Chrome veebibrauseri 136. väljaanne linkide stiili isoleerimisega

Google on välja andnud Chrome veebibrauseri 136. versiooni. Samal ajal on saadaval ka stabiilne vabavaraline projekt Chromium, mis on Chrome'i aluseks. Chrome'il on Chromiummist erinevusi, sealhulgas Google'i logo kasutamine, süsteem, mis saadab teateid kokkuvarisemise korral, DRM-iga kaitstud videokontentide taasesitamiseks mõeldud moodulid, automaatne värskenduste installimise süsteem, pidev Sandbox-isolatsioon ja Google API võtmete tarnimine ning RLZ-parameetrite saatmine otsingu ajal. Need, kes vajavad värskendamiseks rohkem aega, saavad kasutada eraldi Extended Stable haru, mis kestab 8 nädalat. Järgmine Chrome'i väljalase 137 on planeeritud 27. maina.

Chrome 136 peamised muudatused:

• Lisatud kaitse varasemate külastatud lehtede teabe leketest, mis tekkis CSS-i pseudoklassi „:visited“ kasutamisest, mis võimaldab kohandada varem avatud linkide välimust. Enne Chrome'i 136. versiooni viis lingile klikkimine linkide välimuse muutumiseni kõigis saitides, mis seda linki näitasid, sõltumata sellest, kust veebisaidilt klikk tehtud oli. Ründaja sai oma veebisaidil kindlaks teha, kas kasutaja oli teda huvitavaid linke varem avanud, analüüsides nende linkide välimuse muutumist. Näiteks, kui luua linkide loend erinevatele lehtedele, siis eelnevalt külastatud lehed selles loendis on brauseris märgitud erineva värviga, mille põhjal saab järeldada, kas linke on varem avatud.

  Külastatud linkide teabe leke vältimiseks on Chrome'is rakendatud „:visited“ valija töötlemise isolatsioon, mis on seotud külastatava veebisaidiga, st elemente saab nüüd stiilida „:visited“ abil ainult siis, kui need on eelnevalt avatud praeguselt veebisaidilt ja seotud praeguse iframe'iga. Isolatsioon on rakendatud külastatud linkide stiili hashimise kaudu, kasutades võtmena kolme komponenti - linki, ülemise taseme veebisaiti ja iframe'is kasutatavat hosti.

  

  Näiteks, kui saidilt «A» toimus link, siis see link highlights ainult saidil «A» ja jääb muutumatuks ründaja saidil. Erand on tehtud ainult iframe'ide jaoks, mida laaditakse põhisaidilt (same-origin), ja linkide jaoks käesolevale saidile. Seega, kui avate saiti «A», siis saidile viivad lingid saavad highlights isegi kui kliki nendele tuli mujalt, kuid kõik ülejäänud lingid saavad highlights ainult siis, kui kliki tuli saidilt «A».

  

  Firefoxis lisati sellise lekete kaitse 2010. aastal, kuid olid olemas meetodid selle mööda hiilimiseks. Näiteks 2024. aastal Firefoxi versioonis 122 kõrvaldatakse võimalus analüüsida pikslite värvi filtrite abil, mis kasutavad parameetrit currentColor, ja manipuleerida canvas'i sildiga SVG-s.

