Chrome 102 გამოშვება

Google-მა გამოაქვეყნა Chrome 102 ვებ ბრაუზერის გამოშვება. ამავდროულად, ხელმისაწვდომია უფასო Chromium პროექტის სტაბილური გამოშვება, რომელიც ემსახურება Chrome-ის საფუძველს. Chrome ბრაუზერი Chromium-ისგან განსხვავდება Google-ის ლოგოების გამოყენებით, ავარიის შემთხვევაში შეტყობინებების გაგზავნის სისტემის არსებობით, კოპირებით დაცული ვიდეო კონტენტის (DRM) დაკვრის მოდულებით, განახლებების ავტომატურად ინსტალაციის სისტემით, Sandbox იზოლაციის სამუდამოდ ჩართვით. , კლავიშების მიწოდება Google API-სთვის და გადასცემს RLZ- პარამეტრებს ძიებისას. მათთვის, ვისაც მეტი დრო სჭირდება განახლებისთვის, Extended Stable ფილიალი არის ცალკე მხარდაჭერილი, რასაც მოჰყვება 8 კვირა. Chrome 103-ის შემდეგი გამოშვება 21 ივნისს იგეგმება.

ძირითადი ცვლილებები Chrome 102-ში:

• უკვე გათავისუფლებულ მეხსიერების ბლოკებზე წვდომით გამოწვეული დაუცველობების ექსპლუატაციის დასაბლოკად (გამოყენების შემდეგ უფასო), ჩვეულებრივი მაჩვენებლების ნაცვლად, დაიწყო MiraclePtr (raw_ptr) ტიპის გამოყენება. MiraclePtr უზრუნველყოფს მაჩვენებლების დაკავშირებას, რომელიც ახორციელებს დამატებით შემოწმებას გათავისუფლებულ მეხსიერების უბნებზე წვდომაზე და ავარია ხდება ასეთი წვდომის აღმოჩენის შემთხვევაში. დაცვის ახალი მეთოდის გავლენა შესრულებაზე და მეხსიერების მოხმარებაზე შეფასებულია, როგორც უმნიშვნელო. MiraclePtr მექანიზმი არ გამოიყენება ყველა პროცესში, კერძოდ ის არ გამოიყენება რენდერის პროცესებში, მაგრამ მას შეუძლია მნიშვნელოვნად გააუმჯობესოს უსაფრთხოება. მაგალითად, მიმდინარე გამოშვებაში, დაფიქსირებული 32 დაუცველობიდან, 12 გამოწვეული იყო უფასო გამოყენების პრობლემებით.
• შეიცვალა ინტერფეისის დიზაინი ჩამოტვირთვების შესახებ ინფორმაციით. ჩამოტვირთვის პროგრესის შესახებ მონაცემების ქვედა ხაზის ნაცვლად, პანელს დაემატა ახალი ინდიკატორი მისამართების ზოლით; მასზე დაჭერისას ნაჩვენებია ფაილების ჩამოტვირთვის პროგრესი და ისტორია უკვე გადმოწერილი ფაილების სიით. ქვედა პანელისგან განსხვავებით, ღილაკი მუდმივად არის ნაჩვენები პანელზე და საშუალებას გაძლევთ სწრაფად შეხვიდეთ ჩამოტვირთვის ისტორიაზე. ახალი ინტერფეისი ამჟამად ნაგულისხმევად არის შემოთავაზებული მხოლოდ ზოგიერთ მომხმარებელს და გავრცელდება ყველასთვის, თუ პრობლემები არ იქნება. ძველი ინტერფეისის დასაბრუნებლად ან ახლის ჩასართავად მოწოდებულია პარამეტრი „chrome://flags#download-bubble“.
• სურათების ძიებისას კონტექსტური მენიუს საშუალებით („გამოიძიეთ სურათი Google Lens-ით“ ან „იპოვნეთ Google Lens-ის მეშვეობით“), შედეგები ახლა ნაჩვენებია არა ცალკეულ გვერდზე, არამედ გვერდით ზოლში, ორიგინალური გვერდის შინაარსის გვერდით. ერთ ფანჯარაში შეგიძლიათ ერთდროულად ნახოთ როგორც გვერდის შინაარსი, ასევე საძიებო სისტემაში წვდომის შედეგი).
