Chrome 145 väljaanne

Google on avaldanud veebibrauseri Chrome 145. Samal ajal on saadaval ka stabiilne versioon vabast projektist Chromium, mis on Chrome'i alus. Brauser Chrome erineb Chromiumist Google'i logode, kokkuvarisemisel teavitamise süsteemi, kopeerimise kaitsega videosisu esitamise moodulite (DRM), automaatsete uuenduste installimise süsteemi, pideva Sandbox-isolatsiooni kasutamise, Google API võtmete tarnimise ja RLZ-parameetrite edastamise poolest otsingu käigus. Neile, kes vajavad uuendamiseks rohkem aega, toetatakse eraldi Extended Stable haru, mis kestab 8 nädalat. Järgmine Chrome 146 väljaanne on planeeritud 10. märtsiks.

Chrome 145 peamised muudatused:

• Lisatud JPEG XL pildiformaadi tugi, mille dekodeerimiseks kasutatakse jxl-rs teeki, mis rakendab JPEG-XL keeles Rust. JPEG XL tugi on vaikimisi välja lülitatud ja nõuab seadistuse „chrome://flags/#enable-jxl-image-format” aktiveerimist.
• AI-režiimi arengut on jätkatud, mis võimaldab suhelda AI-agendiga aadressiribal või uue vahekaardi avamisel kuvataval lehelt. AI-režiim võimaldab esitada keerulisi küsimusi loomulikus keeles ja saada vastuseid, mis põhinevad teabe kogumisel kõige asjakohasemate lehtede hulgast antud teema kohta. Vajadusel saab kasutaja teavet täpsustavate küsimustega täpsustada. Režiim võimaldab ka esitada küsimusi lehe sisu kohta otse aadressiribal. Chrome 145 AI-režiim on saadaval Androidi ja iOS-i versioonides. Kanadast, Indiast ja Uus-Meremaa kasutajatele on alganud inglise keele kasutamise puhul chat-boti Gemini automaatne aktiveerimine.
• Lisatud on DBSC (Device Bound Session Credentials) mehhanism, mis võimaldab autentimisseansi seondamist kindla seadmega, et keerukamaks teha rünnakute sooritamine teistest süsteemidest, kasutades püüdnud sessiooniküpsiseid. Seadmise seanss võimaldab kasutada HTTP-pealkirja "Secure-Session-Registration". Kaitsemise meetod seisneb paarikaupa krüptograafiliste võtmete andmises, mis on seotud praeguse seadmega, genereeritud ühendamisel ja salvestatud TPM-is (Trusted Platform Module). Seansis kasutatakse küpsiseid, millel on lühike eluiga ja mida uuendatakse perioodiliselt, kasutades privaatvõtit ning mida saab kontrollida avaliku võtmega.
• Eemaldatud on parameeter, mis võimaldas sundida tööle brauseri laienduste blokeerimist, kus on tuvastatud ebaolulised rikkumised Chrome Web Store'i katalooge. Ebaoluliste rikkumite alla kuuluvad potentsiaalsete haavatavuste olemasolu, laienduse määramine kasutaja teadmata, metaandmete manipuleerimine, kasutajate andmetega töötamise reeglite rikkumine ja eksitava info andmine funktsionaalsuse kohta.
• Androidi versioonis on kõrge kaitse režiimi (AAPM, Android Advanced Protection Mode) aktiveerimisel keelatud Javascript API WebGPU. Veebilehed, mis kasutavad WebGPU 3D-sisu renderdamiseks (näiteks Google Maps), saavad kasutada aeglasemaid alternatiive, nagu WebGL (5.78% aeglasemates testides). WebGPU keelamise määramiseks saab kasutada vara navigator.gpu.
• Androidi versioonis on brauseri kõrge kaitse režiimi (Enhanced Safe Browsing) aktiveerimisel rakendatud lehekülgede välimuse kohalik analüüs pettuse tunnuste tuvastamiseks. Kui kohalik kontroll tuvastab kahtlusi kahtlasest sisust, toimub lisakontroll Google’i serverites ja vajadusel kuvatakse kasutajale hoiatusele.
• Lisatud on API Origin, mis pakkuda Origin objekti, realiseerides Web Origini mõistet ning pakkudes meetodeid Web Origini võrdlemiseks, serialiseerimiseks ja parsimiseks. Termin "Web Origin" on määratletud RFC 6454, et eristada isolatsiooni ja usaldusväärsuse piire sisu suhtes. Web Origin katab URL-i osa, mis sisaldab protokolli nime, hosti nime ja sadama numbrit (nt https://opennet.ru). Uus API on sisse viidud Web Origini toimingute ühtlustamiseks, et vältida haavatavusi vale serialiseeritud ASCII-esituste võrdlemise tõttu Web Originis, kui määratakse ressursside kuuluvus ühele saidile.
