitada koodi süsteemis väljaspool sandbox-iga keskkonda. Haavatavuste avastamise preemiasüsteemi raames maksis Google praeguse väljaande puhul välja 14 preemiat summas 30,5 tuhat USA dollarit (üks preemia $6000, kaks preemiat $5000, kaks preemiat $3000, üks preemia $2000, kuus preemiat $1000 ja üks preemia $500). Ühe preemia suurust ei ole veel määratud.

Allikas: opennet.ru