크롬 102 릴리스

구글이 크롬 102 웹브라우저를 공개했고, 동시에 크롬의 기반이 되는 무료 크로미움(Chromium) 프로젝트도 안정적으로 출시됐다. Chrome 브라우저는 Google 로고 사용, 충돌 시 알림 전송 시스템 존재, 복사 방지된 비디오 콘텐츠(DRM) 재생 모듈, 업데이트 자동 설치 시스템, 샌드박스 격리를 영구적으로 활성화한다는 점에서 Chromium과 다릅니다. , Google API에 키를 제공하고 검색 시 RLZ- 매개변수를 전송합니다. 업데이트에 시간이 더 필요한 분들을 위해 Extended Stable 브랜치가 별도로 지원되며, 이후 8주가 소요됩니다. Chrome 103의 다음 릴리스는 21월 XNUMX일로 예정되어 있습니다.

Chrome 102의 주요 변경 사항:

• 이미 해제된 메모리 블록에 접근(use-after-free)하여 발생하는 취약점 악용을 차단하기 위해 일반 포인터 대신 MiraclePtr(raw_ptr) 유형이 사용되기 시작했습니다. MiraclePtr은 해제된 메모리 영역에 대한 액세스에 대해 추가 검사를 수행하고 그러한 액세스가 감지되면 충돌하는 포인터에 대한 바인딩을 제공합니다. 성능 및 메모리 소비에 대한 새로운 보호 방법의 영향은 미미한 것으로 평가됩니다. MiraclePtr 메커니즘은 모든 프로세스에 적용 가능한 것은 아니며, 특히 렌더링 프로세스에서는 사용되지 않지만 보안을 크게 향상시킬 수 있습니다. 예를 들어, 현재 릴리스에서는 해결된 32개의 취약점 중 12개가 use-after-free 문제로 인해 발생했습니다.
• 다운로드 정보가 포함된 인터페이스 디자인이 변경되었습니다. 다운로드 진행률에 대한 데이터가 포함된 최종선 대신 주소 표시줄이 있는 패널에 새로운 표시기가 추가되었으며, 이를 클릭하면 파일 다운로드 진행률과 이미 다운로드한 파일 목록이 포함된 기록이 표시됩니다. 하단 패널과 달리 버튼은 패널에 지속적으로 표시되며 이를 통해 다운로드 기록에 빠르게 액세스할 수 있습니다. 새로운 인터페이스는 현재 기본적으로 일부 사용자에게만 제공되고 있으며, 문제가 없으면 전체 사용자에게 확장될 예정입니다. 이전 인터페이스를 반환하거나 새 인터페이스를 활성화하려면 "chrome://flags#download-bubble" 설정이 제공됩니다.
• 컨텍스트 메뉴("Google Lens로 이미지 검색" 또는 "Google Lens를 통해 찾기")를 통해 이미지를 검색할 때 결과는 이제 별도의 페이지가 아닌 원본 페이지 콘텐츠 옆의 사이드바에 표시됩니다( 하나의 창에서 페이지 내용과 검색 엔진 액세스 결과를 동시에 볼 수 있습니다.
• 설정의 "개인 정보 보호 및 보안" 섹션에 "개인 정보 보호 가이드" 섹션이 추가되었습니다. 이 섹션은 각 설정의 영향에 대한 자세한 설명과 함께 개인 정보 보호에 영향을 미치는 주요 설정에 대한 일반적인 개요를 제공합니다. 예를 들어, 섹션에서는 Google 서비스로 데이터를 전송하고 동기화, 쿠키 처리 및 기록 저장을 관리하는 정책을 정의할 수 있습니다. 이 기능은 일부 사용자에게 제공되며, 활성화하려면 'chrome://flags#privacy-guide' 설정을 사용하세요.
• 검색 기록 및 조회한 페이지의 구조화가 제공됩니다. 다시 검색을 시도하면 주소 표시줄에 '여행 재개'라는 힌트가 표시되어 지난번에 중단되었던 곳부터 검색을 계속할 수 있습니다.
• Chrome 웹 스토어에서는 권장 추가 기능의 초기 선택 사항이 포함된 '확장 프로그램 시작 키트' 페이지를 제공합니다.
• 테스트 모드에서는 페이지가 내부 네트워크( 192.168.xx , 10.xxx, 172.16.xx) 또는 로컬 호스트(128.xxx). 이 요청에 대한 응답으로 작업을 확인할 때 서버는 "Access-Control-Allow-Private-Network: true" 헤더를 반환해야 합니다. Chrome 버전 102에서는 확인 결과가 아직 요청 처리에 영향을 미치지 않습니다. 확인이 없으면 웹 콘솔에 경고가 표시되지만 하위 리소스 요청 자체는 차단되지 않습니다. 서버 확인 없이 차단을 활성화하는 것은 Chrome 105가 출시될 때까지 예상되지 않습니다. 이전 릴리스에서 차단을 활성화하려면 "chrome://flags/#private-network-access-Respect-preflight-" 설정을 활성화할 수 있습니다. 결과".

