क्रोम 102 रिलीज

Google ने Chrome 102 वेब ब्राउज़र की रिलीज़ का अनावरण किया है। साथ ही, मुफ़्त क्रोमियम प्रोजेक्ट की एक स्थिर रिलीज़, जो Chrome के आधार के रूप में कार्य करती है, उपलब्ध है। क्रोम ब्राउज़र क्रोमियम से Google लोगो के उपयोग, क्रैश की स्थिति में सूचनाएं भेजने के लिए एक सिस्टम की उपस्थिति, कॉपी-संरक्षित वीडियो सामग्री (डीआरएम) चलाने के लिए मॉड्यूल, स्वचालित रूप से अपडेट इंस्टॉल करने के लिए एक सिस्टम, सैंडबॉक्स अलगाव को स्थायी रूप से सक्षम करने में भिन्न है। , Google API को कुंजियाँ प्रदान करना और खोजते समय RLZ- संचारित करना। पैरामीटर। जिन लोगों को अपडेट करने के लिए अधिक समय की आवश्यकता है, उनके लिए एक्सटेंडेड स्टेबल शाखा अलग से समर्थित है, इसके बाद 8 सप्ताह का समय दिया जाता है। Chrome 103 की अगली रिलीज़ 21 जून को निर्धारित है।

Chrome 102 में मुख्य परिवर्तन:

• पहले से ही मुक्त मेमोरी ब्लॉक (उपयोग-बाद-मुक्त) तक पहुंच के कारण होने वाली कमजोरियों के शोषण को रोकने के लिए, सामान्य पॉइंटर्स के बजाय, मिरेकलपीटीआर (रॉ_पीटीआर) प्रकार का उपयोग किया जाने लगा। मिरेकलपीटीआर पॉइंटर्स पर एक बाइंडिंग प्रदान करता है जो मुक्त मेमोरी क्षेत्रों तक पहुंच पर अतिरिक्त जांच करता है और ऐसी पहुंच का पता चलने पर क्रैश हो जाता है। प्रदर्शन और मेमोरी खपत पर नई सुरक्षा पद्धति का प्रभाव नगण्य आंका गया है। मिरेकलपीटीआर तंत्र सभी प्रक्रियाओं में लागू नहीं है, विशेष रूप से इसका उपयोग रेंडरिंग प्रक्रियाओं में नहीं किया जाता है, लेकिन यह सुरक्षा में काफी सुधार कर सकता है। उदाहरण के लिए, वर्तमान रिलीज़ में, तय की गई 32 कमजोरियों में से 12 उपयोग-बाद-मुक्त समस्याओं के कारण थीं।
• डाउनलोड के बारे में जानकारी वाले इंटरफ़ेस का डिज़ाइन बदल दिया गया है। डाउनलोड प्रगति पर डेटा के साथ निचली पंक्ति के बजाय, एड्रेस बार के साथ पैनल में एक नया संकेतक जोड़ा गया है; जब आप उस पर क्लिक करते हैं, तो फ़ाइलों को डाउनलोड करने की प्रगति और पहले से डाउनलोड की गई फ़ाइलों की सूची के साथ एक इतिहास दिखाया जाता है। निचले पैनल के विपरीत, बटन लगातार पैनल पर दिखाया जाता है और आपको अपने डाउनलोड इतिहास तक तुरंत पहुंचने की अनुमति देता है। नया इंटरफ़ेस वर्तमान में केवल कुछ उपयोगकर्ताओं के लिए डिफ़ॉल्ट रूप से पेश किया गया है और यदि कोई समस्या नहीं है तो इसे सभी के लिए विस्तारित किया जाएगा। पुराने इंटरफ़ेस को वापस करने या नया इंटरफ़ेस सक्षम करने के लिए, "chrome://flags#download-bubble" सेटिंग प्रदान की गई है।
• संदर्भ मेनू ("Google लेंस के साथ छवि खोजें" या "Google लेंस के माध्यम से ढूंढें") के माध्यम से छवियों की खोज करते समय, परिणाम अब एक अलग पृष्ठ पर नहीं दिखाए जाते हैं, बल्कि मूल पृष्ठ की सामग्री के बगल में एक साइडबार में दिखाए जाते हैं। एक विंडो में आप पेज की सामग्री और खोज इंजन तक पहुंचने के परिणाम दोनों को एक साथ देख सकते हैं)।
