Chrome útgáfa 102

Google hefur kynnt útgáfu Chrome 102 vefvafrans. Á sama tíma er stöðug útgáfa af ókeypis Chromium verkefninu, sem þjónar sem grunnur Chrome, fáanleg. Chrome vafrinn er frábrugðinn Chromium að því er varðar notkun Google lógóa, tilvist kerfis til að senda tilkynningar ef hrun er, einingar til að spila afritunarvarið myndbandsefni (DRM), kerfi til að setja upp uppfærslur sjálfkrafa, sem gerir Sandbox einangrun varanlega kleift , útvegar lykla að Google API og sendir RLZ- þegar leitað er í breytum. Fyrir þá sem þurfa meiri tíma til að uppfæra er Extended Stable útibúið sérstaklega stutt og síðan 8 vikur. Næsta útgáfa af Chrome 103 er áætluð 21. júní.

Helstu breytingar á Chrome 102:

• Til að koma í veg fyrir hagnýtingu veikleika sem orsakast af aðgangi að þegar losuðum minnisblokkum (nota-eftir-frjáls), í stað venjulegra ábendinga, byrjaði að nota MiraclePtr (raw_ptr) tegundina. MiraclePtr veitir tengingu yfir ábendingar sem framkvæma viðbótareftirlit á aðgangi að losuðum minnissvæðum og hrun ef slíkur aðgangur greinist. Áhrif nýju verndaraðferðarinnar á frammistöðu og minnisnotkun eru metin sem hverfandi. MiraclePtr vélbúnaðurinn á ekki við í öllum ferlum, sérstaklega er hann ekki notaður í flutningsferlum, en hann getur bætt öryggi verulega. Til dæmis, í núverandi útgáfu, af 32 veikleikum sem voru lagaðir, voru 12 af völdum notkunarlausra vandamála.
• Hönnun viðmóts með upplýsingum um niðurhal hefur verið breytt. Í stað neðstu línunnar með gögnum um niðurhalsframvindu hefur nýr vísir verið bætt við spjaldið með veffangastikunni; þegar þú smellir á hann birtist framvindu niðurhals skráa og ferill með lista yfir þegar niðurhalaðar skrár. Ólíkt neðsta spjaldinu er hnappurinn stöðugt sýndur á spjaldinu og gerir þér kleift að fá fljótt aðgang að niðurhalssögunni þinni. Nýja viðmótið er sem stendur boðið sjálfgefið aðeins sumum notendum og verður stækkað til allra ef engin vandamál koma upp. Til að skila gamla viðmótinu eða virkja nýtt er „chrome://flags#download-bubble“ stillingin til staðar.
• Þegar leitað er að myndum í gegnum samhengisvalmyndina („Leita í mynd með Google Lens“ eða „Finndu í gegnum Google Lens“) birtast niðurstöðurnar nú ekki á sérstakri síðu, heldur í hliðarstiku við hliðina á innihaldi upprunalegu síðunnar (í einn glugga geturðu séð bæði innihald síðunnar og niðurstöður þess að fá aðgang að leitarvélinni.
• Í hlutanum „Persónuvernd og öryggi“ í stillingunum hefur „Persónuverndarleiðbeiningar“ verið bætt við, sem gefur almennt yfirlit yfir helstu stillingar sem hafa áhrif á friðhelgi einkalífsins með nákvæmum útskýringum á áhrifum hverrar stillingar. Til dæmis, í hlutanum geturðu skilgreint stefnuna fyrir sendingu gagna til þjónustu Google, stjórnað samstillingu, vinnslu vafraköku og vistun sögu. Aðgerðin er boðin sumum notendum; til að virkja hana geturðu notað „chrome://flags#privacy-guide“ stillinguna.
• Uppbygging leitarsögu og skoðaðar síður er veitt. Þegar þú reynir að leita aftur birtist vísbending „Halda ferð þína áfram“ á veffangastikunni, sem gerir þér kleift að halda áfram leitinni frá þeim stað þar sem hún var rofin síðast.
• Chrome Web Store býður upp á „Extensions Starter Kit“ síðu með upphaflegu úrvali af ráðlögðum viðbótum.
• Í prófunarham er kveikt á því að senda CORS (Cross-Origin Resource Sharing) heimildarbeiðni til aðalþjóns vefsvæðisins með hausnum „Access-Control-Request-Private-Network: true“ þegar síðan fer inn á auðlind á innra netinu ( 192.168.xx , 10.xxx, 172.16.xx) eða til staðargestgjafa (128.xxx). Þegar aðgerðin er staðfest sem svar við þessari beiðni verður þjónninn að skila „Access-Control-Allow-Private-Network: true“ hausnum. Í Chrome útgáfu 102 hefur staðfestingarniðurstaðan ekki enn áhrif á vinnslu beiðninnar - ef engin staðfesting er til staðar birtist viðvörun í vefstjórnborðinu, en undirforðabeiðnin sjálf er ekki læst. Ekki er búist við því að virkja lokun án staðfestingar frá þjóninum fyrr en útgáfu Chrome 105. Til að virkja lokun í fyrri útgáfum geturðu virkjað stillinguna „chrome://flags/#private-network-access-respect-preflight- niðurstöður“.

