גרסה 102 של Chrome

גוגל חשפה את שחרורו של דפדפן האינטרנט Chrome 102. במקביל, זמינה מהדורה יציבה של פרויקט Chromium החינמי, המשמש כבסיס לכרום. דפדפן Chrome שונה מ-Chromium בשימוש בלוגו של גוגל, בנוכחות מערכת לשליחת התראות במקרה של קריסה, מודולים להפעלת תוכן וידאו מוגן העתקה (DRM), מערכת להתקנה אוטומטית של עדכונים, מאפשרת בידוד של ארגז חול לצמיתות , אספקת מפתחות ל-Google API והעברת RLZ- בעת חיפוש פרמטרים. למי שצריך עוד זמן להתעדכן, הסניף Extended Stable נתמך בנפרד, ואחריו 8 שבועות. המהדורה הבאה של Chrome 103 מתוכננת ל-21 ביוני.

שינויים מרכזיים ב-Chrome 102:

• כדי לחסום ניצול של נקודות תורפה הנגרמות כתוצאה מגישה לבלוקים של זיכרון שכבר שוחררו (שימוש-אחרי-חופשי), במקום מצביעים רגילים, החלו להשתמש בסוג MiraclePtr (raw_ptr). MiraclePtr מספק כריכה על מצביעים המבצעת בדיקות נוספות של גישה לאזורי זיכרון משוחררים וקריסה אם מתגלות גישה כזו. ההשפעה של שיטת ההגנה החדשה על הביצועים וצריכת הזיכרון מוערכת כזניחה. מנגנון MiraclePtr אינו ישים בכל התהליכים, במיוחד אינו משמש בתהליכי רינדור, אך הוא יכול לשפר משמעותית את האבטחה. לדוגמה, במהדורה הנוכחית, מתוך 32 פגיעויות שתוקנו, 12 נגרמו מבעיות לאחר שימוש ללא תשלום.
• עיצוב הממשק עם מידע על הורדות שונה. במקום השורה התחתונה עם נתונים על התקדמות ההורדה, נוסף אינדיקטור חדש לחלונית עם שורת הכתובת; כאשר תלחץ עליו, מוצגות התקדמות הורדת הקבצים והיסטוריה עם רשימה של קבצים שכבר הורדו. בניגוד ללוח התחתון, הכפתור מוצג כל הזמן בלוח ומאפשר לך לגשת במהירות להיסטוריית ההורדות שלך. הממשק החדש מוצע כרגע כברירת מחדל רק לחלק מהמשתמשים ויורחב לכולם אם לא יהיו בעיות. כדי להחזיר את הממשק הישן או לאפשר ממשק חדש, ההגדרה "chrome://flags#download-bubble" מסופקת.
• בעת חיפוש תמונות דרך תפריט ההקשר ("חפש תמונה עם Google Lens" או "מצא באמצעות Google Lens"), התוצאות מוצגות כעת לא בדף נפרד, אלא בסרגל צד לצד תוכן העמוד המקורי (ב חלון אחד אתה יכול לראות בו-זמנית הן את תוכן העמוד והן את התוצאה של הגישה למנוע החיפוש).
• בסעיף "פרטיות ואבטחה" של ההגדרות, נוסף סעיף "מדריך פרטיות", המציע סקירה כללית של ההגדרות העיקריות המשפיעות על הפרטיות עם הסברים מפורטים על ההשפעה של כל הגדרה. לדוגמה, בסעיף תוכלו להגדיר את המדיניות לשליחת נתונים לשירותי גוגל, לנהל סנכרון, עיבוד Cookies ושמירת היסטוריה. הפונקציה מוצעת למשתמשים מסוימים; כדי להפעיל אותה, אתה יכול להשתמש בהגדרה "chrome://flags#privacy-guide".
• מסופק מבנה של היסטוריית החיפושים והדפים שנצפו. כאשר אתה מנסה לחפש שוב, רמז "המשך את המסע שלך" מוצג בשורת הכתובת, המאפשר לך להמשיך את החיפוש מהמקום שבו הוא הופסק בפעם האחרונה.
• חנות האינטרנט של Chrome מציעה דף "ערכת התחלה של תוספים" עם מבחר ראשוני של תוספות מומלצות.
• במצב בדיקה, שליחת בקשת הרשאת CORS (שיתוף משאבים חוצה מקור) לשרת האתר הראשי עם הכותרת "Access-Control-Request-Private-Network: true" מופעלת כאשר הדף ניגש למשאב ברשת הפנימית ( 192.168.xx , 10.xxx, 172.16.xx) או ל-localhost (128.xxx). בעת אישור הפעולה בתגובה לבקשה זו, על השרת להחזיר את הכותרת "Access-Control-Allow-Private-Network: true". בגרסה 102 של כרום, תוצאת האישור עדיין לא משפיעה על עיבוד הבקשה - אם אין אישור, מוצגת אזהרה במסוף האינטרנט, אך בקשת המשאב עצמה אינה חסומה. הפעלת חסימה בהיעדר אישור מהשרת לא צפויה עד שחרורו של Chrome 105. כדי לאפשר חסימה במהדורות קודמות, תוכל להפעיל את ההגדרה "chrome://flags/#private-network-access-respect-preflight- תוצאות".

