A Chrome 135 webböngésző kiadása

A Google közzétette a Chrome 135 web böngésző kiadását. Egyidejűleg elérhető a Chromium szabad projekt stabil verziója, amely a Chrome alapjául szolgál. A Chrome böngésző eltér a Chromiumtól, mert használja a Google logóit, van benne hibaértesítési rendszer, védett videótartalom (DRM) lejátszására szolgáló modulok, automatikus frissítés telepítési rendszere, folyamatos Sandbox-elszigetelés, kulcsok biztosítása a Google API-hoz és RLZ-paraméterek továbbítása a keresés során. Azok számára, akiknek több időre van szükségük a frissítéshez, külön támogatott az Extended Stable ága, amely 8 hétig marad érvényben. A következő Chrome 136 kiadás április 29-re van tervezve.

Főbb változások a Chrome 135-ben:

• Bevezették a felhasználók rejtett azonosításának védelmét az HSTS (HTTP Strict Transport Security) gyorsítótárazásával. Az HSTS lehetővé teszi a webhelyek számára, hogy HTTP-n történő belépéskor átirányítsák a felhasználót HTTPS-re. A munka során a HSTS-n keresztül megadott hosztnév megőrződik a belső gyorsítótárban, ami lehetővé teszi, hogy a hoszt gyorsítótárban való jelenlétét vagy hiányát egyetlen információbit tárolására használják.

  A 32-bites felhasználói azonosító rejtett tárolására használható egy 32 képből álló tömb, amelyet különböző hosztokról kapnak HTTP-n (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg stb.). Az azonosító meghatározása a HTTPS-en és HTTP-n keresztül letöltött képek hosztjainak ellenőrzésével történik (ha a képeket korábban HTTP-n adták át, és HSTS-n keresztül átirányították HTTPS-re, akkor a következő kérdésekben azokat azonnal HTTPS-ről töltik le, megkerülve a HTTP-ra való hívást). A védelem arra korlátozódik, hogy csak a felső szintű erőforrások számára engedélyezi az HSTS frissítését, és blokkolja az HSTS frissítését a részlesszolgáltatások kéréseiben.
• Helyben futó gépi tanulási modell került bevezetésre a jelszóbeviteli űrlapok jelenlétének azonosításának javítása érdekében, valamint a jelszó automatikus megváltoztatására. Ha egy jelszót kompromittáltnak nyilvánítanak, akkor a Chrome figyelmeztetést ad, amikor ezzel a jelszóval próbálkozik a webhelyre való belépéskor, és javasolja a jelszó megváltoztatását. Egyetértés esetén a böngésző erős jelszót generál, megváltoztatja a jelszót a webhelyen, és elmenti az új jelszót a jelszókezelőbe - az AI automatikusan kitölti és elküldi a szükséges web-űrlapokat a megfelelő weboldalon, valamint frissíti a tárolt jelszót.
• A böngésző kiterjesztett védelmi módjába (Safe Browsing > Enhanced protection) hozzáadták a nagy nyelvi modell használatának lehetőségét a csaló oldalak tartalmuk alapján történő kimutatására. Az AI-modell az ügyfélnél fut, de ha gyanús tartalomra derül fény, további ellenőrzés történik. szervereken Google. Ha a további ellenőrzés megerősítést nyer, a felhasználónak figyelmeztetés jelenik meg. Az ellenőrzés egyelőre csak az API Keyboard Lock-ot használó oldalakon történik.
• A felhasználók, akik összekapcsolták a Chrome-ot Google-fiókjukkal, lehetőséget kaptak arra, hogy a telepített kiegészítőket elmentsék Google-fiókjukba, így azokat automatikusan használhassák minden számítógépen, amelyet használnak.
• Azok a felhasználók, akik nemrég kapcsolódtak a Google-fiókjukhoz vagy használják a Chrome Sync-ot, külön tárolják a szinkronizált beállításokat, webhelyparancsikonokat és téma beállításokat a helyi beállításoktól. Így, ha a Chrome Sync le van kapcsolva az eszközön, az alapértelmezett beállítások megmaradnak, és a Googlehoz való csatlakozáskor nem töltődnek be a helyi beállítások.
• Android verziójában megállt a beépített jelszókezelő támogatása, melyet a Google Password Manager váltott fel, melyet a Google Playen keresztül kínálnak. A felhasználók elmenthetik a régi jelszókezelő tartalmát CSV formátumban, hogy más jelszókezelőkbe át tudják vinni.
• Az inkognitó módban megvalósították a böngésző oldalán kikapcsolhatatlan külső sütik blokkolását, amelyek akkor jönnek létre, amikor webhelyekhez fordulunk, eltérően a domain jelenlegi oldaltól (ezek a sütik a felhasználó webhelyek közötti mozgásának nyomon követésére szolgálnak hirdetési hálózatok, közösségi médiás widgetek és webanalitikai rendszerek kódjában). A külső sütik blokkolásának kezelési lehetősége a webhelyek számára változatlan maradt, de a böngészőben az inkognitó módban a BlockThirdPartyCookies beállítás mostantól nem állítható false értékre.
• A CSS-ben hozzáadták a „::column”, „::scroll-button”, „::scroll-marker” és „::scroll-marker-group” pszeudoelemeket, amelyek segítségével karusszelszerű görgetést valósíthatunk meg.
• Bevezették a „command” és „commandfor” HTML-attribútumokat, amelyeket a gombokon használhatunk a „popovertargetaction” és „popovertarget” attribútumok helyett a menü interakcióinak deklaratív beállításához, amely a gomb megnyomására aktiválódik. Az új attribútumok használatakor az összes menüinterakciót a böngésző kezeli, így nincs szükség saját JavaScript-kezelőkkel való megoldásra. Például, egy legördülő menü létrehozásához elegendő megadni: <button commandfor="»my-menu»" command="»show-popover»">Menü megnyitása</button> <div popover id="»my-menu»"> … </div>
• A CSS-hez hozzáadva a shape() függvény, amely lehetővé teszi formák létrehozását a CSS clip-path és offset-path tulajdonságok felhasználásával. A shape() függvény olyan formáló utasításokat támogat, amelyek ekvivalensek a path() függvénnyel, de lehetővé teszik a szabványos CSS szintaxis használatát.
• A Web Speech API, amely beszédszintézis és beszédköszönet lehetőségeit biztosítja, támogatja a MediaStreamTrack interfészt, amely lehetővé teszi a hang feldolgozását különböző forrásokból, beleértve a külső hangszalagokat is. Korábban a Web Speech API csak a kiválasztott alapértelmezett mikrofonon keresztül érkező hangot tudott kezelni.
• A JavaScript hozzáadta a Float16Array típusú tömbök támogatását, amelyek a Float16 típusú értékek tárolására szolgálnak.
• Hozzáadva az Observable API az eseményfolyamok aszinkron kezelésére. Az API lehetővé teszi, hogy feliratkozzon egy objektumra az események érkezésekor, és deklaratívan leírja az átalakítások folyamatát, amelyeket az érkező eseményekre alkalmazni fognak.
• Eltávolították a navigator.xr.supportsSession metódust, amely korábban elavultnak számított. Ehelyett a navigator.xr.isSessionSupported metódust kell használni, amelyet a WebXR specifikációban deklaráltak.
• Eltávolítva az InsecurePrivateNetworkRequestsAllowedForUrls és az InsecurePrivateNetworkRequestsAllowed beállítások, amelyeket a PNA 1.0 (Private Network Access) mechanizmus engedélyezésére használtak. Ez korlátozta a nyilvánosan elérhető weboldalakról érkező források betöltését, amelyek a belső hálózaton található hostokra irányulnak (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 stb.). Az ilyen tevékenységeket a támadók csinálják, hogy CSRF-támadásokat végezzenek routereken, hozzáférési pontokon, nyomtatókon, vállalati webinterfészeken és más olyan eszközökön és szolgáltatásokon, amelyek csak helyi hálózatról elfogadnak kéréseket.

