Chrome veebibrauseri 142. väljaanne

Google avaldas web-brauseri Chrome 142 versiooni. Samuti on saadaval stabiilne väljaanne avatud projekti Chromium, mis on Chrome'i alus. Brauser Chrome erineb Chromiumist Google'i logode kasutamise, tõrgete korral teavitussüsteemi olemasolu, DRM-kaitse all oleva videokontendi esitamise moodulite, automaatsete uuenduste installimise süsteemi, pideva Sandbox-isolatsiooni kasutamise, Google API võtmete pakkumise ja otsimise käigus RLZ-parameetride edastamise poolest. Need, kes vajavad rohkem aega uuenduste tegemiseks, saavad kasutada eraldi Extended Stable haru, millele pakutakse tuge kaheksa nädala vältel. Järgmine Chrome 143 väljaanne on planeeritud 2. detsembril.

Chrome 142 peamised muutused:

• Kaitse kohaliku süsteemi vaatamise vastu interaktsioonide korral avalike veebisaitidega. Kui pöördutakse saidilt avalikus või sisevõrgus (intranet) meie IP-aadresside kohaliku süsteemi või loopback-liidese (127.0.0.0/8) poole, kuvab brauser kasutajale käitumiskinnituse dialooge. Kaitse alla kuuluvad ressursi allalaadimise katsetused, fetch() päringud ja iframe'i sisestused. Praegu ei kehti kaitse WebSockets, WebTransport ja WebRTC ühenduste kohta, kuid see lisatakse hiljem.

  Sisemistele ressurssidele pöördumine on kurjategijate poolt kasutatav meetod CSRF-rünnakute teostamiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliidesele ja teistele seadmetele ja teenustele, mis võtavad vastu päringuid ainult kohalikust võrgust. Lisaks võib sisevõrkude skaneerimist kasutada kaudseks tuvastamiseks või teabe kogumiseks kohalikust võrgust.
• Pakutakse ühtset lihtsustatud liidest Google'i kontoga sidumiseks ja andmete sünkroonimiseks, nagu salvestatud paroolid ja järjehoidjad. Sünkroonimine on integreeritud kontole sisselogimisega ja ei esitatakse eraldi võimalusena seadetes. Kasutajad saavad Chrome'i siduda Google'i kontoga ja kasutada seda paroolide, järjehoidjate, külastusajaloo ja vahekaardikogumi salvestamiseks. Selle funktsiooni kasutamine on hetkel aktiivne osa kasutajatest ning katvust suurendatakse järk-järgult.
• Käivitati uus protsesside isolatsiooni mudel — "Origin Isolation", kus iga sisu allikas (origin — protokolli, porti ja domeeni kombinatsioon) isolatsioon domeen ja port, näiteks "https://foo.example.com"), eraldatakse eraldi renderdamise protsessi. Kuna isoleerimise killustumise suurenemine võib viia mälu tarbimise kasvuni ja CPU koormuse suurenemisele, lülitatakse uus isoleerimisrežiim sisse ainult süsteemides, kus on rohkem kui 4 GB RAM-i. Madala jõudlusega riistvara puhul kasutatakse endist lähenemist isoleerimisele, kus kõik eri sisuallikad, mis on seotud ühe saidiga (näiteks foo.example.com ja bar.example.com), isoleeritakse eraldi protsessis.
• Windowsi ja macOS-i süsteemides, kus ei kohaldata Chrome'i keskset haldust, on automaatselt keelatud sunniviisiliselt installitud brauseri lisandid, millel on tuvastatud ebaolulised rikkumised Chrome Web Store'i katalooge. Ebavajalikud rikkumised hõlmavad potentsiaalsete haavatavuste olemasolu, lisandi pealesurumist kasutaja teadmata, metainformatsiooni manipuleerimist, kasutajate andmete kasutamise reeglite rikkuja ja valeinformatsiooni andmist funktsionaalsuse kohta. Kasutajad saavad soovi korral väljakutsutud lisandi tagasi aktiveerida.
• Androidi versioonis, sarnaselt lauaarvutite versioonidele, on rakendatud hoiatusi petturlike lehtede kohta, mis on tuvastatud suure keele mudeli abil sisu analüüsi põhjal. AI kasutamine toimub täiustatud turvarežiimis (Enhanced Safe Browsing). AI mudel töötab kliendi poolel, kuid kui tuvastatakse kahtlusi kahtlase sisu osas, teostatakse lisakontroll Google'i serverites.
• DTLS-i (Datagram Transport Layer Security, analoog TLS-ile UDP jaoks) protokolli rakenduses, mida kasutatakse WebRTC ühendustes, on kaasatud postkvantumkrüpteerimise algoritmide kasutamine.
• Reaalajas salvestatakse aktiveerimisolek, mis määratakse kasutaja aktiivsuse põhjal lehelt, kui liigub teisele lehele sama domeeni all. Aktiveerimise salvestamine lihtsustab mitme lehega veebirakenduste arendamist ja lahendab selliseid probleeme nagu sisestusfookuse määramine, kui sait kuvab oma virtuaalset klaviatuuri.
• CSS-i on lisatud pseudos klassid ":target-before" ja ":target-after", et määrata kindlaks eelnevad ja järgmised markerid, suhtes hetke kerimisasukohaga (":target-current").
• Stiilide konteinerites („@container“) ja funktsioonis „if()“ on lubatud kasutada vahemike süntaksit (Range Syntax), mis on määratletud Media Queries Level 4 spetsifikatsioonis ja mis võimaldab kasutada tavalisi matemaatilisi võrdlusoperaatoreid ja loogilisi operaatoreid väärtuste vahemike määramiseks. Näiteks on nüüd võimalik määrata „@container style(—inner-padding > 1em)“ ja „background-color: if(style(attr(data-columns, type) > 2): lightblue; else: white);“
• Elementidesse «<button>» ja «<a>» on lisatud «interestfor» atribuut, mille abil saab korraldada tegevuste kutsumist, näiteks näidata hüpikakent, kui kasutaja väljendab huvi elemendi vastu. Brauser peab huvi väljendamiseks selliseid olukordi nagu elementi üle viimine ja hoidmine, otsetee klahvide vajutamine või puutetundlikul ekraanil hoidmine. Kui elemendis, millel on «interestfor» atribuut, tuvastatakse huvi, genereerib brauser InterestEvent sündmuse.
• Veebiarenduse tööriistades on tehtud täiustusi. Ülaservas paremal nurgas on lisatud nupp AI-assistendi kiireks kutsumiseks. Kontekstimenüü element „Ask AI“ on ümber nimetatud ja nüüd heetab „Debug with AI“ ning sellel on võimalus teha koheseid toiminguid vastavalt kontekstile. Veebikonsolis ja koodipaneelis saab AI-assistent Gemini nüüd genereerida soovitusi koos koodiga.

