Izdanje web preglednika Chrome 135

Tvrtka Google objavila je izdanak web preglednika Chrome 135. Istovremeno je dostupan stabilni izdanak slobodnog projekta Chromium, koji je osnova Chrome-a. Preglednik Chrome razlikuje se od Chromium-a korištenjem Google-ovih logotipa, sistemom slanja obavijesti u slučaju pada, modulima za reprodukciju video sadržaja zaštićenog od kopiranja (DRM), automatskom instalacijom ažuriranja, stalnim uključivanjem Sandbox izolacije, isporukom ključeva za Google API i prijenosom RLZ parametara prilikom pretraživanja. Za one kojima je potrebno više vremena za ažuriranje, posebno se podržava grananje Extended Stable, koje traje 8 tjedana. Sljedeće izdanje Chrome 136 planirano je za 29. travnja.

Glavne promjene u Chrome 135:

• Dodana je zaštita od skrivenog identificiranja korisnika pomoću HSTS (HTTP Strict Transport Security) cache-a. HSTS omogućava web stranicama da prilikom pristupa putem HTTP-a preusmjere korisnika na HTTPS. Tijekom rada ime hosta postavljeno putem HSTS-a pohranjuje se u unutarnjem cache-u, što omogućava korištenje prisutnosti ili odsutnosti hosta u cache-u za pohranu jednog bita informacija.

  Za skriveno pohranjivanje 32-bitnog identifikatora korisnika može se koristiti niz od 32 slike, koje se isporučuju s različitih hostova putem HTTP-a (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg itd.). Utvrđivanje identifikatora vrši se provjeravanjem s kojih hostova su slike učitane putem HTTPS-a, a s kojih putem HTTP-a (ako su slike ranije isporučene putem HTTP-a i preusmjerene na HTTPS putem HSTS-a, tada će se pri naknadnim zahtjevima odmah učitati s HTTPS-a, zaobilazeći pristup putem HTTP-a). Zaštita se svodi na dopuštanje ažuriranja HSTS-a samo za resurse višeg nivoa i blokiranje ažuriranja HSTS-a u zahtjevima sub-resursa.
• Dodana je lokalno izvršavana AI modela strojnog učenja za poboljšanje prepoznavanja prisutnosti obrazaca za unos lozinki na stranicama te automatske promjene lozinke. Ako se lozinka smatra kompromitiranom, prilikom pokušaja prijave s tom lozinkom na web stranicu, Chrome će prikazati upozorenje sa prijedlogom za promjenu lozinke. U slučaju pristanka, preglednik će generirati lozinku otporna na otkrivanje, promijeniti lozinku na web stranici i pohraniti novu lozinku u upravitelju lozinki — AI će sam ispuniti i poslati potrebne web obrasce na potrebnoj stranici i ažurirati pohranjenu lozinku.
• U načinu poboljšane zaštite preglednika (Safe Browsing > Enhanced protection) dodana je mogućnost korištenja velike jezične mreže za prepoznavanje prijevarnih stranica na temelju njihove sadržaja. AI model se izvršava na strani klijenta, ali u slučaju sumnje na sumnjiv sadržaj, provodi se dodatna provjera na poslužiteljima Googleu. Ako se dodatna provjera potvrdi, korisniku se prikazuje upozorenje. Provjera se trenutno provodi samo za stranice koje koriste API Keyboard Lock.
• Za korisnike koji su povezali Chrome sa svojim Google računom, dostupna je opcija spremanja instaliranih dodataka u svoj Google račun za daljnju automatsku upotrebu tih dodataka na svim računalima koje korisnik koristi.
• Korisnicima koji su se nedavno povezali s Google računom ili koriste Chrome Sync osigurano je pohranjivanje sinkroniziranih postavki, prečaca do web-lokacija i tema odvojeno od lokalnih postavki. Na taj način, nakon isključivanja Chrome Sync-a na uređaju, izvorne postavke će ostati, a prilikom povezivanja s Googleom lokalne postavke neće biti učitane.
• U verziji za Android prestala je podrška za ugrađeni upravitelj lozinki, koji je zamijenjen ujednačenim Google Password Managerom, dostupnim putem Google Playa. Korisnici mogu spremiti sadržaj starog upravitelja lozinki u CSV formatu za prijenos u druge upravitelje lozinki.
• U načinu anonimnog pregledavanja implementirana je neisključiva blokada vanjskih kolačića koju postavlja preglednik prilikom pristupanja stranicama osim domenu trenutne stranice (takvi kolačići se koriste za praćenje kretanja korisnika između web stranica kod reklama, društvenih mreža i sustava web analitike). Mogućnost upravljanja blokadom vanjskih kolačića s web stranica ostala je nepromijenjena, ali u pregledniku postavka BlockThirdPartyCookies u načinu anonimnog pregledavanja sada se ne može postaviti na false.
• U CSS su dodani pseudo-elementi „::column“, „::scroll-button“, „::scroll-marker“ i „::scroll-marker-group“, pomoću kojih se može implementirati pomicanje u obliku karusela.
• Implementirani su HTML atributi «command» i «commandfor», koji se mogu koristiti u gumbima umjesto atributa «popovertargetaction» i «popovertarget» za deklarativno postavljanje interakcije s izbornikom koji se aktivira pritiskom na gumb. Kada se koriste novi atributi, cijela logika interakcije s izbornikom preuzima preglednik, bez potrebe za uključivanjem vlastitih JavaScript obradnika. Na primjer, za izradu padajućeg izbornika dovoljno je navesti: <button commandfor="»my-menu»" command="»show-popover»">Otvorite izbornik</button> <div popover id="»my-menu»"> … </div>
• U CSS-u je dodana funkcija shape(), koja omogućava formiranje oblika koristeći CSS svojstva clip-path i offset-path. Funkcija shape() podržava naredbe za formiranje oblika koje su ekvivalentne funkciji path(), ali omogućava korištenje standardne CSS sintakse.
• U API Web Speech, koji pruža funkcije za sintetičku i prepoznatljivu govor, dodana je podrška za sučelje MediaStreamTrack za obradu zvuka koji dolazi iz različitih izvora, uključujući vanjske zvučne zapise. Ranije je API Web Speech mogao obrađivati samo zvuk koji dolazi kroz zadani mikrofon.
• U JavaScript je dodana podrška za tipizirane nizove Float16Array, namijenjene za pohranu vrijednosti tipa Float16.
• Dodano je API Observable za obradu tokova događaja u asinhronom režimu. API omogućuje pretplatu na objekt za primanje događaja dok dolaze i deklarativno opisuje tok transformacija koje će se primijeniti na dolazne događaje.
• Metoda navigator.xr.supportsSession, koja je ranije proglašena zastarjelom, uklonjena je. Umjesto toga treba koristiti metodu navigator.xr.isSessionSupported, navedenu u specifikaciji WebXR.
• Uklonjene su postavke InsecurePrivateNetworkRequestsAllowedForUrls i InsecurePrivateNetworkRequestsAllowed, koje su se koristile za uključivanje mehanizma PNA 1.0 (Pristup privatnoj mreži), koji ograničava učitavanje resursa s javno dostupnih stranica koje se referiraju na domaćine u unutarnjoj mreži (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 itd.). Takve aktivnosti koriste napadači za provođenje CSRF napada na usmjerivače, pristupne točke, pisače, korporativne web sučeljene i druge uređaje i usluge koje prihvaćaju zahtjeve samo iz lokalne mreže.