• Kohaliku süsteemi juurdepääsuõigused on eraldatud avalike saitidega suhtlemisel. Saidi pöördumised IP-aadresside kohaliku võrgu (intranet või siseaadressid) ja loopback-liidese (127.0.0.0/8) puhul töödeldakse nüüd erinevate volitustega (local-network ja loopback-network), mis nõuavad kasutajalt toimingu kinnitamist spetsiaalses dialoogis. Kaitsemeetmete alla kuuluvad ressursi laadimise katsed, fetch() päringud ja iframe-sisestused. Pöördumine sise-resursside poole kasutatakse kurjategijate poolt CSRF-rünnakute läbiviimiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliidestele ja teistele seadmetele ja teenustele, mis aktsepteerivad päringuid ainult kohalikust võrgust. Lisaks võib sise-resursside skannimine olla kaasatud kaudse identifitseerimise või kohaliku võrgu teabe kogumise eesmärgil.
• Eemaldatud on seade UserAgentReduction, mis lubas edastada HTTP-pealkirjas ja JavaScripti parameetrites navigator.userAgent, navigator.appVersion ja navigator.platform täiendavaid andmeid. Brauser edastab nüüd alati lühendatud User-Agent variandi ilma detailse teabeta platvormi kohta (nt "Android 16; S" asemel "Android 16; SM-A205U").
• Sisseehitatud PDF-vaaturisse on lisatud võimalus salvestada dokument Google Drive'i pilve. Google Drive'is salvestatakse Chrome'ist dokumendid kausta "Saved from Chrome".
• API LayoutShift, mis võimaldab jälgida DOM-elementide positsiooni muutust ekraanil, on muudetud teabe edastamiseks CSS-pikslites, mitte ekraanipikslites. CSS-piksel arvestab ekraani DPI-d ja on visuaalselt ühesugune kõigil ekraanidel, sealhulgas kõrge pikslitihedusega monitoridel. Muudatus on tehtud Chrome'i käitumise ühtlustamiseks teiste brauseritega.
• API Controlled Frame'ile on rakendatud meetod WebRequest.SecurityInfo, mis võimaldab veebi rakendusel jäädvustada HTTPS-, WSS- või WebTransport-i päringu serverisse ning saada sertifikaadi koopia. serverilt ja kasutada seda sertifikaadi käsitsi valideerimiseks, mis kasutati otseses ühenduses sama serveriga TCP/UDP kaudu.
• Tugiteenuseid on lisatud CSS-omadustele column-wrap ja column-height, mis on määratletud CSS Multi-column Layout 2 spetsiifikas. Omadus column-wrap võimaldab veerge liikuda uuele reale, mitte horisontaalsele kerimisele, kui veerud ei mahu kõrgusse, mis on määratud column-height omadusega.
• Lisatud CSS-omadus text-justify, mis võimaldab määrata teksti joondamise tüübi, kui kasutate 'text-align: justify';
• CSS-omadustes letter-spacing ja word-spacing on lubatud määrata vahe suurust protsentides.
• JavaScripti objektides Map ja WeakMap on rakendatud 'upsert' spetsiifikatsioon, mis lihtsustab töö tegemist võtme/väärtuse paaride kogudega. Lisatud on meetodid getOrInsert ja getOrInsertComputed, mis tagastavad juba olemasoleva väärtuse, mis on seotud antud võtmega, või loovad uue kirje, kui võti puudub.
• IndexedDB API rakendamine on ümber kirjutatud, kasutades SQLite andmebaasi backendina (eelmine rakendus põhines LevelDB-l eraldi failides). Uut versiooni kasutatakse hetkel ainult mälus asuvates kontekstides, näiteks inkognito režiimis.
• Veebiarenduse tööriistadele on lisatud täiustusi. Võrgu inspekteerimise liidese 'Request conditions' paneelis on vaikimisi lubatud võimalus piirata üksikute võrgu päringute kiirus.

Lisaks uuendustele ja bugi parandustele on uues versioonis eemaldatud 11 haavatavust. Paljusid haavatavusi on tuvastatud automatiseeritud testimise tööriistade AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL kaudu. Kriitilisi probleeme, mis võimaldavad mööda minna kõigist brauseri kaitsetasemetest ja käivitada koodi süsteemis väljaspool karantiini keskkonda, ei ole tuvastatud. Haavatavuste avastamise rahalist preemiaprogrammi raames on sellel väljaandel Google välja pannud 11 preemiat ja maksnud 18,5 tuhande USA dollari suurust preemiat (üks preemia $8000, $5000, $2000 ja $500, kolm preemiat $1000). Nelja preemia suurus on veel määramata.

Allikas: opennet.ru