  Staðfesting á heimild þjónsins var kynnt til að styrkja vörn gegn árásum sem tengjast aðgangi að auðlindum á staðarnetinu eða á tölvu notandans (localhost) frá forskriftum sem hlaðið er inn þegar vefsvæði er opnað. Slíkar beiðnir eru notaðar af árásarmönnum til að framkvæma CSRF árásir á beina, aðgangsstaði, prentara, fyrirtækjavefviðmót og önnur tæki og þjónustu sem taka aðeins við beiðnum frá staðarnetinu. Til að verjast slíkum árásum, ef aðgangur er að einhverjum undirtilföngum á innra netinu, mun vafrinn senda skýra beiðni um leyfi til að hlaða þessum undirtilföngum.

• Þegar tenglar eru opnaðir í huliðsstillingu í gegnum samhengisvalmyndina eru sumar færibreytur sem hafa áhrif á friðhelgi einkalífsins sjálfkrafa fjarlægðar af vefslóðinni.
• Uppfærslustefnunni fyrir Windows og Android hefur verið breytt. Til að bera betur saman hegðun nýju og gömlu útgáfunnar eru margar smíðir af nýju útgáfunni nú búnar til til niðurhals.
• Netskiptingartækni hefur verið stöðugt til að verjast aðferðum til að fylgjast með hreyfingum notenda á milli vefsvæða sem byggjast á því að geyma auðkenni á svæðum sem ekki eru ætluð til varanlegrar geymslu upplýsinga („ofurkökur“). Þar sem tilföng í skyndiminni eru geymd í sameiginlegu nafnrými, óháð upprunaléni, getur ein síða ákvarðað að önnur síða sé að hlaða tilföngum með því að athuga hvort það tilfang sé í skyndiminni. Vörnin byggist á notkun netskiptingar (Network Partitioning), kjarninn í henni er að bæta við samnýtt skyndiminni viðbótarbindingu skráa við lénið sem aðalsíðan er opnuð frá, sem takmarkar skyndiminni umfang eingöngu fyrir hreyfirakningarforskriftir. á núverandi síðu (forskrift frá iframe mun ekki geta athugað hvort tilfanginu hafi verið hlaðið niður af annarri síðu). State sharing nær yfir nettengingar (HTTP/1, HTTP/2, HTTP/3, websocket), DNS skyndiminni, ALPN/HTTP2, TLS/HTTP3 gögn, stillingar, niðurhal og Expect-CT hausupplýsingar.
• Fyrir uppsett sjálfstæð vefforrit (PWA, Progressive Web App) er hægt að breyta hönnun gluggatitilsvæðisins með því að nota Window Controls Overlay hluti, sem lengja skjásvæði vefforritsins yfir allan gluggann. Vefforrit getur stjórnað flutningi og inntaksvinnslu alls gluggans, að undanskildum yfirlagsblokkinni með venjulegum gluggastýringarhnöppum (loka, lágmarka, hámarka), til að gefa vefforritinu útlit venjulegs skrifborðsforrits.
• Í sjálfvirka útfyllingarkerfinu hefur verið bætt við stuðningi við að búa til sýndarkreditkortanúmer í reiti með greiðsluupplýsingum fyrir vörur í netverslunum. Notkun sýndarkorts, sem er búið til fyrir hverja greiðslu, gerir þér kleift að flytja ekki gögn um raunverulegt kreditkort, en krefst þess að bankinn veiti nauðsynlega þjónustu. Aðgerðin er sem stendur aðeins í boði fyrir bandaríska bankaviðskiptavini. Til að stjórna því að aðgerðin sé tekin inn er lagt til „chrome://flags/#autofill-enable-virtual-card“ stillingin.
• „Capture Handle“ vélbúnaðurinn er sjálfgefið virkur, sem gerir þér kleift að flytja upplýsingar í forrit sem taka myndskeið. API gerir það mögulegt að skipuleggja víxlverkun milli forrita sem innihaldið er skráð og forrita sem framkvæma upptökuna. Til dæmis getur myndfundaforrit sem er að taka myndskeið til að senda út kynningu sótt upplýsingar um kynningarstýringar og birt þær í myndglugganum.
• Stuðningur við íhugunarreglur er sjálfgefið virkur, sem veitir sveigjanlega setningafræði til að ákvarða hvort hægt sé að hlaða hlekkatengdum gögnum fyrirbyggjandi áður en notandinn smellir á hlekkinn.
