Chrome 142 ბრაუზერის გამოშვება

Google-მა გამოუშვა Chrome-ის ვებ ბრაუზერის 142-ე ვერსია. ასევე ხელმისაწვდომია Chrome-ის საფუძვლად მყოფი ღია კოდის პროექტის, Chromium-ის სტაბილური ვერსია. Chrome განსხვავდება Chromium-ისგან Google-ის ლოგოების გამოყენებით, ავარიის შესახებ შეტყობინებების სისტემით, კოპირებისგან დაცული ვიდეო კონტენტის (DRM) დაკვრის მოდულებით, ავტომატური განახლებების ინსტალაციით, ყოველთვის ჩართული sandbox იზოლაციით, Google API გასაღებების უზრუნველყოფით და ძიების დროს RLZ პარამეტრების გადაცემით. მათთვის, ვისაც განახლებისთვის მეტი დრო სჭირდება, რვა კვირის განმავლობაში შენარჩუნებულია ცალკე გაფართოებული სტაბილური ფილიალი. შემდეგი ვერსია, Chrome 143, 2 დეკემბერს არის დაგეგმილი.

ძირითადი ცვლილებები Chrome 142-ში:

• ლოკალური სისტემის წვდომის დაცვა ჩართულია საჯარო ვებსაიტებთან ურთიერთქმედებისას. საჯარო ან შიდა ქსელში (ინტრანეტში) ვებსაიტზე წვდომისას, IP მისამართები ლოკალურ სისტემაზე ან loopback ინტერფეისზე (127.0.0.0/8) წვდომისას, ბრაუზერი მომხმარებელს აჩვენებს დიალოგურ ფანჯარას დადასტურების მოთხოვნით. რესურსების ჩამოტვირთვის მცდელობები, fetch() მოთხოვნები და iframe-ის ჩასმის მცდელობები დაფარულია. დაცვა ამჟამად არ ვრცელდება WebSockets-ის, WebTransport-ის და WebRTC-ის მეშვეობით კავშირებზე, მაგრამ ამ ტექნოლოგიებისთვის მოგვიანებით დაემატება.