  사이트 오픈 시 로드되는 스크립트로부터 로컬 네트워크나 사용자 컴퓨터(localhost)의 리소스에 접근하는 것과 관련된 공격에 대한 보호를 강화하기 위해 서버에 의한 권한 확인이 도입되었습니다. 이러한 요청은 공격자가 라우터, 액세스 포인트, 프린터, 기업 웹 인터페이스 및 로컬 네트워크의 요청만 수락하는 기타 장치 및 서비스에 대해 CSRF 공격을 수행하는 데 사용됩니다. 이러한 공격으로부터 보호하기 위해 내부 네트워크에서 하위 리소스에 액세스하는 경우 브라우저는 이러한 하위 리소스를 로드할 수 있는 권한을 명시적으로 요청합니다.

• 컨텍스트 메뉴를 통해 시크릿 모드로 링크를 열면 개인정보 보호에 영향을 미치는 일부 매개변수가 URL에서 자동으로 제거됩니다.
• Windows 및 Android의 업데이트 제공 전략이 변경되었습니다. 새 릴리스와 이전 릴리스의 동작을 더 완벽하게 비교하기 위해 이제 다운로드할 새 버전의 여러 빌드가 생성됩니다.
• 정보를 영구적으로 저장할 목적이 아닌 영역에 식별자를 저장하는 방식(“슈퍼쿠키”)을 기반으로 사이트 간 사용자 이동을 추적하는 방법으로부터 보호하기 위해 네트워크 분할 기술이 안정화되었습니다. 캐시된 리소스는 원래 도메인에 관계없이 공통 네임스페이스에 저장되므로 한 사이트에서는 해당 리소스가 캐시에 있는지 확인하여 다른 사이트에서 리소스를 로드하고 있는지 확인할 수 있습니다. 보호는 네트워크 분할(네트워크 분할) 사용을 기반으로 하며, 그 핵심은 공유 캐시에 기본 페이지가 열리는 도메인에 대한 추가 레코드 바인딩을 추가하는 것입니다. 이는 이동 추적 스크립트에 대해서만 캐시 적용 범위를 제한합니다. 현재 사이트로 이동합니다(iframe의 스크립트는 리소스가 다른 사이트에서 다운로드되었는지 확인할 수 없습니다). 상태 공유에는 네트워크 연결(HTTP/1, HTTP/2, HTTP/3, websocket), DNS 캐시, ALPN/HTTP2, TLS/HTTP3 데이터, 구성, 다운로드 및 Expect-CT 헤더 정보가 포함됩니다.
• 설치된 독립형 웹 애플리케이션(PWA, Progressive Web App)의 경우 웹 애플리케이션의 화면 영역을 전체 창으로 확장하는 창 컨트롤 오버레이 구성 요소를 사용하여 창 제목 영역의 디자인을 변경할 수 있습니다. 웹 애플리케이션은 표준 창 제어 버튼(닫기, 최소화, 최대화)이 있는 오버레이 블록을 제외하고 전체 창의 렌더링 및 입력 처리를 제어하여 웹 애플리케이션에 일반 데스크톱 애플리케이션의 모양을 제공할 수 있습니다.
• 자동 완성 시스템 양식에 온라인 상점의 상품에 대한 결제 세부 정보가 있는 필드에 가상 신용 카드 번호를 생성하기 위한 지원이 추가되었습니다. 결제할 때마다 번호가 생성되는 가상 카드를 사용하면 실제 신용 카드에 대한 데이터를 전송할 수 없지만 은행에서 필요한 서비스를 제공해야 합니다. 이 기능은 현재 미국 은행 고객에게만 제공됩니다. 기능 포함을 제어하기 위해 "chrome://flags/#autofill-enable-virtual-card" 설정이 제안됩니다.
• "캡처 핸들" 메커니즘은 기본적으로 활성화되어 비디오를 캡처하는 응용 프로그램에 정보를 전송할 수 있습니다. API를 사용하면 콘텐츠가 기록되는 애플리케이션과 기록을 수행하는 애플리케이션 간의 상호 작용을 구성할 수 있습니다. 예를 들어 프레젠테이션을 브로드캐스트하기 위해 비디오를 캡처하는 화상 회의 애플리케이션은 프레젠테이션 컨트롤에 대한 정보를 검색하여 비디오 창에 표시할 수 있습니다.
• 추측 규칙에 대한 지원은 기본적으로 활성화되어 사용자가 링크를 클릭하기 전에 링크 관련 데이터를 사전에 로드할 수 있는지 여부를 결정하는 유연한 구문을 제공합니다.
• 리소스를 웹 번들 형식의 패키지로 패키징하는 메커니즘이 안정화되어 많은 수의 동반 파일(CSS 스타일, JavaScript, 이미지, iframe)을 로드하는 효율성이 높아졌습니다. Webpack 형식의 패키지와 달리 Web Bundle 형식에는 다음과 같은 장점이 있습니다. HTTP 캐시에 저장되는 패키지 자체가 아니라 구성 요소 부분입니다. 패키지가 완전히 다운로드될 때까지 기다리지 않고 JavaScript의 컴파일 및 실행이 시작됩니다. 웹팩에서 JavaScript 문자열 형식으로 인코딩해야 하는 CSS 및 이미지와 같은 추가 리소스를 포함하는 것이 허용됩니다.