• Búnaðurinn til að pakka auðlindum í pakka á vefbuntasniðinu hefur verið stöðugur, sem gerir kleift að auka skilvirkni við að hlaða fjölda fylgiskjala (CSS stílar, JavaScript, myndir, iframes). Ólíkt pökkum á Webpack sniði hefur Web Bundle sniðið eftirfarandi kosti: það er ekki pakkinn sjálfur sem er geymdur í HTTP skyndiminni, heldur íhlutir þess; samantekt og keyrsla á JavaScript hefst án þess að bíða eftir að pakkanum sé hlaðið að fullu niður; Það er leyfilegt að innihalda viðbótarauðlindir eins og CSS og myndir, sem í vefpakka þyrfti að vera umritað í formi JavaScript strengja.
• Það er hægt að skilgreina PWA forrit sem meðhöndlun á ákveðnum MIME gerðum og skráarendingu. Eftir að hafa skilgreint bindingu í gegnum file_handlers reitinn í upplýsingaskránni mun forritið fá sérstakan atburð þegar notandi reynir að opna skrá sem tengist forritinu.
• Bætt við nýjum óvirkum eiginleikum sem gerir þér kleift að merkja hluta af DOM trénu sem "óvirkt". Fyrir DOM hnúta í þessu ástandi eru textaval og meðhöndlun bendils óvirk, þ.e. Benditilvikin og CSS-eiginleikar sem notendur velja eru alltaf stilltir á „enginn“. Ef hægt væri að breyta hnút, þá verður hann óbreytanlegur í óvirkum ham.
• Bætti við Navigation API, sem gerir vefforritum kleift að stöðva gluggaleiðsöguaðgerðir, hefja siglingar og greina sögu aðgerða með forritinu. Forritaskilin bjóða upp á val við eiginleikana window.history og window.location, fínstillt fyrir einnar síðu vefforrit.
• Nýr fáni, „until-found“, hefur verið lagður til fyrir „falinn“ eiginleikann, sem gerir þáttinn leitarhæfan á síðunni og flettanlegur með textagrímu. Til dæmis er hægt að bæta földum texta við síðu, innihald hennar er að finna í staðbundinni leit.
• Í WebHID API, hannað til að fá aðgang að HID tækjum á lágu stigi (mannaviðmótstæki, lyklaborð, mýs, leikjatölvur, snertiborð) og skipuleggja vinnu án þess að vera til staðar sérstakur rekla í kerfinu, hefur exclusionFilters eigninni verið bætt við requestDevice( ) hlut, sem gerir þér kleift að útiloka ákveðin tæki þegar vafrinn sýnir lista yfir tiltæk tæki. Til dæmis geturðu útilokað auðkenni tækis sem hafa þekkt vandamál.
• Það er bannað að birta greiðslueyðublað með því að hringja í PaymentRequest.show() án þess að notandi hafi beinlínis aðgerð, til dæmis með því að smella á þátt sem tengist meðhöndluninni.
• Stuðningur við aðra útfærslu á SDP (Session Description Protocol) samskiptareglum sem notuð er til að koma á fundi í WebRTC hefur verið hætt. Chrome bauð upp á tvo SDP valkosti - sameinað öðrum vöfrum og Chrome sértækum. Héðan í frá er aðeins færanlegi valkosturinn eftir.
• Endurbætur hafa verið gerðar á verkfærum fyrir vefhönnuði. Bætti hnöppum við stílspjaldið til að líkja eftir notkun á dökku og ljósu þema. Vörn forskoðunarflipans í netskoðunarham hefur verið styrkt (virkjað er beiting efnisöryggisstefnu). Villuleitarinn útfærir skriftulokun til að endurhlaða brotpunkta. Búið er að leggja til bráðabirgðaútfærslu á nýju „Performance Insights“ spjaldinu, sem gerir þér kleift að greina árangur tiltekinna aðgerða á síðunni.

Til viðbótar við nýjungar og villuleiðréttingar, útrýma nýja útgáfan 32 veikleika. Margir af veikleikunum voru auðkenndir sem afleiðing af sjálfvirkum prófunum með AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL verkfærunum. Eitt af vandamálunum (CVE-2022-1853) hefur verið úthlutað mikilvægu hættustigi, sem felur í sér getu til að komast framhjá öllum stigum vafraverndar og keyra kóða á kerfinu utan sandkassaumhverfisins. Upplýsingar um þennan varnarleysi hafa ekki enn verið birtar; það er aðeins vitað að það stafar af aðgangi að lausri minnisblokk (nota-eftir-frjáls) í Indexed DB API útfærslunni.

Sem hluti af peningaverðlaunaáætluninni til að uppgötva veikleika fyrir núverandi útgáfu, greiddi Google 24 verðlaun að verðmæti $65600 (ein $10000 verðlaun, ein $7500 verðlaun, tvö $7000 verðlaun, þrjú $5000 verðlaun, fjögur $3000 verðlaun, tvö $2000 verðlaun og tvö $1000 verðlaun, $500 bónus). Stærð verðlaunanna 7 hefur ekki enn verið ákveðin.

Heimild: opennet.ru