Web-brauser Chrome 127 väljaanne

Ettevõte Google avaldas web-brauseri Chrome 127. Samal ajal on saadaval stabiilne väljaanne avatud projekti Chromium, mis on Chrome'i aluseks. Brauser Chrome erineb Chromiumist Google'i logode kasutamise, krahhi korral teavitussüsteemi, kopikaitsega videoinfosüsteemide (DRM) moodulite, automaatsete värskenduste installimise süsteemi, pideva Sandbox-isolatsiooni ja Google'i API võtmete tarnimise poolest, samuti RLZ-parameetrite edastamise osas otsingu ajal. Nende jaoks, kes vajavad rohkem aega värskendamiseks, toetatakse eraldi Extended Stable haru, mis on kaasas 8 nädalaga. Järgmine Chrome 128 väljaanne on plaanitud 20. augustiks.

Peamised muudatused Chrome 127-s:

• Inkognito-režiimis on vaikimisi aktiveeritud funktsioon "HTTPS-First", mis suunab automaatselt HTTP-päringud HTTPS-ile. Tagamaks, et saidid, mis ei toeta HTTPS-i, töötaksid, on rakendatud tagasipöördumine HTTP-le, kui HTTPS-i kaudu päringute edastamine ei õnnestu või esineb sertifikaatide probleemidega. HTTP kaudu saidi avamise katse korral kuvatakse eriline hoiatus.
• Käivitatud on otsus lõpetada usaldus Entrusti sertifitseerimiskeskuse suhtes, kuna mitmed rikkumised sertifitseerimiskeskuste nõuete osas, sealhulgas probleemsertifikaatide haldamise hilinemine, sertifikaatide tagasivõtmise viibimine, ebakorrektsed sündmustearuanded ja reeglitele mittevastav sertifikaatide andmine. TLS-sertifikaatide EV-taseme (Extended Validation) sertifikaate, mis nõuavad domeeni kuuluvuse dokumentide kontrollimist ja ressursi omaniku kinnitamist, ei ole probleeme lahendatud. Seoses tuvastatud puuduste kõrvaldamise puudumisega, TLS-sertifikaadid, mis on väljastatud Entrustilt pärast 31. oktoobrit 2024, tajutakse Chrome'is kui usaldusväärsed. Sertifikaadid, mis on väljastatud enne 31. oktoobrit, jätkavad käitumist nagu tavaliselt.
• Alustati protsess teise versiooni Chrome'i manifeste, mis määratleb laienduste jaoks kättesaadavad võimalused ja ressursid, toetamise järkjärgulist lõpetamist. Teise versiooni manifeste kasutavaid laiendusi keelatakse praegu ainult Testversioonide Chrome'i kasutajate seas (mitte avalikes versioonides). Kolmanda versiooni manifeste migratsioon plaanitakse täielikult lõpetada kuni juuni 2025.
• Kuna on sisse lülitatud täiustatud veebibrauseri kaitse (Safe Browsing > Enhanced protection), on käivitatud saatmine serverid Google'ile täiendavat telemeetriat külastatud lehtede kohta, kui nendel lehtedel kasutatakse API-sid vibratsiooni (Vibration) algatamiseks või hiire (PointerLock) ja klaviatuuri (Keyboard) täielikuks juhtimiseks. Kui avatud leht on mustas nimekirjas, kuvatakse kasutajale vastav hoiatus ning märgitud API-de tegevus keelatakse.
• Kokkuvõtted on tehtud failide üleslaadimise kontrollimise moderniseerimise tööst täiustatud veebibrauseri kaitse režiimis (Safe Browsing > Enhanced protection), kus on lubatud täitmismoodulite ja kahtlaste arhiivide saatmine Google'i serveritesse viiruste ja pahavara tuvastamiseks. Krüpteeritud arhiivide (.zip, .7z ja .rar) turvalisuse kontrollimiseks küsib brauser kasutajalt parooli arhiivi dešifreerimiseks. Kasutaja võib kontrollimisest loobuda või sisestada parooli, pärast mida brauser saadab faili parooliga Google'i serveritesse kontrollimiseks. Tavas (mitte täiustatud) Safe Browsing režiimis kuvatakse samuti parooli küsimine, kuid selle asemel, et arhivi sisu Google'i serveritesse kontrollimiseks saata, saadetakse ainult metaandmed ja hashes arhiivis olevate failide kohta. On rakendatud selgemad hoiatused ohtlike failide allalaadimise kohta, mis kuvatakse mitte alumises paneelis, vaid ülemise paneeli all.
• On pakutud Private Network Access spetsiifikatsiooni esialgne rakendus, mis piirab võimalust laadida ressursse avalikult kättesaadavast veebisaidist, mis viitavad sisemistele võrkudele (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 jne). Selliste ressursside laadimine on nüüd lubatud ainult turvalises kontekstis (HTTPS kaudu) avatud lehtede puhul. Edaspidi on plaanis täielikult piirata kontrollimatut juurdepääsu sisemistele intraneti alamvõrkudele lehtedelt, mis avatakse avalikest veebisaitidest, kuna selliseid päringuid kasutavad kurjategijad CSRF-rünnakute elluviimiseks ruuteritele, pääsupunktidele, printeritele, ettevõtte veebiliidesele ja muudele seadmetele ja teenustele, mis aktsepteerivad päringuid ainult kohalikust võrgust. Blokeerimise katsetused algasid juba 2022. aastal Chrome 98 seadmes, kuid tuvastatud probleemide tõttu lükati blokeerimine edasi.
