Web-brauseri Chrome 136 väljaanne, mis sisaldab külastatud linkide stiili isolatsiooni.

Google on välja andnud Chrome 136 veebibrauseri versiooni. Samuti on saadaval stabiilne versioon avatud projekti Chromium põhjal, mis on Chrome'i alus. Chrome erineb Chromiumist Google'i logo kasutamise, kokkuvarisemiste korral teavitamissüsteemi, DRM-kaitstud videomaterjali esitamise moodulite, automaatsete värskenduste süsteemi, pideva Sandbox-isolatsiooni aktiveerimise, Google API võtmete tarnimise ja RLZ-parameetrite edastamisega otsingu ajal. Neile, kes vajavad värskendamiseks rohkem aega, toetatakse eraldi Extended Stable haru, mis kestab 8 nädalat. Järgmine Chrome'i versioon 137 on planeeritud 27. mail.

Chrome 136 peamised muudatused:

• Lisatud on kaitse isikuandmete lekkimise vastu, mis on seotud varem külastatud lehtede kuvamisega CSS pseudoklassi «:visited» kaudu, mis võimaldab kohandada varem avatud linkide stiili. Chrome'i versioonis 136 ja varasemates, viidatud link viib selle lingi stiili muutumiseni kõigil lehtedel, mis seda linki näitavad, olenemata sellest, milliselt lehelt üleminek tehti. Ründaja sai oma saidil kindlaks teha, kas kasutaja on varasemalt tema huvi pakkuvaid linke avanud, analüüsides nende linkide stiili muutumist. Näiteks kui luua nimekiri linkidest erinevatele lehtedele, siis varem külastatud lehed selles nimekirjas on brauseri poolt märgitud erineva värviga, mille alusel võib järeldada, kas lingid on varem avatud.

  Chrome'is on vältimaks teabe leket külastatud linkide kohta, on rakendatud valiku „:visited” töötlemise isoleerimist seoses vaadatava saidiga. See tähendab, et elemendid stiliseeritakse nüüd abil „:visited” ainult siis, kui need on eelnevalt avatud ainult hetkel käidud saidiga ja seoses käesoleva iframe'iga. Isolatsioon on rakendatud vaatatud lingi stiili hashimise kaudu, kasutades võtmena kolme komponenti — linki, peamist saiti ja iframe'is kasutatavat hosti.

  

  Näiteks, kui saidilt 'A' oli üleminek lingile, siis selle lingi puhul on nüüd toonimine ainult saidil 'A' ja see jääb muutumatuks ründaja saidil. Erand on tehtud ainult iframe'ide jaoks, mis laaditakse peamiselt saidilt (same-origin), ning linkide jaoks praegusele saidile. Sellega seoses, kui avatakse sait 'A', toonituvad lingid, mis viivad saidile 'A', isegi siis, kui üleminekud nendele on toimunud teiselt saidilt, kuid teiste linkide puhul toimub toonimine ainult siis, kui üleminekud on olnud saidilt 'A'.

  

  Firefoxis on sarnaste lekete vältimiseks kaitse lisatud 2010. aastal, kuid olid olemas meetodid selle ületamiseks. Näiteks 2024. aastal Firefox 122-s kõrvaldatakse võimalus analüüsida pikslite värve currentColor parameetriga filtrite ja SVG canvas'i manipuleerimise kaudu.