  אימות הסמכות על ידי השרת הוכנס כדי לחזק את ההגנה מפני התקפות הקשורות לגישה למשאבים ברשת המקומית או במחשב המשתמש (localhost) מפני סקריפטים שנטענו בעת פתיחת אתר. בקשות כאלה משמשות תוקפים לביצוע התקפות CSRF על נתבים, נקודות גישה, מדפסות, ממשקי אינטרנט ארגוניים והתקנים ושירותים אחרים המקבלים בקשות רק מהרשת המקומית. כדי להגן מפני התקפות כאלה, אם יש גישה למשאבי משנה כלשהם ברשת הפנימית, הדפדפן ישלח בקשה מפורשת להרשאה לטעון משאבי משנה אלה.

• בעת פתיחת קישורים במצב גלישה בסתר דרך תפריט ההקשר, חלק מהפרמטרים המשפיעים על הפרטיות יוסרו אוטומטית מכתובת האתר.
• אסטרטגיית אספקת העדכונים עבור Windows ו-Android שונתה. כדי להשוות באופן מלא יותר את ההתנהגות של המהדורות החדשות והישנות, נוצרות כעת מספר בנייה של הגרסה החדשה להורדה.
• טכנולוגיית פילוח הרשת התייצבה כדי להגן מפני שיטות מעקב אחר תנועות משתמשים בין אתרים על בסיס אחסון מזהים באזורים שאינם מיועדים לאחסון קבוע של מידע ("עוגיות-על"). מכיוון שמשאבים שמורים במטמון מאוחסנים במרחב שמות משותף, ללא קשר לתחום המקור, אתר אחד יכול לקבוע שאתר אחר טוען משאבים על ידי בדיקה אם המשאב הזה נמצא במטמון. ההגנה מבוססת על שימוש בפילוח רשת (Network Partitioning), שעיקרו להוסיף למטמונים משותפים כריכה נוספת של רשומות לדומיין שממנו נפתח העמוד הראשי, מה שמגביל את כיסוי המטמון עבור סקריפטים למעקב תנועה בלבד לאתר הנוכחי (סקריפט מ-iframe לא יוכל לבדוק אם המשאב הורד מאתר אחר). שיתוף המדינה מכסה חיבורי רשת (HTTP/1, HTTP/2, HTTP/3, websocket), מטמון DNS, נתוני ALPN/HTTP2, TLS/HTTP3, תצורה, הורדות ומידע על כותרות Expect-CT.
• עבור יישומי אינטרנט עצמאיים מותקנים (PWA, Progressive Web App), ניתן לשנות את עיצוב אזור כותרת החלון באמצעות רכיבי Window Controls Overlay, המרחיבים את שטח המסך של אפליקציית האינטרנט לכל החלון. אפליקציית אינטרנט יכולה לשלוט בעיבוד ועיבוד הקלט של כל החלון, למעט בלוק העל עם לחצני בקרת חלונות סטנדרטיים (סגור, מזער, ממקסם), כדי להעניק לאפליקציית האינטרנט מראה של יישום שולחן עבודה רגיל.
• במערכת מילוי אוטומטי של טפסים נוספה תמיכה להפקת מספרי כרטיסי אשראי וירטואליים בשדות עם פרטי תשלום עבור סחורה בחנויות מקוונות. שימוש בכרטיס וירטואלי, שמספרו מופק עבור כל תשלום, מאפשר לא להעביר נתונים על כרטיס אשראי אמיתי, אלא מצריך מתן השירות הדרוש על ידי הבנק. התכונה זמינה כעת רק ללקוחות הבנקים בארה"ב. כדי לשלוט על הכללת הפונקציה, מוצעת ההגדרה "chrome://flags/#autofill-enable-virtual-card".
• מנגנון ה"Capture Handle" מופעל כברירת מחדל, ומאפשר לך להעביר מידע לאפליקציות שמצלמות וידאו. ה-API מאפשר לארגן את האינטראקציה בין אפליקציות שהתוכן שלהן מוקלט לבין אפליקציות שמבצעות את ההקלטה. לדוגמה, יישום ועידת וידאו אשר לוכד וידאו כדי לשדר מצגת יכול לאחזר מידע על פקדי המצגת ולהציג אותם בחלון הווידאו.
• תמיכה בכללים ספקולטיביים מופעלת כברירת מחדל, ומספקת תחביר גמיש לקביעה אם ניתן לטעון נתונים הקשורים לקישור באופן יזום לפני שהמשתמש לוחץ על הקישור.
