Chrome 102 väljaanne

Google esitles veebibrauseri Chrome 102 väljaannet. Samal ajal on saadaval ka stabiilne Chromiumi vabaprojekti versioon, mis on Chrome'i alus. Chrome'i brauser erineb Chromiumist Google'i logode kasutamise, kokkuvarisemise korral teavituste saatmise süsteemi, DRM-kaitse all oleva videokontendi esitamiseks mõeldud moodulite, automaatsete värskenduste installimise süsteemi, alati aktiveeritud Sandbox-isolatsiooni, Google API võtmete tarnimise ja otsimisel RLZ-parameetrite edastamise poolest. Neile, kes vajavad uuendamiseks rohkem aega, on eraldi toetatud Extended Stable haru, mis kestab 8 nädalat. Järgmine Chrome 103 väljaanne on kavandatud 21. juuniks.

Peamised muudatused Chrome 102-s:

• Vigade ärahoidmiseks, mis on tingitud juba vabastatud mälu plokkide kasutamisest (use-after-free), on tavapäraste pointerite asemel hakanud kasutusele võtma tüüpi MiraclePtr (raw_ptr). MiraclePtr pakub pointerite ümber, mis teostab täiendavaid kontrollimisi vabastatud mälu aladele juurdepääsu osas ning lõpetab äkki töö, kui selliseid juurdepääse avastatakse. Uue kaitsemeetodi mõju jõudlusele ja mälu tarbimisele hinnatakse kui ebaoluline. MiraclePtr mehhanismi ei saa rakendada kõigis protsessides, näiteks ei kasutata seda joonistusprotsessides, kuid see võib oluliselt suurendada turvalisust. Näiteks praeguses versioonis on 32 parandatud haavatavusest 12 põhjustatud use-after-free klassi probleemidest.
• Kasutajaliidese paigutus on muudetud allalaadimiste teabe jaoks. Alumise riba asemel, kus kuvatakse allalaadimise edenemine, on aadressiriba kõrvale lisatud uus indikaator, millele klikkides kuvatakse failide allalaadimise protsess ja ajalugu juba allalaetud failide loendiga. Erinevalt alumisest ribast on nupp pidevalt nähtav ja võimaldab kiiresti pääseda juurdepääsu ajaloole. Uus liides on praegu vaikimisi saadaval ainult osale kasutajatest ning levitatakse kõigile, kui probleeme ei esine. Vanasse liidesesse naasmiseks või uue sisselülitamiseks on seadistus "chrome://flags#download-bubble".
• Piltide otsimisel kontekstimenüüst ("Search image with Google Lens" või "Найти через Google Объектив") kuvatakse tulemused nüüd mitte eraldi lehel, vaid külgpaneelil koos algse lehe sisuga (ühes aknas on korraga nähtav nii lehe sisu kui ka otsingutulemus).
• Seadete jaotises „Privaatsus ja turvalisus“ on lisatud jaotis „Privaatsuse juhend“ („Privacy Guide“), kus antakse ülevaade peamistest seadistustest, mis mõjutavad privaatsust, koos üksikasjalike selgitustega iga seade mõju kohta. Näiteks on selles jaotises võimalik määrata Google'i teenustesse andmete saatmise poliitika, hallata sünkroonimist, küpsiste töötlemist ja ajaloote salvestamist. Funktsioon on ette nähtud osa kasutajate jaoks ning selle aktiveerimiseks saab kasutada seadet „chrome://flags#privacy-guide“.
• Otsinguajaloo ja vaadatud lehtede struktuur on tagatud. Aadressiribal uuesti otsimise katsetamisel kuvatakse vihje „Jätka otsimist ajaloos“ („Resume your journey“), mis võimaldab jätkata otsimist kohast, kus see eelmisel korral katkestati.
• Chrome Web Store'i kataloogis on pakutud lehte „Extensions Starter Kit“ koos esialgse valiku soovitatud laiendustest.
• Testrežiimil on aktiveeritud CORS-i (Cross-Origin Resource Sharing) volituste kinnitamise päringu saatmine põhisaidi serverisse pealkirjaga „Access-Control-Request-Private-Network: true“, kui juurdepääs toimub sisemise võrgu (192.168.x.x, 10.x.x.x, 172.16.x.x) resursile või localhostile (128.x.x.x). Kui operatsioon on kinnitatud, peab server selle päringu vastusena tagastama pealkirja „Access-Control-Allow-Private-Network: true“. Chrome'i versioonis 102 ei mõjuta kinnitamise tulemus päringu töötlemist — kinnituse puudumisel kuvatakse veebikonsolis hoiatusteade, kuid subressursi päringut ei blokeerita. Blokeerimise aktiveerimist kinnituse puudumisel oodatakse mitte varem kui Chrome'i 105 versioonis. Varasemate versioonide blokeerimise aktiveerimiseks saab aktiveerida seadistuse „chrome://flags/#private-network-access-respect-preflight-results“.

