ביקורת על הכללת ממשק ה-Idle Detection API בכרום 94. ניסוי עם חלודה בכרום

הכללת ברירת המחדל של ממשק ה-Idle Detection API בכרום 94 הובילה לגל של ביקורת, תוך ציטוט של התנגדויות של מפתחי Firefox ו-WebKit/Safari.

ה-Idle Detection API מאפשר לאתרים לזהות את הזמן שבו משתמש אינו פעיל, כלומר. אינו יוצר אינטראקציה עם מקלדת/עכבר או מבצע עבודה על צג אחר. ה-API גם מאפשר לברר האם שומר מסך פועל במערכת או לא. מידע על חוסר פעילות מתבצע על ידי שליחת הודעה לאחר הגעה לסף חוסר פעילות מוגדר, שהערך המינימלי שלו מוגדר לדקה אחת.

חשוב לציין שהשימוש ב-Idle Detection API מצריך הענקה מפורשת של הרשאות משתמש, כלומר. אם האפליקציה תנסה לזהות חוסר פעילות בפעם הראשונה, יוצג למשתמש חלון שישאל אם להעניק הרשאות או לחסום את הפעולה. כדי להשבית לחלוטין את ה-Idle Detection API, אפשרות מיוחדת ("chrome://settings/content/idleDetection") מסופקת בסעיף ההגדרות של "פרטיות ואבטחה".

אזורי היישומים כוללים אפליקציות צ'אט, רשתות חברתיות ותקשורת שיכולות לשנות את מצב המשתמש בהתאם לנוכחותו במחשב או לדחות הודעה על הודעות חדשות עד להגעת המשתמש. ניתן להשתמש ב-API גם ביישומי קיוסק כדי לחזור למסך המקורי לאחר תקופה של חוסר פעילות, או לנטרל פעולות אינטראקטיביות עתירות משאבים, כגון ציור מחדש של תרשימים מורכבים ומתעדכנים כל הזמן, כאשר המשתמש אינו נמצא ליד המחשב.

עמדת המתנגדים להפעלת ה-API של Idle Detection היא שמידע לגבי האם המשתמש נמצא ליד המחשב או לא יכול להיחשב חסוי. בנוסף ליישומים שימושיים, API זה יכול לשמש גם למטרות רעות, למשל, לנסות לנצל נקודות תורפה בזמן שהמשתמש לא נמצא או להסתיר פעילות זדונית בולטת, כמו כרייה. באמצעות ה-API המדובר, ניתן גם לאסוף מידע על דפוסי התנהגות המשתמש ועל הקצב היומי של עבודתו. לדוגמה, ניתן לברר מתי המשתמש בדרך כלל הולך לארוחת צהריים או עוזב את מקום העבודה. בהקשר של בקשת חובה להוכחת הרשאה, חששות אלו נתפסים על ידי Google כחסרי משמעות.

בנוסף, תוכל לציין את ההערה של מפתחי Chrome על קידום טכניקות חדשות להבטחת פעולה בטוחה עם זיכרון. לפי גוגל, 70% מבעיות האבטחה בכרום נגרמות משגיאות זיכרון, כמו שימוש במאגר לאחר שחרור הזיכרון המשויך אליו (use-after-free). שלוש אסטרטגיות עיקריות להתמודדות עם שגיאות כאלה מזוהות: חיזוק בדיקות בשלב הקומפילציה, חסימת שגיאות בזמן ריצה ושימוש בשפה בטוחה בזיכרון.

דווח כי החלו ניסויים להוסיף את היכולת לפתח רכיבים בשפת Rust לבסיס הקוד Chromium. קוד ה-Rust עדיין לא נכלל ב-builds המועברים למשתמשים והוא נועד בעיקר לבחון את האפשרות לפתח חלקים בודדים של הדפדפן ב-Rust ושילובם עם חלקים אחרים הכתובים ב-C++. במקביל, עבור קוד C++, ממשיך להתפתח פרויקט לשימוש בסוג MiraclePtr במקום מצביעים גולמיים כדי לחסום את האפשרות לניצול נקודות תורפה הנגרמות מגישה לבלוקים של זיכרון שכבר משוחררים, ומוצעות גם שיטות חדשות לאיתור שגיאות בשלב ההידור.

בנוסף, גוגל מתחילה ניסוי לבדיקת שיבושים אפשריים לאתרים לאחר שהדפדפן מגיע לגרסה המורכבת משלוש ספרות במקום שתיים. במיוחד, במהדורות הבדיקה של Chrome 96, ההגדרה "chrome://flags#force-major-version-to-100" הופיעה, כאשר צוינה בכותרת User-Agent, גרסה 100 (Chrome/100.0.4650.4) מתחיל להיות מוצג. באוגוסט נערך ניסוי דומה בפיירפוקס, שחשף בעיות בעיבוד גרסאות תלת ספרתיות בחלק מהאתרים.

מקור: OpenNet.ru