  თავდამსხმელები იყენებენ შიდა რესურსებზე წვდომას CSRF შეტევების განსახორციელებლად როუტერებზე, წვდომის წერტილებზე, პრინტერებზე, კორპორატიულ ვებ ინტერფეისებზე და სხვა მოწყობილობებსა და სერვისებზე, რომლებიც მხოლოდ ლოკალური ქსელიდან იღებენ მოთხოვნებს. გარდა ამისა, შიდა რესურსების სკანირება შეიძლება გამოყენებულ იქნას არაპირდაპირი იდენტიფიკაციისთვის ან ლოკალური ქსელის შესახებ ინფორმაციის შესაგროვებლად.
• Google ანგარიშთან დასაკავშირებლად და მონაცემების, როგორიცაა შენახული პაროლები და სანიშნეები, სინქრონიზაციისთვის დანერგილია ერთიანი, გამარტივებული ინტერფეისი. სინქრონიზაცია ინტეგრირებულია ანგარიშში შესვლასთან და პარამეტრებში ცალკე ვარიანტის სახით არ არის წარმოდგენილი. მომხმარებლებს შეუძლიათ Chrome-ის Google ანგარიშთან დაკავშირება და მისი გამოყენება პაროლების, სანიშნეების, დათვალიერების ისტორიისა და ჩანართების შესანახად. ეს ფუნქცია ამჟამად აქტიურია ზოგიერთი მომხმარებლისთვის და თანდათანობით გაფართოვდება.
• გამოიყენება პროცესის იზოლაციის ახალი მოდელი - „წარმოშობა იზოლაცია“, რომელშიც თითოეული კონტენტის წყარო (წარმოშობა - პროტოკოლის შეკავშირება, დომენი და პორტი, მაგალითად, „https://foo.example.com“), იზოლირებულია ცალკე რენდერინგის პროცესში. ვინაიდან იზოლაციის გრანულარობის გაზრდამ შეიძლება გამოიწვიოს მეხსიერების მოხმარების და პროცესორის დატვირთვის ზრდა, ახალი იზოლაციის რეჟიმი ჩართულია მხოლოდ 4 გბ-ზე მეტი ოპერატიული მეხსიერებით სისტემებზე. დაბალი სიმძლავრის აპარატურაზე კვლავ გამოყენებული იქნება ძველი იზოლაციის მიდგომა, რომელიც ცალკე პროცესში იზოლირებს ერთ საიტთან დაკავშირებულ ყველა სხვადასხვა კონტენტის წყაროს (მაგალითად, foo.example.com და bar.example.com).
• სისტემებზე Windows и macOS, в которых не применяется централизованное управление Chrome, реализовано автоматическое отключение принудительно установленных браузерных дополнений, в которых выявлены несущественные нарушения правил каталога Chrome Web Store. К несущественным нарушениям причисляется наличие потенциальных уязвимостей, навязывание дополнения без ведома пользователя, манипуляции с метаданными, нарушение правил работы с пользовательскими данными и введение в заблуждение о функциональности. При желании пользователь может вернуть отключённое дополнение.
• ვერსიაში ამისთვის Android, по аналогии со сборками для десктоп-систем, реализован вывод предупреждения о мошеннических страницах, выявленных большой языковой моделью на основе анализа содержимого. Использование AI применяется в режиме расширенной защиты браузера (Enhanced Safe Browsing). AI-модель выполняется на стороне клиента, но в случае выявления подозрений на сомнительный контент, выполняется дополнительная проверка на серверах Google.
• WebRTC კავშირებისთვის გამოყენებული DTLS (Datagram Transport Layer Security, UDP-ის TLS ანალოგი) პროტოკოლის იმპლემენტაცია მოიცავს პოსტ-კვანტური დაშიფვრის ალგორითმების გამოყენებას.
• გვერდზე მომხმარებლის აქტივობის დროს დაყენებული გააქტიურების სტატუსი ახლა შენარჩუნებულია იმავე დომენის სხვა გვერდზე გადასვლის შემდეგაც. გააქტიურების შენარჩუნება გაამარტივებს მრავალგვერდიანი ვებ აპლიკაციების შემუშავებას და მოაგვარებს ისეთ პრობლემებს, როგორიცაა შეყვანის ფოკუსის დაყენება, როდესაც საიტი აჩვენებს თავის ვირტუალურ კლავიატურას.
• CSS ფსევდოკლასები „:target-before“ და „:target-after“ დაემატა წინა და შემდეგი მარკერების განსასაზღვრად მიმდინარე გადახვევის პოზიციასთან მიმართებაში („:target-current“).
• სტილის კონტეინერები (@container) და if() ფუნქცია ახლა მხარს უჭერენ Media Queries Level 4 სპეციფიკაციაში განსაზღვრულ დიაპაზონის სინტაქსს, რომელიც საშუალებას იძლევა გამოიყენოთ სტანდარტული მათემატიკური შედარების ოპერატორები და ლოგიკური ოპერატორები მნიშვნელობების დიაპაზონების დასადგენად. მაგალითად, ახლა შეგიძლიათ მიუთითოთ "@container style(—inner-padding > 1em)" და "background-color: if(style(attr(data-columns, type ) > 2): ღია ლურჯი; სხვა შემთხვევაში: თეთრი);"
• „ “ და „ “ ელემენტები ახლა მხარს უჭერენ „interestfor“ ატრიბუტს. ეს ატრიბუტი შეიძლება გამოყენებულ იქნას ისეთი ქმედებების გასააქტიურებლად, როგორიცაა ამომხტარი ფანჯრის ჩვენება, როდესაც მომხმარებელი ინტერესს გამოხატავს ელემენტის მიმართ. ბრაუზერი ინტერესის ინდიკატორებად ცნობს ისეთ მოვლენებს, როგორიცაა მაუსის კურსორის ელემენტზე მიტანა და მასზე დაჭერა, ცხელი ღილაკების დაჭერა ან სენსორულ ეკრანზე შეხების გაჭერა. როდესაც „interestfor“ ატრიბუტის მქონე ელემენტი იდენტიფიცირებულია, ბრაუზერი წარმოქმნის InterestEvent-ს.
• ვებ დეველოპერის ხელსაწყოებში გაუმჯობესებები განხორციელდა. ზედა მარჯვენა კუთხეში დაემატა ხელოვნური ინტელექტის ასისტენტის სწრაფი გაშვების ღილაკი. კონტექსტური მენიუს „კითხვა ხელოვნურ ინტელექტს“ სახელი შეეცვალა და დაარქვეს „გამართვა ხელოვნური ინტელექტით“ და გაფართოვდა კონტექსტიდან გამომდინარე დაუყოვნებელი მოქმედებების შესრულების შესაძლებლობა. ვებ კონსოლსა და კოდის პანელში Gemini AI ასისტენტს ახლა შეუძლია რეკომენდაციების გენერირება კოდის გამოყენებით.