  Volituste kinnitamine serveriga sisseviidud, et tugevdada kaitset rünnakute vastu, mis on seotud kohaliku võrgu või kasutaja arvuti (localhost) ressursse juurde pääsemisega skriptide kaudu, mis laaditakse veebisaidi avamisel. Selliseid päringuid kasutavad kurjategijad CSRF-rünnakute teostamiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliidestele ning muudele seadmetele ja teenustele, mis aktsepteerivad päringuid ainult kohalikust võrgust. Sarnaste rünnakute eest kaitsmiseks saadab brauser, kui esitatakse päringuid mis tahes subressurssidele sisevõrgus, selgelt autoriseerimispäringu nende subressursside laadimiseks.
• Inkognito režiimis avatud linkide kaudu konteksti menüüs tagatakse automaatne teatud URL-i parameetrite eemaldamine, mis mõjutavad privaatsust.
• Uuenduste kohaletoimetamise strateegiat Windowsi ja Androidi jaoks on muudetud. Uue ja vana välja tõhusama võrdlemise jaoks koostatakse nüüd mitmeid uue versiooni kogusid.
• Võrgu segmentimise tehnoloogia on stabiliseeritud, et kaitsta kasutaja liikumatuse jälgimise meetodite eest, mis põhinevad identifikaatorite salvestamisel aladel, mis ei ole mõeldud teabe püsivaks salvestamiseks („Supercookies“). Kuna vahemälu ressursid salvestatakse jagatud nimiruumis, sõltumata lähte domeenist, võib üks sait tuvastada ressursi laadimise teisest saidist, kontrollides, kas see ressurss on vahemälus olemas. Kaitse põhineb võrgu segmentimise rakendamisel, mille eesmärk on lisada jagatud vahemäludesse täiendav seos kirjeid domaadi, mille kaudu põhileht avatakse, piirates jälgimis skriptide vahemälu ulatust ainult praeguse saidiga (iframe'i skript ei saa kontrollida, kas ressurss laaditi teisest saidist). Oleku jagamine katab võrguühendused (HTTP/1, HTTP/2, HTTP/3, websocket), DNS vahemälu, ALPN/HTTP2 andmed, TLS/HTTP3, konfiguratsioon, laadimised ja teave Expect-CT peatuses.
• Paigaldatud iseseisvate veebirakenduste (PWA, Progressive Web App) jaoks on võimalik muuta akna pealkirjaala välimust kasutades Window Controls Overlay komponente, mis laiendavad veebirakenduse ekraaniala kogu akna ulatuses. Veebirakendus võib hallata joonistamist ja sisendi töötlemist kogu aknas, välja arvatud katteplokk koos standardsete akna juhtnuppudega (sulgemine, minimeerimine, maksimeerimine), andes veebirakendusele tunde tavalise lauaarvuti rakendusena.
• Automaatse vormide täitmise süsteemi on lisatud tosupport virtuaalsete krediitkaartide numbrite genereerimine kaupade makseandmete väljade jaoks internetipoodides. Virtuaalse kaardi kasutamine, mille number genereeritakse iga makse jaoks, võimaldab mitte edastada andmeid tegeliku krediitkaardi kohta, kuid nõuab, et pank pakuks vajalikku teenust. Praegu saavad seda funktsiooni kasutada vaid mõned Ameerika Ühendriikide pangad. Funktsiooni lubamise juhtimiseks on pakutud seade «chrome://flags/#autofill-enable-virtual-card».
• Vaikimisi on aktiveeritud mehhanism „Capture Handle“, mis võimaldab edastada teavet rakendustele, mis teostavad video salvestamist. API võimaldab rakenduste vahel suhelda, mille sisu salvestatakse, ja rakenduste vahel, mis salvestamist teostavad. Näiteks videokonverentsi rakendus, mis salvestab videot esitluse edastamiseks, saab teavet esitlusfailide juhtimiselementide kohta ja kuvada neid videoklipis.
• Vaikimisi on lubatud spekulatiivsete reeglite tugi (Speculation rules), mis pakuvad paindlikku süntaksit seotud andmete eelneva laadimise võimaluse määratlemiseks, mis toimub enne kasutaja linki klõpsamist.
• Stabiliseeritud ressursside pakkimise mehhanism Web Bundle formaadis, mis suurendab paljude seotud failide (CSS-stiilid, JavaScript, pildid, iframe) laadimise tõhusust. Erinevalt Webpack formaadi pakenditest on Web Bundle-l järgmised eelised: HTTP-vahemälu salvestab mitte paketi ennast, vaid selle koostisosad; JavaScripti kompileerimine ja täitmine algab enne, kui pakett on täielikult laaditud; on lubatud lisada täiendavaid ressursse, nagu CSS ja pildid, mis Webpackis pidid olema kodeeritud JavaScripti stringidena.