• პარამეტრების განყოფილებაში „კონფიდენციალურობა და უსაფრთხოება“ დაემატა განყოფილება „კონფიდენციალურობის სახელმძღვანელო“, რომელიც გთავაზობთ ძირითადი პარამეტრების ზოგად მიმოხილვას, რომლებიც გავლენას ახდენენ კონფიდენციალურობაზე, თითოეული პარამეტრის გავლენის დეტალური განმარტებით. მაგალითად, განყოფილებაში შეგიძლიათ განსაზღვროთ Google სერვისებში მონაცემების გაგზავნის პოლიტიკა, მართოთ სინქრონიზაცია, ქუქიების დამუშავება და ისტორიის შენახვა. ფუნქცია სთავაზობენ ზოგიერთ მომხმარებელს; მის გასააქტიურებლად შეგიძლიათ გამოიყენოთ პარამეტრი "chrome://flags#privacy-guide".
• მოწოდებულია ძიების ისტორიისა და ნანახი გვერდების სტრუქტურირება. როდესაც ხელახლა ცდილობთ ძიებას, მისამართების ზოლში გამოჩნდება მინიშნება „განაახლეთ თქვენი მოგზაურობა“, რაც საშუალებას მოგცემთ განაგრძოთ ძებნა იმ ადგილიდან, სადაც ის ბოლო დროს შეწყდა.
• Chrome Web Store გთავაზობთ "გაფართოებების დამწყებ ნაკრების" გვერდს რეკომენდებული დანამატების საწყისი არჩევანით.
• სატესტო რეჟიმში, CORS (Cross-Origin Resource Sharing) ავტორიზაციის მოთხოვნის გაგზავნა საიტის მთავარ სერვერზე სათაურით „Access-Control-Request-Private-Network: true“ ჩართულია, როდესაც გვერდი წვდება რესურსს შიდა ქსელში ( 192.168.xx, 10.xxx, 172.16.xx) ან localhost-ზე (128.xxx). ამ მოთხოვნის საპასუხოდ ოპერაციის დადასტურებისას, სერვერმა უნდა დააბრუნოს სათაური „Access-Control-Allow-Private-Network: true“. Chrome 102 ვერსიაში, დადასტურების შედეგი ჯერ არ მოქმედებს მოთხოვნის დამუშავებაზე - თუ დადასტურება არ არის, გაფრთხილება გამოჩნდება ვებ კონსოლში, მაგრამ თავად ქვერესურსების მოთხოვნა არ არის დაბლოკილი. დაბლოკვის ჩართვა სერვერისგან დადასტურების არარსებობის შემთხვევაში არ არის მოსალოდნელი Chrome 105-ის გამოშვებამდე. ადრინდელ გამოშვებებში დაბლოკვის ჩასართავად შეგიძლიათ ჩართოთ პარამეტრი "chrome://flags/#private-network-access-respect-preflight- შედეგები".

  სერვერის მიერ ავტორიტეტის გადამოწმება დაინერგა თავდასხმებისგან დაცვის გასაძლიერებლად, რომლებიც დაკავშირებულია ადგილობრივ ქსელში ან მომხმარებლის კომპიუტერზე (localhost) რესურსებზე წვდომასთან, საიტის გახსნისას დატვირთული სკრიპტებიდან. ასეთ მოთხოვნებს იყენებენ თავდამსხმელები CSRF შეტევების განსახორციელებლად მარშრუტიზატორებზე, წვდომის წერტილებზე, პრინტერებზე, კორპორატიულ ვებ ინტერფეისებზე და სხვა მოწყობილობებსა და სერვისებზე, რომლებიც იღებენ მოთხოვნებს მხოლოდ ლოკალური ქსელიდან. ასეთი თავდასხმებისგან თავის დასაცავად, თუ რომელიმე ქვერესურსზე წვდომა ხდება შიდა ქსელში, ბრაუზერი გამოგიგზავნით ამ ქვერესურსების ჩატვირთვის ნებართვის მკაფიო მოთხოვნას.