• «Origin trials» režiimis on rakendatud katseperioodi blokeerimine IP-le 0.0.0.0, kuna seda IP-d võib kasutada blokeerimise ületamiseks IP-le 127.0.0.1 (localhost) Linuxi ja macOS platvormidel.
• Androidi versioonis on lihtsustatud liidest Google'i konto sidumiseks ja andmete, nagu salvestatud paroolide ja järjehoidjate, sünkroonimiseks. Sünkroniseerimine on nüüd integreeritud kontole sisenemisega ja ei esitata eraldi võimalusena seadetes.
• Androidi versioonis on uuendatud paroolihalduse liidest. Kasutajatele, kes on oma Google'i kontoga sisse loginud, kuid ei ole sünkroniseerimist aktiveerinud, on antud võimalus salvestada ja kasutada paroole, mis on seotud Google'i kontoga.
• Lisatud on seadistus „Automaatne täisekraanitöö režiim“ (Automatic Fullscreen, chrome://settings/content/automaticFullScreen), mis võimaldab saitidel automaatselt aktiveerida täisekraani režiimi meetodi Element.requestFullscreen() abil ilma kasutaja kinnitust küsimata, samuti võimaldab see brauseri dialoogide kuvamise ilma täisekraani režiimist lahkumata. Vaikimisi on seadistus keelatud ja seda saab aktiveerida muudele saitidele ja veebirakendustele. Koos API Window Management'i ja hüpikakna seadetega (chrome://settings/content/popups) lihtsustab uus funktsioon selliste võimaluste kasutamist nagu hüpikakna avamine täisekraanil teises monitoris, täisekraanilise sisu kuvamine kõigil ekraanidel või lisamonitoril ning täisekraanilise sisu vahetamine ühe ekraanilt teisele.
• Lisatud on CSS-i omadus font-size-adjust, mis võimaldab muuta väike- ja suurtähtede suurust suurtähtede, mis on määratud omadusega „font-size“, suuruse suhtes, mis võib olla kasulik näiteks olukordades, kus alternatiivne fonte pere on kasutusele võetud peamise puudumisel, et hoida tekstide loetavuse taset. Erineva väikeste tähtede ja fondi suuruse suhtega fondide puhul on tähtede suurused oluliselt erinevad, mis võib näiteks muuta teksti halvasti loetavaks, kui fond Verdana asendatakse Timesiga.
• ServiceWorkerite staatilise marsruutimise API-s (Service Worker Static Routing), mis võimaldab määrata, kuidas teatud ressursse laadida, ja keelata ServiceWorkerite kutsumise ressursside jaoks, mida saab vahemälu kaudu kätte saada või otse laadida, on lisatud loogilise operatsiooni „not“ rakendamise võimalus, et pöörata ümber päringute sobivuse tingimusi.
• Tagatud on aktiveerimise sündmuste edastamine, mis on välja töötatud kasutaja interaktsiooniga sisu aknas, mis on avatud „pilt pildis“ režiimis (picture-in-picture), vanemale aknale. Muudatus võimaldab põhilehelt, kust „pilt pildis“ aken avati, kasutada API-d User Activation (navigator.userActivation), et määrata, kas kasutaja suhtles selle aknaga (näiteks on võimalik teada saada, kas kasutaja klõpsas hiirega „pilt pildis“ aknas või on leht lihtsalt laaditud ja jääb puutumatuks).
• Web-arenduse tööriistadele on tehtud täiustusi. CSS-stiilide vaatamisel on lisatud lingid dokumenti vastavatesse kohtadesse, millega on seotud CSS-omadused, mis reguleerivad elementide kuvamist, mille seotus on seotud teiste elementide asukohtadega (CSS Anchor Positioning). HTML-koodi vaatamisel on lingid, millele osutab atribuut "popovertarget". Võrkude tegevuse inspektsioonipaneelis on uus kiirussimulatsiooni eelseadistus "Fast 4G" (eelseadistus "Fast 3G" on saanud nime "Slow 4G" ja "Slow 3G" on nimetatud "3G"). Tulemusanalüüsi paneelis, jälgides tegevusi, on säilitamiseks näidatud teavet WebSocketi kaudu saadetud ja vastuvõetud sõnumite kohta.

Uues versioonis on lisaks uuendustele ja veaparandustele kõrvaldatud 24 haavatavust. Palju haavatavusi on tuvastatud automatiseeritud testimise käigus tööriistadega AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. 5 probleemile on antud kõrge ohtlikkuse tase. Kriitilisi probleeme, mis lubavad mööda minna kõigist brauseri kaitsetasemetest ja käivitada süsteemis koodi väljaspool sandbox-keskkonda, ei ole tuvastatud. Haavatavuste avastamise rahalise preemia programmi raames on Google käesoleva väljaande eest maksnud 16 preemiat kokku 47.5 tuhat USA dollarit (üks preemia summas $11000, $5000, $3000 ja $500, kaks preemiat summas $8000, kolm preemiat summas $2000). 6 preemia suurus on hetkel määramata.

Allikas: opennet.ru