Chrome 135 tīmekļa pārlūka izlaidums

Google uzņēmums publicēja web pārlūkprogrammas Chrome 135 versiju. Vienlaicīgi ir pieejama stabilā brīvā projekta Chromium versija, kas kalpo par Chrome pamatu. Pārlūkprogramma Chrome atšķiras no Chromium ar Google logotipa izmantošanu, avārijas gadījumā piedāvāto ziņojumu nosūtīšanas sistēmu, aizsargājošo DRM moduļu klātbūtni, automātisko atjauninājumu instalēšanas sistēmu, nepārtrauktu Sandbox izolāciju, piegādāšanu Google API atslēgām un RLZ parametru nosūtīšanu meklēšanas laikā. Lai sniegtu vairāk laika atjauninājumiem, tiek nodrošināta arī Extended Stable versija, kas tiek atbalstīta 8 nedēļas. Nākamā Chrome 136 izlaišana ir plānota 29. aprīlī.

Galvenie uzlabojumi Chrome 135:

• Pievienota aizsardzība pret slepenu lietotāju identifikāciju, izmantojot HSTS (HTTP Strict Transport Security) kešu. HSTS ļauj vietnēm, ieejot pa HTTP, pārsūtīt lietotāju uz HTTPS. Darbības laikā HSTS noteiktais saimniekšķirks saglabājas iekšējā kešā, kas ļauj izmantot saimniekšķirks klātbūtni vai prombūtni kešā, lai uzglabātu vienu bitu informācijas.

  Lai slepeni uzglabātu 32 bitu lietotāja identifikatoru, var izmantot masīvu ar 32 attēliem, kas tiek piegādāti no dažādiem saimniekšķirkiem pa HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg utt.). Identifikatora noteikšana notiek, pārbaudot, no kuriem saimniekšķirkiem attēli ielādēti pa HTTPS un kuriem pa HTTP (ja attēli iepriekš tika piegādāti pa HTTP un HSTS tika pārsūtīti uz HTTPS, tad nākamajos pieprasījumos tie nekavējoties tiks ielādēti, apejot piekļuvi pa HTTP). Aizsardzība ir ierobežota līdz HSTS atjaunināšanas atļaušanai tikai augstāko resursu vajadzībām un HSTS atjaunināšanas bloķēšanai subresursu pieprasījumos.
• Pievienota lokāli izpildāma mašīnmācības modeļa uzlabošanai, lai noteiktu paroli ievades formas lapās un automātiski mainītu paroli. Ja parole tiek uzskatīta par apdraudētu, mēģinot pieslēgties ar šo paroli, Chrome izvadīs brīdinājumu ar ieteikumu mainīt paroli. Piekrītot, pārlūks ģenerēs drošu paroli, nomainīs paroli vietnē un saglabās jauno paroli paroles pārvaldniekā — AI automātiski aizpildīs un nosūtīs nepieciešamās tīmekļa formas uz attiecīgo vietni un atjauninās saglabāto paroli.
• Paplašinātās aizsardzības pārlūka režīmā (Safe Browsing > Enhanced protection) pievienota iespēja izmantot lielu valodas modeli, lai noteiktu krāpnieciskas lapas pēc to satura. AI modelis darbojas klienta pusē, bet, ja tiek konstatētas aizdomas par apšaubāmu saturu, tiek veiktas papildu pārbaudes serveriem Google. Ja papildu pārbaude apstiprinās, lietotājam tiks rādīts brīdinājums. Pārbaude pašlaik tiek veikta tikai lapām, kas izmanto API Keyboard Lock.
• Lietotājiem, kas ir savienojuši Chrome ar savu Google kontu, ir iespēja saglabāt uzstādītos paplašinājumus savā Google kontā, lai tos vēlāk automātiski izmantotu visos datoros, ar kuriem lietotājs strādā.
• Lietotājiem, kuri nesen pieslēgušies Google kontam vai izmanto Chrome Sync, ir nodrošināta sinhronizēto iestatījumu, vietņu saīsņu un tēmu glabāšana atsevišķi no vietējiem iestatījumiem. Tādējādi, izslēdzot Chrome Sync ierīcē, paliks oriģinālie iestatījumi, un, pieslēdzoties Google, netiks ielādēti vietējie iestatījumi.
• Android versijā ir pārtraukta iebūvētā paroļu pārvaldnieka atbalsts, un tā vietā ir ieviests vienotais Google Password Manager, ko piegādā caur Google Play. Lietotāji var saglabāt vecā paroļu pārvaldnieka saturu CSV formātā, lai pārvietotu to uz citiem paroļu pārvaldniekiem.
• Inko gnīto režīmā ir ieviesta neizslēdzama trešo pušu sīkdatņu bloķēšana, kas tiek izmantota, piekļūstot lapām, kas atšķiras no domēns pašreizējās lapas (šādas sīkdatnes tiek izmantotas, lai izsekotu lietotāja pārvietošanos starp lapām, reklāmas tīklu kodā, sociālo tīklu lograkstos un tīmekļa analītikas sistēmās). Iespēja vadīt trešo pušu sīkdatņu bloķēšanu lapu pusē ir palikusi nemainīga, taču pārlūkā iestatījums BlockThirdPartyCookies inkognito režīmā vairs nevar tikt iestatīts uz false.
• CSS pievienoti pseidoelementi «::column», «::scroll-button», «::scroll-marker» un «::scroll-marker-group», ar kuru palīdzību var īstenot ritināšanu karuseļu veidā.
• Tika ir ieviesti HTML atribūti „command“ un „commandfor“, kurus var izmantot pogās, lai aizstātu atribūtus „popovertargetaction“ un „popovertarget“ dekleratīvajā interakcijas iestatīšanā ar izvēlni, kas tiek izsaukta, nospiežot pogu. Izmantojot jaunās atribūtu funkcijas, visu loģiku, kas saistīta ar izvēlni, ņem uz sevi pārlūkprogramma, tādējādi nav nepieciešama savas JavaScript apstrādātāju pieslēgšana. Piemēram, lai izveidotu nolaižamo izvēlni, pietiek norādīt: <button commandfor="»my-menu»" command="»show-popover»">Atvērt izvēlni</button> <div popover id="»my-menu»"> … </div>
• CSS pievienota funkcija shape(), kas ļauj veidot figūras, izmantojot CSS īpašības clip-path un offset-path. Funkcija shape() atbalsta figūru veidošanas komandas, kas ir ekvivalentas funkcijai path(), taču ļauj izmantot standarta CSS sintaksi.
• Web Speech API, kas nodrošina runas sintēzes un atpazīšanas funkcijas, ir pievienota MediaStreamTrack saskarne, lai apstrādātu skaņu, kas nāk no dažādiem avotiem, tostarp ārējiem skaņas ierakstiem. Iepriekš Web Speech API varēja apstrādāt tikai skaņu, kas nāk caur noklusējuma mikrofonu.
• JavaScript ir pievienota atbalsts tipizētajiem masīviem Float16Array, kas paredzēti Float16 tipa vērtību glabāšanai.
• Iekļauts Observable API, lai apstrādātu notikumu plūsmas asinkroni. API ļauj abonēt objektu, lai saņemtu notikumus, kad tie notiek, un deklaratīvi aprakstīt pārveidojumu plūsmu, kas tiks piemērota ienākošajiem notikumiem.
• Ir noņemta metode navigator.xr.supportsSession, kas iepriekš tika atzīta par novecojušu. Tā vietā vajadzētu izmantot metodi navigator.xr.isSessionSupported, kas ir norādīta WebXR specifikācijā.
• Ir noņemtas iestatījumi InsecurePrivateNetworkRequestsAllowedForUrls un InsecurePrivateNetworkRequestsAllowed, kas tika izmantoti, lai aktivizētu PNA 1.0 (Privātā tīkla piekļuve) mehānismu, ierobežojot resursu ielādi no publiski pieejamām vietnēm, kas atsaucas uz resursiem iekšējā tīklā (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 u.c.). Šāda aktivitāte tiek izmantota ļaunprātīgiem uzbrukumiem CSRF (Cross-Site Request Forgery) pret maršrutētājiem, piekļuves punktiem, printeriem, korporatīvajām tīmekļa saskarnēm un cita veida ierīcēm un pakalpojumiem, kas pieņem pieprasījumus tikai no lokālā tīkla.