• सेटिंग्स के "गोपनीयता और सुरक्षा" अनुभाग में, एक "गोपनीयता गाइड" अनुभाग जोड़ा गया है, जो प्रत्येक सेटिंग के प्रभाव के विस्तृत स्पष्टीकरण के साथ गोपनीयता को प्रभावित करने वाली मुख्य सेटिंग्स का एक सामान्य अवलोकन प्रदान करता है। उदाहरण के लिए, अनुभाग में आप Google सेवाओं को डेटा भेजने, सिंक्रनाइज़ेशन, कुकी प्रसंस्करण और इतिहास बचत का प्रबंधन करने के लिए नीति को परिभाषित कर सकते हैं। फ़ंक्शन कुछ उपयोगकर्ताओं के लिए पेश किया गया है; इसे सक्रिय करने के लिए, आप "chrome://flags#privacy-guide" सेटिंग का उपयोग कर सकते हैं।
• खोज इतिहास और देखे गए पृष्ठों की संरचना प्रदान की गई है। जब आप दोबारा खोजने का प्रयास करते हैं, तो पता बार में "अपनी यात्रा फिर से शुरू करें" संकेत प्रदर्शित होता है, जिससे आप उस स्थान से खोज जारी रख सकते हैं जहां पिछली बार यह बाधित हुआ था।
• Chrome वेब स्टोर अनुशंसित ऐड-ऑन के प्रारंभिक चयन के साथ एक "एक्सटेंशन स्टार्टर किट" पृष्ठ प्रदान करता है।
• परीक्षण मोड में, मुख्य साइट सर्वर पर "एक्सेस-कंट्रोल-रिक्वेस्ट-प्राइवेट-नेटवर्क: ट्रू" हेडर के साथ एक सीओआरएस (क्रॉस-ओरिजिनल रिसोर्स शेयरिंग) प्राधिकरण अनुरोध भेजना तब सक्षम होता है जब पेज आंतरिक नेटवर्क पर किसी संसाधन तक पहुंचता है ( 192.168.xx , 10.xxx, 172.16.xx) या लोकलहोस्ट (128.xxx) पर। इस अनुरोध के जवाब में ऑपरेशन की पुष्टि करते समय, सर्वर को "एक्सेस-कंट्रोल-अनुमति-निजी-नेटवर्क: सत्य" हेडर वापस करना होगा। क्रोम संस्करण 102 में, पुष्टिकरण परिणाम अभी तक अनुरोध के प्रसंस्करण को प्रभावित नहीं करता है - यदि कोई पुष्टि नहीं है, तो वेब कंसोल में एक चेतावनी प्रदर्शित होती है, लेकिन उपसंसाधन अनुरोध स्वयं अवरुद्ध नहीं होता है। Chrome 105 के रिलीज़ होने तक सर्वर से पुष्टि के अभाव में ब्लॉकिंग को सक्षम करना अपेक्षित नहीं है। पहले के रिलीज़ में ब्लॉकिंग को सक्षम करने के लिए, आप "chrome://flags/#private-network-access-respect-preflight-" सेटिंग को सक्षम कर सकते हैं। परिणाम"।

  किसी साइट को खोलते समय लोड की गई स्क्रिप्ट से स्थानीय नेटवर्क या उपयोगकर्ता के कंप्यूटर (लोकलहोस्ट) पर संसाधनों तक पहुंचने से संबंधित हमलों के खिलाफ सुरक्षा को मजबूत करने के लिए सर्वर द्वारा प्राधिकरण का सत्यापन शुरू किया गया था। ऐसे अनुरोधों का उपयोग हमलावरों द्वारा राउटर, एक्सेस प्वाइंट, प्रिंटर, कॉर्पोरेट वेब इंटरफेस और अन्य उपकरणों और सेवाओं पर सीएसआरएफ हमलों को अंजाम देने के लिए किया जाता है जो केवल स्थानीय नेटवर्क से अनुरोध स्वीकार करते हैं। ऐसे हमलों से बचाने के लिए, यदि आंतरिक नेटवर्क पर किसी उप-संसाधन तक पहुंच है, तो ब्राउज़र इन उप-संसाधनों को लोड करने की अनुमति के लिए एक स्पष्ट अनुरोध भेजेगा।

