Chrome 94에 유휴 감지 API가 포함된 것에 대한 비판. Chrome에서 Rust 실험

Chrome 94에 기본적으로 포함된 유휴 감지 API는 Firefox 및 WebKit/Safari 개발자의 반대를 인용하면서 많은 비판을 불러일으켰습니다.

유휴 감지 API를 사용하면 사이트에서 사용자가 활동하지 않는 시간을 감지할 수 있습니다. 키보드/마우스와 상호 작용하거나 다른 모니터에서 작업을 수행하지 않습니다. 또한 API를 사용하면 화면 보호기가 시스템에서 실행되고 있는지 여부를 확인할 수 있습니다. 비활성에 대한 정보는 지정된 비활성 임계값에 도달한 후 알림을 전송하여 수행되며 최소값은 1분으로 설정됩니다.

유휴 감지 API를 사용하려면 명시적인 사용자 권한 부여가 필요하다는 점에 유의하는 것이 중요합니다. 애플리케이션이 처음으로 비활성을 감지하려고 시도하면 사용자에게 권한을 부여할지 아니면 작업을 차단할지 묻는 창이 표시됩니다. 유휴 감지 API를 완전히 비활성화하려면 '개인 정보 보호 및 보안' 설정 섹션에 특수 옵션('chrome://settings/content/idleDetection')이 제공됩니다.

응용 분야에는 사용자의 컴퓨터 사용 상태에 따라 사용자의 상태를 변경하거나 사용자가 도착할 때까지 새 메시지 알림을 지연시킬 수 있는 채팅, 소셜 네트워킹 및 통신 응용 프로그램이 포함됩니다. 또한 API는 키오스크 애플리케이션에서 사용하여 일정 기간 동안 활동이 없으면 원래 화면으로 돌아가거나 사용자가 컴퓨터에 없을 때 복잡한 다시 그리기, 지속적으로 차트 업데이트와 같은 리소스 집약적인 대화형 작업을 비활성화할 수 있습니다.

유휴 감지 API 활성화에 반대하는 사람들의 입장은 사용자가 컴퓨터에 있는지 여부에 대한 정보는 기밀로 간주될 수 있다는 것입니다. 유용한 애플리케이션 외에도 이 API는 사용자가 자리를 비운 동안 취약점을 악용하거나 채굴과 같은 눈에 띄는 악의적 활동을 숨기는 등 나쁜 목적으로도 사용될 수 있습니다. 해당 API를 이용하면 사용자 행동 패턴이나 일상 업무 리듬에 대한 정보도 수집할 수 있다. 예를 들어, 사용자가 언제 점심을 먹으러 가거나 직장을 떠나는지를 알 수 있습니다. 승인 증명에 대한 필수 요청의 맥락에서 Google은 이러한 우려를 중요하지 않은 것으로 인식합니다.

또한 메모리의 안전한 작동을 보장하기 위한 새로운 기술 홍보에 대한 Chrome 개발자의 메모를 확인할 수 있습니다. Google에 따르면 Chrome의 보안 문제 중 70%는 버퍼와 관련된 메모리를 해제한 후 버퍼를 사용하는 등(use-after-free) 메모리 오류로 인해 발생합니다. 이러한 오류를 처리하기 위한 세 가지 주요 전략은 컴파일 단계에서 검사 강화, 런타임 시 오류 차단, 메모리 안전 언어 사용입니다.

Chromium 코드베이스에 Rust 언어로 구성 요소를 개발하는 기능을 추가하는 실험이 시작된 것으로 알려졌습니다. Rust 코드는 아직 사용자에게 제공되는 빌드에 포함되어 있지 않으며 주로 Rust에서 브라우저의 개별 부분을 개발할 수 있는 가능성과 C++로 작성된 다른 부분과의 통합을 테스트하는 것을 목표로 합니다. 동시에 C++ 코드의 경우 이미 해제된 메모리 블록에 액세스하여 발생하는 취약점을 악용할 가능성을 차단하기 위해 원시 포인터 대신 MiraclePtr 유형을 사용하는 프로젝트가 계속 개발되고 있으며 컴파일 단계에서 오류를 감지하는 새로운 방법도 제안됩니다.

또한 Google은 브라우저가 두 자리가 아닌 세 자리로 구성된 버전에 도달한 후 사이트가 중단될 수 있는지 테스트하기 위한 실험을 시작하고 있습니다. 특히, Chrome 96의 테스트 릴리스에서는 User-Agent 헤더 버전 100(Chrome/100)에 지정하면 "chrome://flags#force-major-version-to-100.0.4650.4" 설정이 나타납니다. 표시되기 시작합니다. XNUMX월에는 Firefox에서도 유사한 실험이 수행되었으며, 일부 사이트에서 세 자리 버전을 처리하는 데 문제가 있는 것으로 나타났습니다.

출처 : opennet.ru