• კონტექსტური მენიუს მეშვეობით ინკოგნიტო რეჟიმში ბმულების გახსნისას, ზოგიერთი პარამეტრი, რომელიც გავლენას ახდენს კონფიდენციალურობაზე, ავტომატურად წაიშლება URL-დან.
• Windows-ისა და Android-ისთვის განახლების მიწოდების სტრატეგია შეიცვალა. ახალი და ძველი გამოშვების ქცევის უფრო სრულად შესადარებლად, ახლა ჩამოსატვირთად გენერირებულია ახალი ვერსიის მრავალი ვერსია.
• ქსელის სეგმენტაციის ტექნოლოგია სტაბილიზირებულია, რათა დაიცვას საიტებს შორის მომხმარებლის გადაადგილების თვალთვალის მეთოდები, რომლებიც ეფუძნება იდენტიფიკატორებს იმ ადგილებში, რომლებიც არ არის განკუთვნილი ინფორმაციის მუდმივი შენახვისთვის („სუპერ ქუქი“). იმის გამო, რომ ქეშირებული რესურსები ინახება საერთო სახელთა სივრცეში, საწყისი დომენის მიუხედავად, ერთ საიტს შეუძლია დაადგინოს, რომ სხვა საიტი იტვირთება რესურსებს იმის შემოწმებით, არის თუ არა ეს რესურსი ქეშში. დაცვა ეფუძნება ქსელის სეგმენტაციის გამოყენებას (ქსელის დაყოფა), რომლის არსი არის საერთო ქეშებში ჩანაწერების დამატებითი მიბმა იმ დომენთან, საიდანაც იხსნება მთავარი გვერდი, რაც ზღუდავს ქეშის დაფარვას მხოლოდ მოძრაობის თვალთვალის სკრიპტებისთვის. მიმდინარე საიტზე (iframe-ის სკრიპტი ვერ შეამოწმებს არის თუ არა რესურსი სხვა საიტიდან გადმოწერილი). სახელმწიფოს გაზიარება მოიცავს ქსელის კავშირებს (HTTP/1, HTTP/2, HTTP/3, ვებსოკეტს), DNS ქეშს, ALPN/HTTP2, TLS/HTTP3 მონაცემებს, კონფიგურაციას, ჩამოტვირთვებს და Expect-CT სათაურის ინფორმაციას.
• დაინსტალირებული ცალკე ვებ აპლიკაციებისთვის (PWA, პროგრესული ვებ აპლიკაცია) შესაძლებელია ფანჯრის სათაურის არეალის დიზაინის შეცვლა Window Controls Overlay კომპონენტების გამოყენებით, რომლებიც აფართოებენ ვებ აპლიკაციის ეკრანის არეალს მთელ ფანჯარაში. ვებ აპლიკაციას შეუძლია აკონტროლოს მთელი ფანჯრის რენდერირება და შეყვანის დამუშავება, გარდა გადაფარვის ბლოკისა ფანჯრის მართვის სტანდარტული ღილაკებით (დახურვა, მინიმიზაცია, მაქსიმიზაცია), რათა ვებ აპლიკაციას ჩვეულებრივი დესკტოპის აპლიკაციის სახე მისცეს.
• ფორმის ავტომატური შევსების სისტემაში დაემატა მხარდაჭერა ვირტუალური საკრედიტო ბარათის ნომრების გენერირებისთვის ონლაინ მაღაზიებში საქონლის გადახდის დეტალებით ველებში. ვირტუალური ბარათის გამოყენება, რომლის რაოდენობაც გენერირდება ყოველი გადახდისთვის, საშუალებას გაძლევთ არ გადაიტანოთ მონაცემები რეალური საკრედიტო ბარათის შესახებ, არამედ საჭიროებს ბანკის მიერ საჭირო სერვისის მიწოდებას. ფუნქცია ამჟამად ხელმისაწვდომია მხოლოდ აშშ ბანკის მომხმარებლებისთვის. ფუნქციის ჩართვის გასაკონტროლებლად შემოთავაზებულია პარამეტრი "chrome://flags/#autofill-enable-virtual-card".
