Webibrauseri Chrome 135 väljaanne

Google'i ettevõte avaldas web-brauseri Chrome 135 väljaande. Samal ajal on saadaval stabiliseeritud väljaanne avatud projekti Chromium, mis on Chrome'i aluseks. Chrome'i brauser erineb Chromiumist Google'i logo kasutamise, kokkuvarisemise korral teadete saatmise süsteemi, kopeerimise kaitsmise video sisu (DRM) esitamise moodulite, automaatsete värskenduste installimise süsteemi, alati aktiveeritud Sandbox-isolatsiooni, võtmete kohaletoimetamise Google API-le ja RLZ-parameetride edastamise kaudu otsingute ajal. Need, kellele on vajalik rohkem aega värskendamiseks, saavad kasutada eraldi Extended Stable haru, mis on toetatud 8 nädala jooksul. Järgmist Chrome'i väljaannet on kavandatud 29. aprilliks.

Peamised muutused Chrome 135-s:

• Lisatud kaitse kasutajate varjatud tuvastamise eest HSTS kihi (HTTP Range Transport Security) kaudu. HSTS võimaldab veebilehtedel suunata kasutaja HTTP kaudu sisenedes HTTPS-ile. Töö käigus salvestatakse HSTS-ga määratud hostinimi sisemisse vahemäelementi, mis võimaldab kasutada hosti kohaloleku või puudumise vahemälus ühe bitise teabe hoidmiseks.

  32-bitise kasutaja identifikaatori varjatud hoidmiseks võidakse kasutada 32 pildi massiivi, mis edastatakse erinevatelt hostidelt HTTP kaudu (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg jne). Identifikaatori määramine toimub kontrollimise kaudu, millistelt hostidelt pildid laaditi HTTPS kaudu, ja millistelt HTTP kaudu (kui pildid edastati varem HTTP kaudu ja HSTS-i abil suunati HTTPS-ile, siis järgmiste päringute korral laaditakse need kohe HTTPS kaudu, vältides HTTP kontakteerumist). Kaitse on piirdunud HSTS värskendamise lubamisega ainult ülemise taseme ressursside jaoks ja HSTS värskendamise blokeerimisega alamressursside päringutes.
• Lisatud paigaldatud masinõppe mudel, et parandada paroolivormide tuvastamist lehtedel ja automaatset parooli vahetamist. Kui parool on tuvastatud kui kompromiteeritud, kuvab Chrome sisselogimisel selle parooliga saidile hoiatuse, pakudes parooli vahetada. Nõustumisel genereerib brauser eosmootoriga vastupidava parooli, vahetab saidil parooli ja salvestab uue parooli paroolihaldurisse — AI täidab ja saadab vajalikud veebivormid vajalikul saidil ning uuendab salvestatud parooli.
• Brauseri laiendatud kaitse režiimis (Safe Browsing > Enhanced protection) on lisatud võimalus kasutada suurt keelemudelit petlikke lehti nende sisu põhjal tuvastamiseks. AI mudel töötab kliendi seadmes, kuid kahtlaste sisu leidmise korral toimib täiendav kontroll. serverites Google. Kui täiendav kontroll kinnitatakse, kuvatakse kasutajale hoiatusteade. Kontroll tehakse praegu ainult lehtede puhul, mis kasutavad API Keyboard Lock.
• Kasutajatele, kes on Chrome'i oma Google'i kontoga sidunud, on antud võimalus salvestada installitavad lisandmoodulid oma Google'i kontole, et neid automaatselt kasutada kõikidel arvutitel, mida kasutaja kasutab.
• Google'i kontoga hiljuti seotud või Chrome Sync'i kasutavad kasutajad saavad sünkroniseeritud seadeid, veebisaidi otseteeid ja teemasid hoida eraldi kohandatud seadetest. Seega, kui Chrome Sync seadmes välja lülitada, jäävad algseaded alles ning Google'i ühendamisel ei laadita kohandatud seadeid.
• Androidi versioonis on lõpetatud sisseehitatud paroolihalduse toetamine, mille on asendanud ühtne Google Password Manager, mis tarnitakse läbi Google Play. Kasutajad saavad salvestada vana paroolihalduri sisu CSV-formaadis, et edastada see teistesse paroolihalduritesse.
• Inkognito režiimis on rakendatud välja lülitamatu kolmanda osapoole Cookie'de blokeerimine, mis pannakse paika, kui külastatakse lehti, mis ei ole. domeen praegune leht (selliseid Cookie'sid kasutatakse kasutaja liikumise jälgimiseks lehtede vahel reklaamivõrkude, sotsiaalmeedia vidinate ja veebianalüütika süsteemide koodis). Kolmanda osapoole Cookie'de blokeerimise haldamise võimalus lehepoolt jääb muutumatuks, kuid brauseris ei saa inkognito režiimis seadet BlockThirdPartyCookies seada väärtusele false.
• CSS-sse on lisatud pseudoelemendid '::column', '::scroll-button', '::scroll-marker' ja '::scroll-marker-group', mille abil saab rakendada kerimist karusselli kujul.
• Teostatud on HTML-atribuutid «command» ja «commandfor», mida saab kasutada nuppudes asemel atribuutide «popovertargetaction» ja «popovertarget» jaoks, et deklareerida suhtlemist menüüga, mis käivitatakse nupu vajutamisel. Uute atribuutide kasutamisel võtab kogu menüüga suhtlemise loogika enda kanda veebibrauser, ilma et oleks vaja kasutada oma JavaScripti töötlejat. Näiteks rippmenüü loomiseks piisab, kui näidata: <button commandfor="»my-menu»" command="»show-popover»">Ava menüü</button> <div popover id="»my-menu»"> … </div>
• CSS-i on lisatud funktsioon shape(), mis võimaldab kujundeid luua, kasutades CSS-i atribuute clip-path ja offset-path. Funktsioon shape() toetab kujundite loomise käske, mis on ekvivalentse funktsioonile path(), kuid võimaldab kasutada nende jaoks standardset CSS-süntaksit.
• Web Speech API-s, mis pakub kõne sünteesi ja tuvastamise funktsioone, on lisatud MediaStreamTrack liidese tugi, et töötleda helisid, mis tulevad erinevatest allikatest, sealhulgas väliseid heliradu. Varasemalt suutis Web Speech API töödelda ainult heli, mis tuli valitud vaikimisi mikrofoni kaudu.
• JavaScriptis on lisatud toetust tüübitud massiividele Float16Array, mis on mõeldud Float16 tüüpi väärtuste salvestamiseks.
• Lisatud on Observable API sündmuste voogude töötlemiseks asünkroonselt. API võimaldab tellida objekti, et saada sündmusi nende saabumise ajal, ja deklareerivalt kirjeldada voogu transformatsioone, mis rakendatakse saabuvatele sündmustele.
• Eemaldatud on meetod navigator.xr.supportsSession, mis kuulutati varem aegunuks. Selle asemel tuleks kasutada meetodit navigator.xr.isSessionSupported, mis on esitatud WebXR spetsifikatsioonis.
• Eemaldatud on seaded InsecurePrivateNetworkRequestsAllowedForUrls ja InsecurePrivateNetworkRequestsAllowed, mis olid kasutusel PNA 1.0 (Private Network Access) mehhanismi lubamiseks, mis piirab avalikult ligipääsetava saidi ressursside laadimist, viidates sisemistele võrkudele (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 jne). Sellist tegevust kasutavad kurjategijad CSRF-rünnakute läbiviimiseks ruuteri, juurdepääsupunktide, printerite, ettevõtte veebiliideste ja muude seadmete ja teenuste suhtes, mis aktsepteerivad päringuid ainult kohalikust võrgust.