  Veebiarenduse tööriistades on tagatud integreerimine GDP (Google Developer Program) teenusega. Arendaja saab nüüd otse Chrome DevToolsist ühendada oma profiili GDP-ga ja teenida boonuseid teatud ülesannete täitmise eest selles liideses.

  

Lisaks uuendustele ja vigade parandamisele on uues versioonis lahendatud 20 haavatavust. Paljud neist haavatavustest on tuvastatud automatiseeritud testimise abil tööriistade AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL kaudu. Kritilisi probleeme, mis võimaldavad vältida kõiki brauseri kaitsetasandeid ja käivitada koodi süsteemis väljaspool sandbox-keskkonda, ei ole tuvastatud. Haavatavuste avastamise rahaauhinna programmi raames on Google määranud praeguse väljaande jaoks 20 auhinda kogusummas 130 000 dollarit (kaks auhinda 50 000 dollarit, üks auhind 10 000 dollarit ja kolm auhinda 3 000 dollarit, kaks auhinda 2 000 dollarit ja kolm auhinda 1 000 dollarit). 8 auhinna suurus on praegu määramata.

Lisaks võib märkida, et Blink mootori veel parandamata haavatavus põhjustab brauseri krahhi ja hangumist, kui täidetakse teatud JavaScripti kood. Haavatavus on põhjustatud joonistamise mootori arhitektuurilistest probleemidest, mis on seotud piirangute puudumisega atribuutide ‘document.title’ uuendamise operatsioonide intensiivsusele. Piirangute puudumine võimaldab kasutada ‘document.title’ DOM-i kümneid miljoneid muudatusi sekundis, mis paari sekundi jooksul viib liidese hangumiseni põhivoogude blokeerimise ja mälu olulise tarbimise tõttu, ning 15-60 sekundi pärast põhjustab brauseri krahhi.

Allikas: opennet.ru