Chrome Version 102

Google a dévoilé la sortie du navigateur Web Chrome 102. Parallèlement, une version stable du projet gratuit Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se distingue de Chromium par l'utilisation des logos Google, la présence d'un système d'envoi de notifications en cas de crash, de modules de lecture de contenu vidéo protégé contre la copie (DRM), d'un système d'installation automatique des mises à jour, permettant en permanence l'isolation Sandbox , fournissant les clés de l'API Google et transmettant les paramètres RLZ- lors de la recherche. Pour ceux qui ont besoin de plus de temps pour mettre à jour, la branche Extended Stable est prise en charge séparément, suivie de 8 semaines. La prochaine version de Chrome 103 est prévue pour le 21 juin.

Changements clés dans Chrome 102 :

• Pour bloquer l'exploitation des vulnérabilités causées par l'accès à des blocs de mémoire déjà libérés (use-after-free), au lieu de pointeurs ordinaires, le type MiraclePtr (raw_ptr) a commencé à être utilisé. MiraclePtr fournit une liaison sur les pointeurs qui effectue des contrôles supplémentaires sur les accès aux zones de mémoire libérées et plante si de tels accès sont détectés. L'impact de la nouvelle méthode de protection sur les performances et la consommation de mémoire est jugé négligeable. Le mécanisme MiraclePtr n'est pas applicable à tous les processus, en particulier il n'est pas utilisé dans les processus de rendu, mais il peut améliorer considérablement la sécurité. Par exemple, dans la version actuelle, sur 32 vulnérabilités corrigées, 12 étaient causées par des problèmes d'utilisation après libération.
• La conception de l'interface avec les informations sur les téléchargements a été modifiée. Au lieu de la ligne du bas avec les données sur la progression du téléchargement, un nouvel indicateur a été ajouté au panneau avec la barre d'adresse : lorsque vous cliquez dessus, la progression du téléchargement des fichiers et un historique avec une liste des fichiers déjà téléchargés sont affichés. Contrairement au panneau inférieur, le bouton est affiché en permanence sur le panneau et vous permet d'accéder rapidement à votre historique de téléchargement. La nouvelle interface n'est actuellement proposée par défaut qu'à certains utilisateurs et sera étendue à tous s'il n'y a pas de problèmes. Pour restaurer l'ancienne interface ou en activer une nouvelle, le paramètre « chrome://flags#download-bubble » est fourni.
• Lors de la recherche d'images via le menu contextuel (« Rechercher une image avec Google Lens » ou « Rechercher via Google Lens »), les résultats ne sont désormais pas affichés sur une page séparée, mais dans une barre latérale à côté du contenu de la page d'origine (dans une fenêtre, vous pouvez voir simultanément à la fois le contenu de la page et le résultat de l'accès au moteur de recherche).
• Dans la section « Confidentialité et sécurité » des paramètres, une section « Guide de confidentialité » a été ajoutée, qui offre un aperçu général des principaux paramètres affectant la confidentialité avec des explications détaillées sur l'impact de chaque paramètre. Par exemple, dans la section vous pouvez définir la politique d'envoi des données aux services Google, gérer la synchronisation, le traitement des cookies et la sauvegarde de l'historique. La fonction est proposée à certains utilisateurs ; pour l'activer, vous pouvez utiliser le paramètre « chrome://flags#privacy-guide ».
• La structuration de l'historique de recherche et des pages consultées est assurée. Lorsque vous tentez une nouvelle recherche, une indication « Reprenez votre voyage » s'affiche dans la barre d'adresse, vous permettant de poursuivre la recherche à partir de l'endroit où elle a été interrompue la dernière fois.
• Le Chrome Web Store propose une page « Extensions Starter Kit » avec une première sélection de modules complémentaires recommandés.
• En mode test, l'envoi d'une demande d'autorisation CORS (Cross-Origin Resource Sharing) au serveur principal du site avec l'entête « Access-Control-Request-Private-Network : true » est activé lorsque la page accède à une ressource sur le réseau interne ( 192.168.xx , 10.xxx, 172.16.xx) ou vers localhost (128.xxx). Lors de la confirmation de l'opération en réponse à cette requête, le serveur doit renvoyer l'en-tête « Access-Control-Allow-Private-Network: true ». Dans Chrome version 102, le résultat de la confirmation n'affecte pas encore le traitement de la demande - s'il n'y a pas de confirmation, un avertissement s'affiche dans la console Web, mais la demande de sous-ressource elle-même n'est pas bloquée. L'activation du blocage en l'absence de confirmation du serveur n'est pas attendue avant la sortie de Chrome 105. Pour activer le blocage dans les versions antérieures, vous pouvez activer le paramètre "chrome://flags/#private-network-access-respect-preflight- résultats".