• מנגנון אריזת המשאבים לחבילות בפורמט Web Bundle יוצב, מה שמאפשר להגביר את היעילות של טעינת מספר רב של קבצים נלווים (סגנונות CSS, JavaScript, תמונות, iframes). בניגוד לחבילות בפורמט Webpack, לפורמט Web Bundle יש את היתרונות הבאים: לא החבילה עצמה מאוחסנת ב-HTTP cache, אלא החלקים המרכיבים אותה; הידור והביצוע של JavaScript מתחילים מבלי להמתין להורדה מלאה של החבילה; מותר לכלול משאבים נוספים כגון CSS ותמונות, אשר ב-webpack יצטרכו להיות מקודד בצורה של מחרוזות JavaScript.
• ניתן להגדיר יישום PWA כמטפל בסוגי MIME ותוספות קבצים מסוימים. לאחר הגדרת כריכה דרך השדה file_handlers במניפסט, האפליקציה תקבל אירוע מיוחד כאשר המשתמש ינסה לפתוח קובץ המשויך לאפליקציה.
• נוספה תכונה אינרטית חדשה המאפשרת לסמן חלק מעץ ה-DOM כ"לא פעיל". עבור צמתי DOM במצב זה, המטפלים בבחירת טקסט והרחף מצביע מושבתים, כלומר. אירועי המצביע ומאפייני ה-CSS לבחירת המשתמש מוגדרים תמיד ל'ללא'. אם ניתן לערוך צומת, אז במצב אינרטי הוא הופך לבלתי ניתן לעריכה.
• נוסף ה-API של Navigation, המאפשר ליישומי אינטרנט ליירט פעולות ניווט בחלון, ליזום ניווט ולנתח את היסטוריית הפעולות עם האפליקציה. ה-API מספק חלופה למאפייני window.history ו-window.location, המותאמים ליישומי אינטרנט של עמוד בודד.
• דגל חדש, "עד שיימצא", הוצע עבור התכונה "נסתר", מה שהופך את האלמנט לחיפוש בעמוד וניתן לגלילה באמצעות מסיכת טקסט. לדוגמה, ניתן להוסיף טקסט נסתר לעמוד, שתוכנו יימצא בחיפושים מקומיים.
• ב-WebHID API, המיועד לגישה ברמה נמוכה למכשירי HID (התקני ממשק אנושי, מקלדות, עכברים, משטחי משחק, משטחי מגע) וארגון עבודה ללא נוכחות של מנהלי התקנים ספציפיים במערכת, המאפיין exclusionFilters נוסף ל-requestDevice( ) אובייקט, המאפשר לך לא לכלול מכשירים מסוימים כאשר הדפדפן מציג רשימה של מכשירים זמינים. לדוגמה, אתה יכול לא לכלול מזהי מכשיר שיש להם בעיות ידועות.
• חל איסור להציג טופס תשלום באמצעות קריאה ל-PaymentRequest.show() ללא פעולת משתמש מפורשת, למשל, לחיצה על אלמנט המשויך למטפל.
• הופסקה התמיכה ביישום חלופי של פרוטוקול SDP (Session Description Protocol) המשמש להקמת הפעלה ב-WebRTC. Chrome הציע שתי אפשרויות SDP - מאוחדת עם דפדפנים אחרים וספציפית לכרום. מעתה נותרה רק האפשרות הניידת.
• בוצעו שיפורים בכלים למפתחי אתרים. נוספו לחצנים לחלונית הסגנונות כדי לדמות את השימוש בערכת נושא כהה ובהירה. ההגנה על הכרטיסייה תצוגה מקדימה במצב בדיקת רשת חוזקה (היישום של מדיניות אבטחת התוכן מופעל). מאתר הבאגים מיישם סיום סקריפט כדי לטעון מחדש נקודות שבירה. הוצע יישום ראשוני של הפאנל החדש "תובנות ביצועים", המאפשר לך לנתח את הביצועים של פעולות מסוימות בדף.

בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 32 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות באמצעות הכלים AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ו-AFL. לאחת הבעיות (CVE-2022-1853) נקבעה רמת סכנה קריטית, מה שמרמז על היכולת לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. פרטים על פגיעות זו טרם נחשפו; ידוע רק שהיא נגרמת על ידי גישה לבלוק זיכרון משוחרר (שימוש-אחרי-חופשי) ביישום אינדקס DB API.

כחלק מתוכנית התגמול במזומן לגילוי פגיעויות במהדורה הנוכחית, גוגל שילמה 24 פרסים בשווי $65600 (פרס אחד של $10000, פרס אחד של $7500, שני פרסים של $7000, שלושה פרסים של $5000, ארבעה פרסים של $3000, שני פרסים של $2000 ושני פרסים של $1000, שניים. בונוסים של $500). גודלם של 7 התגמולים טרם נקבע.

מקור: OpenNet.ru