• On antud võimalus määrata PWA-rakendus teatud MIME-tüüpide ja faililaiendite töötlejana. Pärast seotud sidumise määramist manifesti file_handlers väljas, saab rakendus erilisi sündmusi, kui kasutaja üritab avada rakendusega seotud faili.
• Lisatud on uus inert-attribuut, mis võimaldab märgistada osa DOM-puus "inaktiivseks". Sellises olekus keelatakse DOM-sõlmedes tekstivalimise ja hiirekursorite käsitlejad, st CSS omadused pointer-events ja user-select on alati seatud väärtuseks 'none'. Kui sõlm oli redigeeritav, muutub see inert-režiimis redigeerimatuks.
• Lisatud on Navigation API, mis võimaldab veebirakendustel katsetada navigeerimisoperatsioone aknas, algatada üleminekuid ja analüüsida rakenduse tegevuste ajalugu. API pakub alternatiivi window.history ja window.location omadustele, mis on optimeeritud ühekordseteks veebirakendusteks.
• Attribuudile "hidden" on pakutud uut märki "until-found", mis muudab elemendi lehe otsingutes ja tekstimaskide kerimises kergesti leitavaks. Näiteks on võimalik lisada lehele varjatud tekst, mille sisu tuleb kohalikus otsingus esile.
• WebHID API, mis on mõeldud madala taseme juurdepääsuks HID-seadmetele (inimese kasutajaliides, klaviatuurid, hiired, mängupuldid, puutetundlikud paneelid) ja toimimise korraldamiseks ilma süsteemis eriliste draiverite olemasoluta, on requestDevice() objekti lisatud väli exclusionFilters, mis võimaldab välistada teatud seadmed brauseri poolt saadaval olevate seadmete loendi kuvamisel. Näiteks on võimalik välistada seadme ID-d, milles esinevad tuntud probleemid.
• Maksmise vormi kuvamine läbi PaymentRequest.show() on keelatud ilma kasutaja selge tegevuseta, näiteks klikkimisega elemendil, mis on seotud töötlejaga.
• Alternatiivse SDP (Session Description Protocol) protokolli rakenduse tugi on lõpetatud, mida kasutatakse seansi seadistamiseks WebRTC-s. Chrome'is pakuti kahte SDP varianti — ühtne teiste brauseritega ja Chrome'ile spetsiifiline. Edasi on jäetud ainult ülekandekõlbulik variant.
• Web-arendajate tööriistades on tehtud täiustusi. Stiilide paneelile on lisatud nupud tumeda ja hele teema rakenduse simuleerimiseks. Suurendatud on Preview vahekaartide kaitset võrguinspekteerimise režiimis (sisseehitatud Content Security Policy rakendamine). Siluri tööriistades on rakendatud skriptide täitmise lõpetamine tõkete uuesti laadimiseks. Pakutud on esialgne versioon uutest "Performance insights" paneelidest, mis võimaldavad analüüsida teatud toimingute sooritamise jõudlust lehel.

Lisaks uuendustele ja vigade parandamisele on uues versioonis kõrvaldatud 32 haavatavust. Palju haavatavusi on tuvastatud automaatse testimise tulemuste põhjal, kasutades tööriistu nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Ühele probleemile (CVE-2022-1853) on omistatud kriitiline ohtlikkuse tase, mis tähendab, et on võimalik mööda minna kõigist brauseri kaitsekihtidest ja käivitada süsteemis kood väljaspool sandbox-ümbrust. Haavatavuse üksikasju ei ole veel avaldatud, on teada ainult, et see on põhjustatud vabastatud mäluploki juurde pääsemisest (use-after-free) Indexed DB API rakenduses.

Praeguste haavatavuste avastamise tasuprogrammi raames on Google välja maksnud 24 preemiat kogusummas 65 600 USA dollarit (üks preemia 10 000 dollarit, üks preemia 7 500 dollarit, kaks preemiat 7 000 dollarit, kolm preemiat 5 000 dollarit, neli preemiat 3 000 dollarit, kaks preemiat 2 000 dollarit, kaks preemiat 1 000 dollarit ja kaks preemiat 500 dollarit). Seitsme preemia suurus on veel määramata.

Allikas: opennet.ru