• संदर्भ मेनू के माध्यम से गुप्त मोड में लिंक खोलते समय, गोपनीयता को प्रभावित करने वाले कुछ पैरामीटर स्वचालित रूप से यूआरएल से हटा दिए जाते हैं।
• विंडोज़ और एंड्रॉइड के लिए अपडेट डिलीवरी रणनीति बदल दी गई है। नए और पुराने रिलीज़ के व्यवहार की पूरी तरह से तुलना करने के लिए, नए संस्करण के कई बिल्ड अब डाउनलोड के लिए तैयार किए गए हैं।
• जानकारी के स्थायी भंडारण ("सुपरकुकीज़") के लिए इच्छित क्षेत्रों में पहचानकर्ताओं को संग्रहीत करने के आधार पर साइटों के बीच उपयोगकर्ता आंदोलनों को ट्रैक करने के तरीकों से बचाने के लिए नेटवर्क विभाजन तकनीक को स्थिर किया गया है। चूँकि कैश्ड संसाधन एक सामान्य नामस्थान में संग्रहीत होते हैं, मूल डोमेन की परवाह किए बिना, एक साइट यह निर्धारित कर सकती है कि कोई अन्य साइट यह जाँच कर संसाधन लोड कर रही है कि वह संसाधन कैश में है या नहीं। सुरक्षा नेटवर्क विभाजन (नेटवर्क विभाजन) के उपयोग पर आधारित है, जिसका सार साझा कैश में उस डोमेन पर रिकॉर्ड की अतिरिक्त बाइंडिंग जोड़ना है जहां से मुख्य पृष्ठ खोला जाता है, जो केवल मूवमेंट ट्रैकिंग स्क्रिप्ट के लिए कैश कवरेज को सीमित करता है। वर्तमान साइट पर (आईफ्रेम से एक स्क्रिप्ट यह जांचने में सक्षम नहीं होगी कि संसाधन किसी अन्य साइट से डाउनलोड किया गया था या नहीं)। राज्य साझाकरण में नेटवर्क कनेक्शन (HTTP/1, HTTP/2, HTTP/3, वेबसोकेट), DNS कैश, ALPN/HTTP2, TLS/HTTP3 डेटा, कॉन्फ़िगरेशन, डाउनलोड और एक्सपेक्ट-सीटी हेडर जानकारी शामिल है।
• स्थापित स्टैंड-अलोन वेब एप्लिकेशन (PWA, प्रोग्रेसिव वेब ऐप) के लिए, विंडो कंट्रोल ओवरले घटकों का उपयोग करके विंडो शीर्षक क्षेत्र के डिज़ाइन को बदलना संभव है, जो वेब एप्लिकेशन के स्क्रीन क्षेत्र को संपूर्ण विंडो तक विस्तारित करता है। एक वेब एप्लिकेशन मानक विंडो नियंत्रण बटन (बंद करें, छोटा करें, अधिकतम करें) के साथ ओवरले ब्लॉक को छोड़कर, संपूर्ण विंडो के रेंडरिंग और इनपुट प्रोसेसिंग को नियंत्रित कर सकता है, ताकि वेब एप्लिकेशन को एक नियमित डेस्कटॉप एप्लिकेशन का रूप दिया जा सके।
• फॉर्म ऑटोफ़िल सिस्टम में, ऑनलाइन स्टोर में सामान के भुगतान विवरण के साथ फ़ील्ड में वर्चुअल क्रेडिट कार्ड नंबर उत्पन्न करने के लिए समर्थन जोड़ा गया है। वर्चुअल कार्ड का उपयोग करना, जिसकी संख्या प्रत्येक भुगतान के लिए उत्पन्न होती है, आपको वास्तविक क्रेडिट कार्ड के बारे में डेटा स्थानांतरित करने की अनुमति नहीं देती है, लेकिन इसके लिए बैंक द्वारा आवश्यक सेवा के प्रावधान की आवश्यकता होती है। यह सुविधा फिलहाल केवल यूएस बैंक ग्राहकों के लिए उपलब्ध है। फ़ंक्शन के समावेशन को नियंत्रित करने के लिए, "chrome://flags/#autofill-enable-virtual-card" सेटिंग प्रस्तावित है।
