Objavljen web preglednik Chrome 137

Tvrtka Google objavila je izdanje web preglednika Chrome 137. Istovremeno je dostupan stabilni izdanak slobodnog projekta Chromium, koji je temelj Chromea. Preglednik Chrome razlikuje se od Chromiuma upotrebom Googleovih logotipa, sustavom slanja obavijesti u slučaju rušenja, modulima za reprodukciju videa zaštićenog od kopiranja (DRM), sustavom automatskog instaliranja ažuriranja, stalnim uključivanjem Sandbox izolacije, isporukom ključeva za Google API i prijenosom RLZ parametara prilikom pretraživanja. Za korisnike kojima je potrebna više vremena za ažuriranje, posebno se podržava grana Extended Stable, koja traje 8 tjedana. Sljedeće izdanje Chromea 138 planirano je za 24. lipnja.

Glavne promjene u Chromeu 137:

• U verzije za Windows i macOS integriran je chatbot Gemini, koji može objašnjavati sadržaj pregledavane stranice i odgovarati na povezana pitanja bez prelaska na trenutno aktivnu karticu. Podržava se tekstualna i glasovna interakcija s Gemini. Rad s chatbotom trenutačno je dostupan samo dijelu korisnika iz SAD-a koji imaju pretplate Google AI Pro i Ultra.
• Na sličan način kao ranije implementirano segmentiranje pohrane, osigurana je izolacija obrade URL sheme „blob:”, koja je namijenjena pristupu lokalno generiranim podacima putem API-ja Blob ili File. Tijekom segmentacije, ključnoj vrijednosti pridružuje se zasebna oznaka koja određuje vezu s primarnim domen, s kojeg je otvorena glavna stranica, što omogućuje blokiranje metoda praćenja kretanja korisnika između stranica manipuliranjem URL-om „blob:”.
• U načinu proširene zaštite preglednika (Safe Browsing > Enhanced protection) aktivirana je mogućnost korištenja velikog jezičnog modela za otkrivanje lažnih stranica prema njihovom sadržaju. AI model se izvršava na strani klijenta, ali u slučaju sumnje na sumnjiv sadržaj provodi se dodatna provjera na poslužiteljima Googleu. U trenutnoj verziji se samo prikupljaju informacije o problematičnim stranicama. U sljedećem izdanju planira se početi s prikazivanjem upozorenja korisniku.
• Uključena je zaštita od skrivene identifikacije korisnika putem HSTS (HTTP Strict Transport Security) predmemorije. HSTS omogućuje stranicama da pri pristupanju putem HTTP-a preusmjere korisnika na HTTPS. Tijekom rada, ime hosta postavljeno putem HSTS-a pohranjuje se u unutarnju predmemoriju, što omogućuje korištenje prisutnosti ili odsutnosti hosta u predmemoriji za pohranjivanje jednog bita informacija. Za skriveno pohranjivanje 32-bitnog identifikatora korisnika može se koristiti niz od 32 slike koje se isporučuju s različitih hostova putem HTTP-a (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg itd.). Određivanje identifikatora vrši se provjerom s kojih hostova su slike preuzete putem HTTPS-a, a s kojih putem HTTP-a (ako su slike ranije isporučene putem HTTP-a i putem HSTS preusmjere na HTTPS, tada će se pri sljedećim zahtjevima odmah preuzeti putem HTTPS-a, zaobilazeći kontakt putem HTTP-a). Zaštita se svodi na dopuštanje ažuriranja HSTS-a samo za resurse najvišeg nivoa i blokiranje ažuriranja HSTS-a u zahtjevima subresursa.
• Za WebRTC veze implementirana je podrška za DTLS 1.3 protokol (Datagram Transport Layer Security, ekvivalent TLS-u za UDP). Podrška za DTLS 1.3 je potrebna za korištenje postkvantnih algoritama šifriranja u WebRTC-u.
• Opcija naredbenog retka "—load-extension", koja omogućuje učitavanje ekstenzija, uklonjena je. Opcija je uklonjena kako bi se smanjio rizik od korištenja za podmetanje zlonamjernih ekstenzija. Za prisilno učitavanje raspakiranih ekstenzija preporučuje se koristiti gumb "Load Unpacked" na stranici za upravljanje ekstenzijama (chrome://extensions/) nakon uključivanja načina za programere. U Chromiumu i testnim verzijama Chrome For Testing podrška za opciju "—load-extension" je očuvana.