  Egyes eszközökkel való inkompatibilitás miatt a PNA 1.0 csak kérésre lett aktiválható. A PNA 1.0 helyett a PNA 2.0 specifikáció lett kifejlesztve, amelynek támogatásához nem szükséges eszközoldali változtatás, elegendő a weboldalak oldalán végzett módosítás, amelyek intranet erőforrásokhoz szeretnének hozzáférni. A PNA 1.0 és a PNA 2.0 nem kompatibilisek egymással, így a PNA 2.0 bevezetéséig a Google először el fogja távolítani a PNA 1.0 támogatását.

• Eltávolították a régi MutationEvent interfész és a hozzá kapcsolódó, szinkron módon kezelt események támogatási lehetőségét, mint a DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument és DOMCharacterDataModified. Ezt az interfészt a DOM fa változásainak követésére használták, de negatívan befolyásolta az oldalak teljesítményét, és akadályozta néhány új funkció implementálását. Ezt az API-t tavaly nyáron alapértelmezetten letiltották, de a Chrome-ban megmaradt a MutationEventsEnabled opció a támogatás visszaállítására. Alternatívaként a Mutation Observer API használata ajánlott.
• A webfejlesztők számára készült eszközök teljesítmény-elemző lehetőségei bővültek.

Az új verzióban új funkciók bevezetésén és hibák javításán kívül 14 sebezhetőséget is megszüntettek. Sok sebezhetőséget az AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer és AFL automatizált tesztelő eszközök segítségével azonosítottak. Kritikus problémákat, amelyek minden szintű védelem megkerülésére és kód végrehajtására adtak volna lehetőséget a rendszerben a sandbox környezeten kívül, nem találtak. A sebezhetőségek felfedezésére irányuló díjazási program keretében a Google az aktuális kiadásra 8 jutalmat fizetett ki összesen 17 ezer amerikai dollár értékben, köztük egy 10,000 dolláros és két 2,000, 1,000 és 500 dolláros jutalmat.

Forrás: opennet.ru