• "Capture Handle" მექანიზმი გააქტიურებულია ნაგულისხმევად, რაც საშუალებას გაძლევთ გადაიტანოთ ინფორმაცია აპლიკაციებზე, რომლებიც იღებენ ვიდეოს. API შესაძლებელს ხდის ურთიერთქმედების ორგანიზებას აპლიკაციებს შორის, რომელთა შინაარსი ჩაწერილია და აპლიკაციებს, რომლებიც ასრულებენ ჩაწერას. მაგალითად, ვიდეოკონფერენციის აპლიკაციას, რომელიც იღებს ვიდეოს პრეზენტაციის გადასაცემად, შეუძლია მოიძიოს ინფორმაცია პრეზენტაციის კონტროლის შესახებ და აჩვენოს ისინი ვიდეო ფანჯარაში.
• ნაგულისხმევად ჩართულია სპეკულაციური წესების მხარდაჭერა, რაც უზრუნველყოფს მოქნილ სინტაქსს იმის დასადგენად, შესაძლებელია თუ არა ბმულთან დაკავშირებული მონაცემების პროაქტიულად ჩატვირთვა, სანამ მომხმარებელი დააწკაპუნებს ბმულზე.
• რესურსების შეფუთვის მექანიზმი პაკეტებში Web Bundle ფორმატში დასტაბილურდა, რაც საშუალებას გაძლევთ გაზარდოთ თანმხლები ფაილების დიდი რაოდენობის (CSS სტილები, JavaScript, სურათები, iframes) ჩატვირთვის ეფექტურობა. Webpack ფორმატის პაკეტებისგან განსხვავებით, Web Bundle ფორმატს აქვს შემდეგი უპირატესობები: ეს არ არის თავად პაკეტი, რომელიც ინახება HTTP ქეშში, არამედ მისი შემადგენელი ნაწილები; JavaScript-ის შედგენა და შესრულება იწყება პაკეტის სრულად ჩამოტვირთვის მოლოდინის გარეშე; ნებადართულია დამატებითი რესურსების შეტანა, როგორიცაა CSS და სურათები, რომლებიც ვებპაკეტში უნდა იყოს კოდირებული JavaScript სტრიქონების სახით.
• შესაძლებელია PWA აპლიკაციის განსაზღვრა, როგორც გარკვეული MIME ტიპისა და ფაილის გაფართოების დამმუშავებელი. მანიფესტში file_handlers ველის მეშვეობით სავალდებულოს განსაზღვრის შემდეგ, აპლიკაცია მიიღებს სპეციალურ მოვლენას, როდესაც მომხმარებელი შეეცდება გახსნას აპლიკაციასთან დაკავშირებული ფაილი.
• დამატებულია ახალი ინერტული ატრიბუტი, რომელიც საშუალებას გაძლევთ მონიშნოთ DOM ხის ნაწილი, როგორც "არააქტიური". ამ მდგომარეობაში მყოფი DOM კვანძებისთვის, ტექსტის შერჩევისა და მაჩვენებლის ჰოვერის დამმუშავებლები გამორთულია, ე.ი. მაჩვენებლის მოვლენები და მომხმარებლის მიერ არჩეული CSS თვისებები ყოველთვის დაყენებულია „არცერთი“. თუ კვანძის რედაქტირება შესაძლებელია, მაშინ ინერტულ რეჟიმში ის არარედაქტირებადი ხდება.
• დამატებულია ნავიგაციის API, რომელიც საშუალებას აძლევს ვებ აპლიკაციებს ჩაჭრას ფანჯრის ნავიგაციის ოპერაციები, წამოიწყონ ნავიგაცია და გააანალიზონ აპლიკაციის მოქმედებების ისტორია. API უზრუნველყოფს window.history და window.location თვისებების ალტერნატივას, რომელიც ოპტიმიზებულია ერთგვერდიანი ვებ აპლიკაციებისთვის.
• შემოთავაზებულია ახალი დროშა, „საპოვნელამდე“, „დამალული“ ატრიბუტისთვის, რაც ელემენტს გვერდზე საძიებლად და ტექსტური ნიღბით გადახვევას ხდის. მაგალითად, შეგიძლიათ დაამატოთ დამალული ტექსტი გვერდზე, რომლის შიგთავსი ნახავთ ადგილობრივ ძიებაში.