• PWA 애플리케이션을 특정 MIME 유형 및 파일 확장자의 처리기로 정의할 수 있습니다. 매니페스트의 file_handlers 필드를 통해 바인딩을 정의한 후 사용자가 애플리케이션과 연결된 파일을 열려고 하면 애플리케이션은 특수 이벤트를 수신합니다.
• DOM 트리의 일부를 "비활성"으로 표시할 수 있는 새로운 비활성 속성이 추가되었습니다. 이 상태의 DOM 노드의 경우 텍스트 선택 및 포인터 호버 핸들러가 비활성화됩니다. 포인터 이벤트 및 사용자 선택 CSS 속성은 항상 '없음'으로 설정됩니다. 노드를 편집할 수 있으면 비활성 모드에서는 편집할 수 없게 됩니다.
• 웹 애플리케이션이 창 탐색 작업을 가로채고, 탐색을 시작하고, 애플리케이션 작업 기록을 분석할 수 있도록 하는 Navigation API를 추가했습니다. API는 단일 페이지 웹 애플리케이션에 최적화된 window.history 및 window.location 속성에 대한 대안을 제공합니다.
• "hidden" 속성에 대해 "until-found"라는 새로운 플래그가 제안되었습니다. 이를 통해 요소를 페이지에서 검색할 수 있고 텍스트 마스크로 스크롤할 수 있습니다. 예를 들어 페이지에 숨겨진 텍스트를 추가할 수 있으며 해당 내용은 지역 검색을 통해 찾을 수 있습니다.
• HID 장치(휴먼 인터페이스 장치, 키보드, 마우스, 게임패드, 터치패드)에 대한 낮은 수준의 액세스와 시스템의 특정 드라이버 없이 작업을 구성하도록 설계된 WebHID API에서는 ExclusionFilters 속성이 requestDevice( ) 개체를 사용하면 브라우저에 사용 가능한 장치 목록이 표시될 때 특정 장치를 제외할 수 있습니다. 예를 들어 알려진 문제가 있는 장치 ID를 제외할 수 있습니다.
• 명시적인 사용자 작업(예: 핸들러와 연결된 요소 클릭) 없이 PaymentRequest.show() 호출을 통해 결제 양식을 표시하는 것은 금지되어 있습니다.
• WebRTC에서 세션을 설정하는 데 사용되는 SDP(Session Description Protocol) 프로토콜의 대체 구현에 대한 지원이 중단되었습니다. Chrome은 다른 브라우저와 통합되고 Chrome 전용이라는 두 가지 SDP 옵션을 제공했습니다. 이제부터는 휴대용 옵션만 남습니다.
• 웹 개발자를 위한 도구가 개선되었습니다. 어두운 테마와 밝은 테마의 사용을 시뮬레이션하기 위해 스타일 패널에 버튼을 추가했습니다. 네트워크 검사 모드에서 미리보기 탭 보호가 강화되었습니다(콘텐츠 보안 정책 적용 활성화). 디버거는 중단점을 다시 로드하기 위해 스크립트 종료를 구현합니다. 페이지에서 특정 작업의 성능을 분석할 수 있는 새로운 "성능 통찰력" 패널의 예비 구현이 제안되었습니다.

혁신과 버그 수정 외에도 새 버전에서는 32개의 취약점이 제거되었습니다. AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer 및 AFL 도구를 사용한 자동화된 테스트의 결과로 많은 취약점이 식별되었습니다. 문제 중 하나(CVE-2022-1853)에는 심각한 수준의 위험이 지정되었습니다. 이는 모든 수준의 브라우저 보호를 우회하고 샌드박스 환경 외부의 시스템에서 코드를 실행할 수 있음을 의미합니다. 이 취약점에 대한 자세한 내용은 아직 공개되지 않았으며, Indexed DB API 구현에서 해제된 메모리 블록(use-after-free)에 액세스할 때 발생한다는 것만 알려져 있습니다.

현재 릴리스의 취약점 발견에 대한 현금 보상 프로그램의 일환으로 Google은 24달러 상당의 65600개 상을 지급했습니다(10000개는 7500개, 7000개는 $5000, 3000개는 $2000, 1000개는 $500, 7개는 $XNUMX, XNUMX개는 $XNUMX, XNUMX개는 $XNUMX, XNUMX개). $XNUMX 보너스). XNUMX개 보상의 규모는 아직 결정되지 않았습니다.

출처 : opennet.ru