• Androidi versioonis on rakendatud edastamine serverid Google'ile telemeetriaga, milles on andmed brauseri kaudu laaditavate APK-pakettide kohta. Praegu on funktsionaalsus piiratud telemeetriaga saatmisega, kuid tulevikus hakkab see olema kasutuses ohtlike APK-failide laadimise hoiatuste ja blokeerimise edastamiseks. Kontrollimine toimub ainult siis, kui on seadistustes lubatud brauseri täiustatud kaitse režiim (Safe Browsing > Enhanced protection).
• Remote debugimiseks on nüüd vajalik määrata eraldi kataloog andmete jaoks, mis määratakse käivitamisel parameetriga «—user-data-dir», mida tuleb kasutada koos parameetriga «—remote-debugging-pipe» või «—remote-debugging-port». Kui kasutatakse Windowsi, Linuxi ja macOS'i vaikekatalooge, ei tööta kaugdebugimine enam. Muutuse põhjus on kurjategijate vastane tegevus, kes kasutavad kaugdebugimist, et andmeid Google Chrome'ist välja tõmmata. Kui kasutatakse eraldi katalooge, rakendatakse seal teistsugust krüptimisvõtit, mis ei võimalda juurdepääsu kasutaja töökatalooge peakatkaluabina. Muudatus kehtib ainult Chrome'i jaoks ja ei kehti Chromiumi kohta.
• Linuxi ja Windowsi platvormidel on kerimisriistade välimus moderniseeritud. Kui kerimine ei toimi, siis kerimisriistade baar peidetakse ja ilmub ainult lehe liikumise taastumisel. Uue kerimisriistade välimuse aktiveerimise haldamiseks on pakutud seadeid chrome://flags#fluent-overlay-scrollbars ja chrome://flags#fluent-scrollbars.
• CSS-funktsioonis attr() on argument tüübiga "string" ümber nimetatud "raw-string", vastavalt CSS spetsifikatsioonide arendamise töörühma otsusele. See muudatus on mõeldud segaduse vältimiseks, mis tuleneb väljendite sarnasusest "attr(foo type())" ja "attr(foo string)".
• ProgressEvent API-s, mida kasutatakse edusammude näidikute loomiseks, on atribuutides "loaded" ja "total" tüübiks "unsigned long long" asendatud tüübiga "double", mis vastab HTML-elementide käitumisele ja võimaldab edusammude näidikule järkjärguliselt kajastada mittetäisarvulisi väärtuste muutusi, näiteks suuruse muutmist vahemikus 0 kuni 1.
• Regulaaravaldiste sees kasutatavate stringide escapedamiseks on ettepanekud staatiliseks meetodiks "RegExp.escape". RegExp.escape abil escaped stringe saab ohutult kasutada malli loojat RegExp() konstruktoris.
• Veebisaitidel on lubatud automaatselt luua Passkey võtmeid juba päästetud kasutajaandmete põhjal. Passkey loomine toimub ilma eraldi modaalsete dialoogide kuvamiseta, kui kasutaja on varem selle saidi jaoks kasutajaandmete loomise kinnitanud.
• Lisatud on CSS-omadus dynamic-range-limit HDR-sisu maksimaalse heleduspiiri piiramiseks.
• Speculation Rules API-s (), mida kasutatakse ressursside eeldatava laadimise seadistamiseks, on lubatud määrata valikuline "tag" väli allika jälgimiseks. Selle välja sisu saadetakse HTTP-pealkirja Sec-Speculation-Tags kaudu.
• WebRTC-s ja MediaRecorder API-s on lisatud tugi H265 (HEVC) koodekile lisaks varem toetatud VP8, H.264, VP9 ja AV1 koodekitele.
• Veebiarendajate tööriistades on laiendatud otstarbelise analüüsi paneeli võimalusi. On lisatud aruanded päringute kohta, mis kasutavad vanemat protokolli HTTP/1.1, vahemälu tõhususe ja font-display omaduse optimeerimise kohta. Lehe "Privaatsus ja turvalisus > Privaatsus > Kolmandate osapoolte küpsised" juurde on lisatud individuaalsete küpsiste otsingu võimalus. Katsejärgse võimalusena on lisatud probleemihoiatused elementide ja atribuutide suhtes DOM-is.

Uues versioonis on lisaks uuendustele ja veaparandustele kõrvaldatud 8 haavatavust. Paljud haavatavused avastati automatiseeritud testimise tööriistade AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL abil. Kritilisi probleeme, mis võimaldavad mööda minna kõikidest brauseri kaitsekihtidest ja käivitada süsteemis koodi väljaspool sandbox-keskkonda, ei tuvastatud. Turvaprogrammi raames, millega tasutakse leidude eest, on Google sellele väljaandele maksnud 4 preemiat kokku 10 000 USA dollarit (üks preemia 5000 dollarit, kaks preemiat 2000 dollarit ja üks 1000 dollarit).

Allikas: opennet.ru