• "कैप्चर हैंडल" तंत्र डिफ़ॉल्ट रूप से सक्रिय होता है, जो आपको वीडियो कैप्चर करने वाले एप्लिकेशन में जानकारी स्थानांतरित करने की अनुमति देता है। एपीआई उन अनुप्रयोगों के बीच बातचीत को व्यवस्थित करना संभव बनाता है जिनकी सामग्री रिकॉर्ड की जाती है और जो अनुप्रयोग रिकॉर्डिंग करते हैं। उदाहरण के लिए, एक वीडियो कॉन्फ्रेंसिंग एप्लिकेशन जो किसी प्रेजेंटेशन को प्रसारित करने के लिए वीडियो कैप्चर कर रहा है, प्रेजेंटेशन नियंत्रणों के बारे में जानकारी प्राप्त कर सकता है और उन्हें वीडियो विंडो में प्रदर्शित कर सकता है।
• सट्टा नियमों के लिए समर्थन डिफ़ॉल्ट रूप से सक्षम है, जो यह निर्धारित करने के लिए लचीला वाक्यविन्यास प्रदान करता है कि उपयोगकर्ता द्वारा लिंक पर क्लिक करने से पहले लिंक-संबंधित डेटा सक्रिय रूप से लोड किया जा सकता है या नहीं।
• वेब बंडल प्रारूप में पैकेजों में संसाधनों की पैकेजिंग के तंत्र को स्थिर कर दिया गया है, जिससे बड़ी संख्या में संबंधित फ़ाइलों (सीएसएस शैलियों, जावास्क्रिप्ट, छवियों, आईफ्रेम) को लोड करने की दक्षता में वृद्धि हो सकती है। वेबपैक प्रारूप में पैकेजों के विपरीत, वेब बंडल प्रारूप के निम्नलिखित फायदे हैं: यह स्वयं पैकेज नहीं है जो HTTP कैश में संग्रहीत है, बल्कि इसके घटक भाग हैं; जावास्क्रिप्ट का संकलन और निष्पादन पैकेज के पूरी तरह से डाउनलोड होने की प्रतीक्षा किए बिना शुरू होता है; इसमें सीएसएस और छवियों जैसे अतिरिक्त संसाधनों को शामिल करने की अनुमति है, जिन्हें वेबपैक में जावास्क्रिप्ट स्ट्रिंग्स के रूप में एन्कोड करना होगा।
• PWA एप्लिकेशन को कुछ MIME प्रकारों और फ़ाइल एक्सटेंशन के हैंडलर के रूप में परिभाषित करना संभव है। मेनिफेस्ट में file_handlers फ़ील्ड के माध्यम से बाइंडिंग को परिभाषित करने के बाद, जब उपयोगकर्ता एप्लिकेशन से जुड़ी फ़ाइल को खोलने का प्रयास करेगा तो एप्लिकेशन को एक विशेष ईवेंट प्राप्त होगा।
• एक नई निष्क्रिय विशेषता जोड़ी गई जो आपको DOM ट्री के भाग को "निष्क्रिय" के रूप में चिह्नित करने की अनुमति देती है। इस स्थिति में DOM नोड्स के लिए, टेक्स्ट चयन और पॉइंटर होवर हैंडलर अक्षम हैं, यानी। पॉइंटर-इवेंट और उपयोगकर्ता-चयन सीएसएस गुण हमेशा 'कोई नहीं' पर सेट होते हैं। यदि किसी नोड को संपादित किया जा सकता है, तो निष्क्रिय मोड में यह संपादन योग्य नहीं रह जाता है।
• नेविगेशन एपीआई जोड़ा गया, जो वेब एप्लिकेशन को विंडो नेविगेशन संचालन को रोकने, नेविगेशन शुरू करने और एप्लिकेशन के साथ कार्यों के इतिहास का विश्लेषण करने की अनुमति देता है। एपीआई एकल-पृष्ठ वेब अनुप्रयोगों के लिए अनुकूलित window.history और window.location गुणों का एक विकल्प प्रदान करता है।
• "छिपे हुए" विशेषता के लिए एक नया ध्वज, "अनटिल-फ़ाउंड" प्रस्तावित किया गया है, जो तत्व को पृष्ठ पर खोजने योग्य और टेक्स्ट मास्क द्वारा स्क्रॉल करने योग्य बनाता है। उदाहरण के लिए, आप किसी पृष्ठ पर छिपा हुआ पाठ जोड़ सकते हैं, जिसकी सामग्री स्थानीय खोजों में मिल जाएगी।