  Zbog nespojivosti s nekim uređajima, PNA 1.0 mogla se uključiti samo na zahtjev. Umjesto PNA 1.0 razvijena je specifikacija PNA 2.0, za koju nije potrebna promjena na strani uređaja, a potrebne su samo promjene na stranama web stranica koje trebaju pristup intranet resursima. PNA 1.0 i PNA 2.0 nisu međusobno kompatibilni, stoga će Google prvo ukloniti podršku za PNA 1.0 prije uvođenja PNA 2.0.

• Opcija za vraćanje podrške zastarjelom sučelju MutationEvent i povezanih sinonimskih događaja DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument i DOMCharacterDataModified je uklonjena. Sučelje se koristilo za praćenje promjena u DOM stablu, ali negativno je utjecalo na performanse stranica i ometalo provedbu nekoliko novih mogućnosti. Ovaj API je bio isključen prema zadanim postavkama prošlog ljeta, ali u Chromu je ostala opcija MutationEventsEnabled za vraćanje podrške. Kao alternativu, preporučuje se korištenje API-ja Mutation Observer.
• U alatima za web-razvoj proširene su mogućnosti alata za analizu performansi.

Osim novih mogućnosti i ispravaka grešaka, nova verzija uklanja 14 ranjivosti. Mnoge od ranjivosti otkrivene su automatiziranim testiranjem alatima AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nisu otkrivene kritične probleme koje omogućuju zaobilaženje svih razina zaštite preglednika i izvršavanje koda izvan sandbox okruženja. U okviru programa isplate novčanih nagrada za otkrivanje ranjivosti, tvrtka Google je za ovu verziju isplatila 8 nagrada u ukupnom iznosu od 17 tisuća dolara, jedna nagrada od 10 000 dolara i po dvije nagrade od 2 000, 1 000 i 500 dolara.

Izvor: opennet.ru