  PNA 1.0 kasutuselevõtt oli mõnedel seadmetel soovitatav mitteaktiivne. PNA 1.0-le on välja töötatud PNA 2.0 spetsifikatsioon, mille toetamine ei nõua seadmete küljel muudatusi, vaid piisab muudatustest nende veebisaitide küljel, mis vajavad juurdepääsu intranet-resurssidele. PNA 1.0 ja PNA 2.0 ei ole omavahel ühilduvad, seega plaanib Google esmalt PNA 1.0 toe eemaldada enne PNA 2.0 rakendamist.

• Eemaldatud on võimalus taastada vananenud MutationEvent API tugi ja sellega seotud sünkroonselt töödeldavad sündmused DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument ja DOMCharacterDataModified. Seda liidest kasutati DOM-puule tehtud muudatuste jälgimiseks, kuid see mõjutas negatiivselt lehtede jõudlust ja takistas uute võimaluste rakendamist. Antud API oli välja lülitatud vaikimisi eelmisel suvel, kuid Chromes säilis võimalus MutationEventsEnabled toe taastamiseks. Alternatiivina soovitatakse kasutada API-d Mutation Observer.
• Veebiarenduse tööriistade võimalusi on laiendatud jõudluse analüüsi vahendites.

Lisaks uuendustele ja vigade parandamisele on uues versioonis eemaldatud 14 turvaprobleemi. Paljusid neist avastati automatiseeritud testimise tööriistade, nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL, abil. Kriitilisi probleeme, mis võimaldaksid mööda minna kõigist brauseri kaitsekihist ning käivitada koodi süsteemis väljaspool sandbox'i keskkonda, ei tuvastatud. Praeguse väljaande haavatavuse avastamise auhindade programmi raames maksis Google välja 8 auhinda kokku 17 000 USA dollarit, sealhulgas üks auhind $10 000 ja kaks auhinda $2 000, $1 000 ja $500.

Allikas: opennet.ru