• वेबएचआईडी एपीआई में, एचआईडी उपकरणों (मानव इंटरफेस डिवाइस, कीबोर्ड, चूहे, गेमपैड, टचपैड) तक निम्न-स्तरीय पहुंच और सिस्टम में विशिष्ट ड्राइवरों की उपस्थिति के बिना काम को व्यवस्थित करने के लिए डिज़ाइन किया गया है, एक्सक्लूजनफिल्टर प्रॉपर्टी को रिक्वेस्टडिवाइस में जोड़ा गया है। ) ऑब्जेक्ट, जो आपको ब्राउज़र द्वारा उपलब्ध डिवाइसों की सूची प्रदर्शित करने पर कुछ डिवाइसों को बाहर करने की अनुमति देता है। उदाहरण के लिए, आप उन डिवाइस आईडी को बाहर कर सकते हैं जिनमें ज्ञात समस्याएं हैं।
• किसी स्पष्ट उपयोगकर्ता कार्रवाई के बिना PaymentRequest.show() पर कॉल के माध्यम से भुगतान फॉर्म प्रदर्शित करना निषिद्ध है, उदाहरण के लिए, हैंडलर से जुड़े तत्व पर क्लिक करना।
• WebRTC में एक सत्र स्थापित करने के लिए उपयोग किए जाने वाले SDP (सत्र विवरण प्रोटोकॉल) प्रोटोकॉल के वैकल्पिक कार्यान्वयन के लिए समर्थन बंद कर दिया गया है। क्रोम ने दो एसडीपी विकल्प पेश किए - अन्य ब्राउज़रों के साथ एकीकृत और क्रोम-विशिष्ट। अब से केवल पोर्टेबल विकल्प ही बचा है।
• वेब डेवलपर्स के लिए टूल में सुधार किए गए हैं। गहरे और हल्के थीम के उपयोग को अनुकरण करने के लिए शैलियाँ पैनल में बटन जोड़े गए। नेटवर्क निरीक्षण मोड में पूर्वावलोकन टैब की सुरक्षा को मजबूत किया गया है (सामग्री सुरक्षा नीति का अनुप्रयोग सक्षम है)। डिबगर ब्रेकप्वाइंट को पुनः लोड करने के लिए स्क्रिप्ट समाप्ति को लागू करता है। नए "प्रदर्शन अंतर्दृष्टि" पैनल का प्रारंभिक कार्यान्वयन प्रस्तावित किया गया है, जो आपको पृष्ठ पर कुछ कार्यों के प्रदर्शन का विश्लेषण करने की अनुमति देता है।

नवाचारों और बग फिक्स के अलावा, नया संस्करण 32 कमजोरियों को समाप्त करता है। एड्रेससैनिटाइज़र, मेमोरीसैनिटाइज़र, कंट्रोल फ़्लो इंटीग्रिटी, लिबफ़ुज़र और एएफएल टूल का उपयोग करके स्वचालित परीक्षण के परिणामस्वरूप कई कमजोरियों की पहचान की गई थी। समस्याओं में से एक (सीवीई-2022-1853) को खतरे का एक गंभीर स्तर सौंपा गया है, जिसका तात्पर्य ब्राउज़र सुरक्षा के सभी स्तरों को बायपास करने और सैंडबॉक्स वातावरण के बाहर सिस्टम पर कोड निष्पादित करने की क्षमता है। इस भेद्यता पर विवरण अभी तक प्रकट नहीं किया गया है; यह केवल ज्ञात है कि यह अनुक्रमित डीबी एपीआई कार्यान्वयन में एक मुक्त मेमोरी ब्लॉक (उपयोग-बाद-मुक्त) तक पहुंचने के कारण होता है।

वर्तमान रिलीज़ के लिए कमजोरियों की खोज के लिए नकद पुरस्कार कार्यक्रम के हिस्से के रूप में, Google ने $24 के 65600 पुरस्कारों का भुगतान किया (एक $10000 पुरस्कार, एक $7500 पुरस्कार, दो $7000 पुरस्कार, तीन $5000 पुरस्कार, चार $3000 पुरस्कार, दो $2000 पुरस्कार, दो $1000 पुरस्कार और दो $ $500 बोनस)। 7 पुरस्कारों का आकार अभी तक निर्धारित नहीं किया गया है।

स्रोत: opennet.ru