• WebHID API-ში, რომელიც შექმნილია HID მოწყობილობებზე დაბალი დონის წვდომისთვის (ადამიანის ინტერფეისის მოწყობილობები, კლავიატურები, მაუსები, სათამაშო პანდები, სენსორული პანელები) და სამუშაოს ორგანიზება სისტემაში კონკრეტული დრაივერების არსებობის გარეშე, exclusionFilters თვისება დაემატა requestDevice( ) ობიექტი, რომელიც საშუალებას გაძლევთ გამორიცხოთ გარკვეული მოწყობილობები, როდესაც ბრაუზერი აჩვენებს ხელმისაწვდომი მოწყობილობების სიას. მაგალითად, შეგიძლიათ გამორიცხოთ მოწყობილობების ID, რომლებსაც აქვთ ცნობილი პრობლემები.
• აკრძალულია გადახდის ფორმის ჩვენება PaymentRequest.show()-ზე გამოძახებით მომხმარებლის აშკარა მოქმედების გარეშე, მაგალითად, დამმუშავებელთან დაკავშირებულ ელემენტზე დაჭერით.
• WebRTC-ში სესიის დასამყარებლად გამოყენებული SDP (სესიის აღწერა პროტოკოლის) პროტოკოლის ალტერნატიული განხორციელების მხარდაჭერა შეწყვეტილია. Chrome-მა შესთავაზა ორი SDP ვარიანტი - გაერთიანებული სხვა ბრაუზერებთან და სპეციფიკური Chrome-ისთვის. ამიერიდან მხოლოდ პორტატული ვარიანტია დარჩენილი.
• გაუმჯობესდა ინსტრუმენტები ვებ დეველოპერებისთვის. დამატებულია ღილაკები Styles პანელზე მუქი და ღია თემის გამოყენების სიმულაციისთვის. ქსელის ინსპექტირების რეჟიმში გადახედვის ჩანართის დაცვა გაძლიერდა (ჩართულია კონტენტის უსაფრთხოების პოლიტიკის გამოყენება). გამართავი ახორციელებს სკრიპტის შეწყვეტას წყვეტის წერტილების გადატვირთვის მიზნით. შემოთავაზებულია ახალი "Performance insights" პანელის წინასწარი განხორციელება, რომელიც საშუალებას გაძლევთ გაანალიზოთ გარკვეული ოპერაციების შესრულება გვერდზე.

გარდა ინოვაციებისა და შეცდომების გამოსწორებისა, ახალი ვერსია აღმოფხვრის 32 დაუცველობას. ბევრი დაუცველობა გამოვლინდა ავტომატური ტესტირების შედეგად AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer და AFL ინსტრუმენტების გამოყენებით. ერთ-ერთ პრობლემას (CVE-2022-1853) მიენიჭა საფრთხის კრიტიკული დონე, რაც გულისხმობს ბრაუზერის დაცვის ყველა დონის გვერდის ავლით და სისტემაში კოდის შესრულებას სავარჯიშო გარემოს გარეთ. ამ დაუცველობის შესახებ დეტალები ჯერ არ არის გამჟღავნებული; ცნობილია მხოლოდ ის, რომ ის გამოწვეულია გათავისუფლებული მეხსიერების ბლოკზე წვდომით (გამოყენების შემდეგ უფასოდ) Indexed DB API-ის განხორციელებაში.

როგორც ფულადი ჯილდოს პროგრამის ნაწილი ამჟამინდელი გამოშვებისთვის დაუცველობის აღმოჩენისთვის, Google-მა გადაიხადა 24 ჯილდო 65600 აშშ დოლარის ღირებულების (ერთი 10000 აშშ დოლარი, ერთი 7500 აშშ დოლარი, ორი 7000 აშშ დოლარი, სამი ჯილდო 5000 აშშ დოლარი, ოთხი 3000 აშშ დოლარი, ორი 2000 აშშ დოლარი, ორი, ორი, ორი, 1000 დოლარი. 500$ ბონუსი). 7 ჯილდოს ზომა ჯერ დადგენილი არ არის.

წყარო: opennet.ru