  La vérification de l'autorité par le serveur a été introduite pour renforcer la protection contre les attaques liées à l'accès aux ressources sur le réseau local ou sur l'ordinateur de l'utilisateur (localhost) à partir de scripts chargés lors de l'ouverture d'un site. De telles requêtes sont utilisées par les attaquants pour mener des attaques CSRF sur des routeurs, des points d'accès, des imprimantes, des interfaces Web d'entreprise et d'autres appareils et services qui acceptent uniquement les requêtes du réseau local. Pour se protéger contre de telles attaques, si des sous-ressources sont accédées sur le réseau interne, le navigateur enverra une demande explicite d'autorisation pour charger ces sous-ressources.

• Lors de l'ouverture de liens en mode navigation privée via le menu contextuel, certains paramètres affectant la confidentialité sont automatiquement supprimés de l'URL.
• La stratégie de livraison des mises à jour pour Windows et Android a été modifiée. Pour comparer plus complètement le comportement des nouvelles et anciennes versions, plusieurs versions de la nouvelle version sont désormais générées pour le téléchargement.
• La technologie de segmentation du réseau a été stabilisée pour protéger contre les méthodes de suivi des mouvements des utilisateurs entre les sites basées sur le stockage d'identifiants dans des zones non destinées au stockage permanent d'informations (« Supercookies »). Étant donné que les ressources mises en cache sont stockées dans un espace de noms commun, quel que soit le domaine d'origine, un site peut déterminer qu'un autre site charge des ressources en vérifiant si cette ressource se trouve dans le cache. La protection est basée sur l'utilisation de la segmentation du réseau (Network Partitioning), dont l'essence est d'ajouter aux caches partagés une liaison supplémentaire des enregistrements au domaine à partir duquel la page principale est ouverte, ce qui limite la couverture du cache pour les scripts de suivi de mouvement uniquement. vers le site actuel (un script issu d'une iframe ne pourra pas vérifier si la ressource a été téléchargée depuis un autre site). Le partage d'état couvre les connexions réseau (HTTP/1, HTTP/2, HTTP/3, websocket), le cache DNS, les données ALPN/HTTP2, TLS/HTTP3, la configuration, les téléchargements et les informations d'en-tête Expect-CT.
• Pour les applications Web autonomes installées (PWA, Progressive Web App), il est possible de modifier la conception de la zone de titre de la fenêtre à l'aide des composants Window Controls Overlay, qui étendent la zone d'écran de l'application Web à toute la fenêtre. Une application Web peut contrôler le rendu et le traitement des entrées de la fenêtre entière, à l'exception du bloc de superposition avec des boutons de contrôle de fenêtre standard (fermer, minimiser, agrandir), pour donner à l'application Web l'apparence d'une application de bureau classique.
• Dans le système de remplissage automatique des formulaires, la prise en charge de la génération de numéros de carte de crédit virtuels dans les champs contenant les détails de paiement des marchandises dans les magasins en ligne a été ajoutée. L'utilisation d'une carte virtuelle, dont le numéro est généré pour chaque paiement, permet de ne pas transférer de données sur une vraie carte de crédit, mais nécessite la fourniture du service nécessaire par la banque. La fonctionnalité n'est actuellement disponible que pour les clients des banques américaines. Pour contrôler l'inclusion de la fonction, le paramètre « chrome://flags/#autofill-enable-virtual-card » est proposé.
• Le mécanisme « Capture Handle » est activé par défaut, vous permettant de transférer des informations vers des applications qui capturent des vidéos. L'API permet d'organiser l'interaction entre les applications dont le contenu est enregistré et les applications qui effectuent l'enregistrement. Par exemple, une application de visioconférence qui capture une vidéo pour diffuser une présentation peut récupérer des informations sur les commandes de présentation et les afficher dans la fenêtre vidéo.
• La prise en charge des règles spéculatives est activée par défaut, fournissant une syntaxe flexible pour déterminer si les données liées au lien peuvent être chargées de manière proactive avant que l'utilisateur ne clique sur le lien.
• Le mécanisme de packaging des ressources dans des packages au format Web Bundle a été stabilisé, permettant d'augmenter l'efficacité du chargement d'un grand nombre de fichiers d'accompagnement (styles CSS, JavaScript, images, iframes). Contrairement aux packages au format Webpack, le format Web Bundle présente les avantages suivants : ce n'est pas le package lui-même qui est stocké dans le cache HTTP, mais ses composants ; la compilation et l'exécution de JavaScript commencent sans attendre que le package soit entièrement téléchargé ; Il est permis d'inclure des ressources supplémentaires telles que du CSS et des images, qui dans le webpack devraient être codées sous forme de chaînes JavaScript.
• Il est possible de définir une application PWA comme gestionnaire de certains types MIME et extensions de fichiers. Après avoir défini une liaison via le champ file_handlers dans le manifeste, l'application recevra un événement spécial lorsque l'utilisateur tentera d'ouvrir un fichier associé à l'application.
• Ajout d'un nouvel attribut inerte qui vous permet de marquer une partie de l'arborescence DOM comme "inactive". Pour les nœuds DOM dans cet état, les gestionnaires de sélection de texte et de survol du pointeur sont désactivés, c'est-à-dire Les événements de pointeur et les propriétés CSS sélectionnées par l'utilisateur sont toujours définies sur « aucun ». Si un nœud peut être modifié, alors en mode inerte, il devient non modifiable.
• Ajout de l'API de navigation, qui permet aux applications Web d'intercepter les opérations de navigation dans les fenêtres, de lancer la navigation et d'analyser l'historique des actions avec l'application. L'API fournit une alternative aux propriétés window.history et window.location, optimisées pour les applications Web d'une seule page.
• Un nouvel indicateur, "jusqu'à ce qu'il soit trouvé", a été proposé pour l'attribut "caché", qui rend l'élément consultable sur la page et défilable par masque de texte. Par exemple, vous pouvez ajouter du texte masqué à une page dont le contenu sera retrouvé dans les recherches locales.
• Dans l'API WebHID, conçue pour l'accès de bas niveau aux appareils HID (périphériques d'interface humaine, claviers, souris, manettes de jeu, pavés tactiles) et pour organiser le travail sans la présence de pilotes spécifiques dans le système, la propriété exclusionFilters a été ajoutée au requestDevice( ), qui permet d'exclure certains appareils lorsque le navigateur affiche une liste des appareils disponibles. Par exemple, vous pouvez exclure les ID de périphérique présentant des problèmes connus.
• Il est interdit d'afficher un formulaire de paiement via un appel à PaymentRequest.show() sans une action explicite de l'utilisateur, par exemple en cliquant sur un élément associé au gestionnaire.
• La prise en charge d'une implémentation alternative du protocole SDP (Session Description Protocol) utilisé pour établir une session dans WebRTC a été interrompue. Chrome proposait deux options SDP : unifiées avec d'autres navigateurs et spécifiques à Chrome. Désormais, il ne reste plus que l’option portable.
• Des améliorations ont été apportées aux outils destinés aux développeurs Web. Ajout de boutons au panneau Styles pour simuler l'utilisation d'un thème sombre et clair. La protection de l'onglet Aperçu en mode inspection du réseau a été renforcée (l'application de la Politique de Sécurité du Contenu est activée). Le débogueur implémente la terminaison du script pour recharger les points d'arrêt. Une implémentation préliminaire du nouveau panneau « Performance insights » a été proposée, qui permet d'analyser les performances de certaines opérations sur la page.