• Odlučeno je da se odustane od automatskog prebacivanja na korištenje SwiftShader softverske grafike za WebGL, koja implementira Vulkan API. U slučaju da odgovarajući GPU backend nije dostupan, sada će stvaranje WebGL konteksta vraćati grešku umjesto da se prebacuje na SwiftShader. Prestanak korištenja SwiftShadera poboljšaće sigurnost, jer isključuje izvršavanje koda koji generiše JIT kompajler u procesu koji upravlja interakcijom s GPU-om. Za povratak korištenja SwiftShadera predviđena je posebna opcija naredbenog retka „—enable-unsafe-swiftshader“. U Chrome verziji 137 za korisnike Linux i macOS platformi, prilikom korištenja SwiftShadera, u web konzoli će se prikazivati upozorenje, a u Chrome 138 će revert na SwiftShader biti onemogućen. Za korisnike Windowsa, SwiftShader je zamijenjen ugrađenim WARP-om (Windows Advanced Rasterization Platform).
• U postavke je dodana mogućnost uključivanja funkcije „Autofill with AI”, koja olakšava popunjavanje web obrazaca. Kada je uključena, preglednik koristi AI model za razumijevanje web obrasca i automatsko popunjavanje polja, temeljeći se na tome kako je korisnik ranije ispunjavao slične obrasce.
• U API Web Cryptography dodana je podrška za kriptografske algoritme temeljen na eliptičnoj krivulji Curve25519, kao što je algoritam za generisanje digitalnih potpisa Ed25519.
• Implementirano je CSS svojstvo „reading-flow”, koje omogućava kontrolu reda obrade elemenata u flex, grid i blok kontejnerima pri korištenju čitača ekrana i prilikom sekvencijalne navigacije. Također je dodano svojstvo „reading-order”, koje omogućava ručno predefinisanje reda elemenata.
• U CSS-u je predložena funkcija „if()”, koja služi za odabir vrijednosti ovisno o rezultatu uvjetnih izraza. Kao argument se predaje nazivni popis parova „uvjet:vrijednost”, odvojenih točkom i zarezom. Funkcija prelazi kroz te parove i zaustavlja se pri prvom ispunjenom uvjetu. Na primjer: „background-color: if(style(—color: white): black; else: white);”.
• U CSS svojstvu offset-path implementirana je funkcija shape() za formiranje oblika pomoću komandi, koje su ekvivalentne funkciji path(), ali dopuštaju korištenje standardne CSS sintakse.
• Dodana je JSPI API (Integracija JavaScript Promise), koja omogućava integraciju WebAssembly aplikacija s JavaScript objektom Promise i omogućava WebAssembly programima da djeluju kao generatori Promise i komuniciraju s API-jem temeljenim na Promise.
• API-ju CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D i ImageData dodana je podrška za formate piksela koji koriste vrijednosti s pomičnom točkom za predstavljanje komponenti boje.
• U režimu Origin trials ponuđeni su eksperimentalni API-ji Rewriter i Writer, koji omogućuju preuređivanje (na primjer, sažimanje sadržaja ili promjenu stila pripovijedanja) ili generiranje teksta pomoću velikih jezičnih modela.
• U alate za web razvoj dodana je mogućnost povezivanja s radnim prostorima, omogućujući spremanje promjena u lokalnim datotekama dodanih u JavaScript, HTML i CSS pri radu s alatom ugrađenim u preglednik. Proširene su mogućnosti AI asistenta koji može mijenjati CSS i analizirati performanse.

Osim novih značajki i ispravki grešaka, nova verzija rješava 1 ranjivost. Mnoge od ranjivosti otkrivene su automatiziranim testiranjem alatima AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nisu otkrivene kritične probleme koji omogućuju zaobilaženje svih razina zaštite preglednika i izvršavanje koda u sustavu izvan sandbox okruženja. U okviru programa za isplatu nagrada za pronalaženje ranjivosti, tvrtka Google isplatila je 8 nagrada u ukupnom iznosu od 7500 dolara (po jedna nagrada od 4000, 2000, 1000 i 500 dolara). Iznos četiri nagrade još nije utvrđen.

Izvor: opennet.ru