  ვებ დეველოპერის ხელსაწყოები ახლა ინტეგრირებულია Google-ის დეველოპერების პროგრამასთან (GDP). დეველოპერებს ახლა შეუძლიათ თავიანთ GDP პროფილზე წვდომა პირდაპირ Chrome DevTools-დან და მიიღონ ჯილდოები ამ ინტერფეისში კონკრეტული დავალებების შესრულებისთვის.

  

ახალი ფუნქციებისა და შეცდომების გამოსწორების გარდა, ახალი ვერსია 20 დაუცველობას აგვარებს. დაუცველობების უმეტესობა გამოვლინდა AddressSanitizer-ის, MemorySanitizer-ის, Control Flow Integrity-ის, LibFuzzer-ისა და AFL-ის გამოყენებით ავტომატური ტესტირების გზით. არ გამოვლენილა კრიტიკული პრობლემები, რომლებიც ბრაუზერის დაცვის ყველა ფენის გვერდის ავლას და კოდის sandbox გარემოს გარეთ შესრულებას შეძლებდა. მიმდინარე ვერსიის დაუცველობის ჯილდოს პროგრამის ფარგლებში, Google-მა დააწესა 20 ჯილდო, რომელთა ჯამური ღირებულება 130,000 აშშ დოლარია (ორი 50,000 აშშ დოლარის ჯილდო, ერთი 10000 აშშ დოლარის ჯილდო, სამი 3000 აშშ დოლარის ჯილდო, ორი 2000 აშშ დოლარის ჯილდო და სამი 1000 აშშ დოლარის ჯილდო). ჯილდოებიდან რვას ოდენობა ჯერ არ არის განსაზღვრული.

გარდა ამისა, Blink ძრავში გამოვლინდა დაუპატებელი დაუცველობა, რომელიც გარკვეული JavaScript კოდის შესრულებისას ბრაუზერის გათიშვას და გაყინვას იწვევს. დაუცველობა გამოწვეულია რენდერინგის ძრავის არქიტექტურული პრობლემებით, რომლებიც დაკავშირებულია „document.title“ თვისების განახლების სიჩქარის შეზღუდვის არარსებობასთან. შეზღუდვის არარსებობა საშუალებას იძლევა „document.title“-ის გამოყენებით DOM-ში წამში ათობით მილიონი ცვლილების შეტანა. ეს იწვევს ინტერფეისის გაყინვას რამდენიმე წამში მთავარი ნაკადის დაბლოკვისა და მეხსიერების მნიშვნელოვანი მოხმარების გამო. 15-60 წამის შემდეგ ბრაუზერი გათიშულია.

წყარო: opennet.ru