En plus des innovations et des corrections de bugs, la nouvelle version élimine 32 vulnérabilités. De nombreuses vulnérabilités ont été identifiées à la suite de tests automatisés utilisant les outils AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. L'un des problèmes (CVE-2022-1853) s'est vu attribuer un niveau de danger critique, ce qui implique la possibilité de contourner tous les niveaux de protection du navigateur et d'exécuter du code sur le système en dehors de l'environnement sandbox. Les détails sur cette vulnérabilité n'ont pas encore été divulgués ; on sait seulement qu'elle est causée par l'accès à un bloc de mémoire libéré (use-after-free) dans l'implémentation de l'API Indexed DB.

Dans le cadre du programme de récompense en espèces pour la découverte des vulnérabilités de la version actuelle, Google a payé 24 récompenses d'une valeur de 65600 10000 $ (une récompense de 7500 7000 $, une récompense de 5000 3000 $, deux récompenses de 2000 1000 $, trois récompenses de 500 7 $, quatre récompenses de XNUMX XNUMX $, deux récompenses de XNUMX XNUMX $, deux récompenses de XNUMX XNUMX $ et deux récompenses de XNUMX XNUMX $. XNUMX $ de bonus). La taille des XNUMX récompenses n’a pas encore été déterminée.

Source: opennet.ru