• Androidi versioonis on rakendatud edastamine serverid Google'ile telemeetriat andmetega brauseri kaudu allalaaditud APK-pakettide kohta. Praegu piiratakse funktsionaalsust telemeetriate saatmisega, kuid tulevikus kasutatakse seda hoiatuste kuvamiseks ja pahatahtlike APK-failide allalaadimise blokeerimiseks. Kontroll toimub ainult siis, kui brauseri seadetes on lubatud arenenud kaitse režiim (Safe Browsing > Enhanced protection).
• Kaugtõrkeotsinguks on nüüd vaja määrata eraldi andmekataloog, mis määratakse käivitamisel parameetri „—user-data-dir” kaudu, mida tuleb kasutada koos parameetriga „—remote-debugging-pipe” või „—remote-debugging-port”. Windowsis, Linuxis ja macOSis ei tööta kaugtõrge enam vaikimisi katalooge kasutades. Muutuse põhjuseks on pahavara vastane tegevus, mis kasutab kaugtõrget Google Chrome'i andmete väljatoomiseks. Eraldi katalooge kasutades rakendatakse teistsugust krüpteerimisvõtit, mis ei võimalda juurdepääsu kasutaja tööandmete põhikataloogile. See muudatus kehtib ainult Chrome'i jaoks ning ei kohaldata Chromiumi.
• Linuxi ja Windowsi platvormidel on lainete kujundus uuendatud. Kui riba ei ole aktiivne, peidetakse see ja ilmub tagasi ainult siis, kui lehte uuesti keritakse. Uue lainete kujunduse aktiveerimise haldamiseks on soovitatud seadeid chrome://flags#fluent-overlay-scrollbars ja chrome://flags#fluent-scrollbars.
• CSS-funktsioonis attr() on „string” tüüpi argument nimetatud ümber „raw-string”, vastavalt CSS spetsifikatsioonide arendamise töörühma otsusele. Muudatus on loodud selleks, et vältida segadust, mis tuleneb väljendite „attr(foo type())” ja „attr(foo string)” sarnasusest.
• ProgressEvent API-s, mida kasutatakse edusammude näidikute loomiseks, on attribuutides „loaded” ja „total” „unsigned long long” tüübi asemel kasutusele võetud „double” tüüp, mis vastab HTML elemendi käitumisele ning võimaldab näidikule järkjärguliste mitte-täisarvuliste väärtuste muutuste kuvamist, näiteks väärtuse muutumisel vahemikus 0 kuni 1.
• Regulaarses väljendis sisalduvate stringide ekraanamiseks on ette nähtud staatiline meetod „RegExp.escape”. RegExp.escape abil ekraanitud stringe saab ohutult kasutada šabloonina RegExp() konstruktoris.
• Veebisaidile on lubatud automaatselt luua Passkey võtmeid, põhinedes juba selle saidi jaoks salvestatud mandaadile. Passkey loomine toimub ilma eraldi modaalakna väljumiseta, kui kasutaja on varem juba kinnitanud saidile mandaadi loomise.
• Lisatud CSS-omand dynamic-range-limit HDR-sisu maksimaalse heleduspiirangu sättimiseks.
• API Speculation Rules (), mida kasutatakse ressursside proaktiivseks laadimiseks, võimaldab määrata valikulise «tag» välja allika jälgimiseks. Selle välja sisu saadetakse HTTP-pealkirja Sec-Speculation-Tags kaudu.
• WebRTC-s ja API MediaRecorderis on lisatud toetus H265 (HEVC) koodekile, lisaks varasematele toetatud VP8, H.264, VP9 ja AV1 koodekitele.
• Veebiarendamise tööriistade paneel on laiendatud jõudluse analüüsi funktsioonidega. Lisatud on aruanded päringute kohta, mis kasutavad vana HTTP/1.1 protokolli, vahemälu töötamise efektiivsus ja optimeerimine font-display omaduse abil. Lehelt „Privaatsus ja turvalisus > Privaatsus > Kolmandate osapoolte küpsised” on lisatud võimalus otsida üksikuid küpsiseid. Lisatud on katsefunktsioon probleemide näpunäidete kuvamiseks DOM-i elementide ja atribuutide osas.

Uues versioonis on lisaks uutele omadustele ja veaparandustele kõrvaldatud 8 haavatavust. Paljusid haavatavusi tuvastati automatiseeritud testimise käigus tööriistadega nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Kriitilisi probleeme, mis võimaldaksid mööda minna kõikidest brauseri kaitsetasemetest ja käivitada koodi süsteemis väljaspool liivakasti keskkonda, ei tuvastatud. Haavatavuste avastamise rahalise preemia programm raames maksti Google’ilt käesoleva versiooni eest välja 4 preemiat kokku 10 000 USA dollari ulatuses (üks preemia 5000 dollarit, kaks preemiat 2000 dollarit ja üks 1000 dollarit).

Allikas: opennet.ru