  Dēļ saderības problēmām ar dažām ierīcēm PNA 1.0 varēja aktivizēt tikai pēc vēlēšanās. PNA 2.0 specifikācija tika izstrādāta, lai atbalstītu to, kas neprasa izmaiņas ierīču pusē, un pietiekams izmaiņas tīmekļa vietņu pusē, kurām nepieciešama piekļuve intraneta resursiem. PNA 1.0 un PNA 2.0 nav savietojamas, tādēļ līdz PNA 2.0 ieviešanai Google sākotnēji plāno noņemt PNA 1.0 atbalstu.

• Tika ir noņemta iespēja atjaunot atbalstu novecojušam MutationEvent saskarnei un tai saistītajiem sinhroni apstrādātajiem DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument un DOMCharacterDataModified notikumiem. Šī saskarne tika izmantota, lai uzraudzītu izmaiņas DOM kokā, taču negatīvi ietekmēja lapu veiktspēju un kavēja dažu jaunu iespēju ieviešanu. Šis API tika izslēgts pēc noklusējuma pagājušā gada vasarā, taču Chrome saglabāja iespēju MutationEventsEnabled, lai atjaunotu atbalstu. Kā alternatīvu ieteicams izmantot Mutation Observer API.
• Web izstrādātāju rīkos ir paplašinātas veiktspējas analīzes rīku iespējas.

Jaunajā versijā, papildus jaunumiem un kļūdu labojumiem, ir novērstas 14 ievainojamības. Daudzas no ievainojamībām tika atklātas, izmantojot automātizētus testus ar AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer un AFL rīkiem. Kritiskas problēmas, kas ļautu apiet visus pārlūkprogrammas aizsardzības līmeņus un izpildīt kodu sistēmā ārpus sandbox vides, netika konstatētas. Saskaņā ar programmu par naudas balvu piešķiršanu par ievainojamību atklāšanu uzņēmums Google šajā izlaidumā izmaksāja 8 balvas kopā 17 tūkstošu ASV dolāru apmērā — viena balva 10 000 USD un pa divām balvām 2 000, 1 000 un 500 USD.

Avots: opennet.lv