ProHoster > Blogs > interneta ziņas > Chrome 102. izlaidums

Chrome 102. izlaidums

Google ir prezentējis tÄ«mekļa pārlÅ«kprogrammas Chrome 102 izlaidumu. Tajā paŔā laikā ir pieejams stabils bezmaksas Chromium projekta izlaidums, kas kalpo par Chrome pamatu. PārlÅ«kprogramma Chrome atŔķiras no Chromium ar Google logotipu izmantoÅ”anu, sistēmas klātbÅ«tni paziņojumu nosÅ«tÄ«Å”anai avārijas gadÄ«jumā, moduļiem pret kopÄ“Å”anu aizsargāta video satura atskaņoÅ”anai (DRM), sistēmu automātiskai atjauninājumu instalÄ“Å”anai, pastāvÄ«gi iespējojot smilÅ”kastes izolāciju. , piegādājot atslēgas Google API un pārsÅ«tot RLZ meklÄ“Å”anas laikā. Tiem, kam ir nepiecieÅ”ams vairāk laika, lai atjauninātu, paplaÅ”inātā stabilā filiāle tiek atbalstÄ«ta atseviŔķi, kam seko 8 nedēļas. Nākamais Chrome 103 laidiens ir paredzēts 21. jÅ«nijā.

Galvenās izmaiņas pārlÅ«kā Chrome 102:

  • Lai bloķētu ievainojamÄ«bu izmantoÅ”anu, kas raduŔās, piekļūstot jau atbrÄ«votajiem atmiņas blokiem (use-after-free), parasto rādÄ«tāju vietā sāka izmantot MiraclePtr (raw_ptr) tipu. MiraclePtr nodroÅ”ina saistÄ«Å”anas norādes, kas veic papildu pārbaudes par piekļuvi atbrÄ«votajiem atmiņas apgabaliem un avārijām, ja Ŕādas piekļuves tiek atklātas. Jaunās aizsardzÄ«bas metodes ietekme uz veiktspēju un atmiņas patēriņu tiek vērtēta kā niecÄ«ga. MiraclePtr mehānisms nav piemērojams visos procesos, jo Ä«paÅ”i tas netiek izmantots renderÄ“Å”anas procesos, taču tas var bÅ«tiski uzlabot droŔību. Piemēram, paÅ”reizējā laidienā no 32 labotajām ievainojamÄ«bām 12 izraisÄ«ja lietoÅ”anas pēc brÄ«vas lietoÅ”anas problēmas.
  • Ir mainÄ«ts interfeisa dizains ar informāciju par lejupielādēm. ApakŔējās rindiņas vietā ar datiem par lejupielādes gaitu panelim ar adreses joslu ir pievienots jauns indikators, noklikŔķinot uz tā, tiek parādÄ«ta failu lejupielādes gaita un vēsture ar jau lejupielādēto failu sarakstu. AtŔķirÄ«bā no apakŔējā paneļa, poga pastāvÄ«gi tiek rādÄ«ta panelÄ« un ļauj ātri piekļūt lejupielādes vēsturei. Jaunā saskarne paÅ”laik pēc noklusējuma tiek piedāvāta tikai dažiem lietotājiem un tiks paplaÅ”ināta uz visiem, ja nebÅ«s problēmu. Lai atgrieztu veco saskarni vai iespējotu jaunu, tiek nodroÅ”ināts iestatÄ«jums ā€œchrome://flags#download-bubbleā€.
    Chrome 102. izlaidums
  • Meklējot attēlus konteksta izvēlnē (ā€œMeklēt attēlu, izmantojot Google Lensā€ vai ā€œAtrast, izmantojot Google Lensā€), rezultāti tagad tiek rādÄ«ti nevis atseviŔķā lapā, bet gan sānjoslā blakus sākotnējās lapas saturam ( vienā logā vienlaikus var redzēt gan lapas saturu, gan piekļūŔanas meklētājprogrammai rezultātu).
    Chrome 102. izlaidums
  • IestatÄ«jumu sadaļā "Privātums un droŔība" ir pievienota sadaļa "Privātuma ceļvedis", kurā ir vispārÄ«gs pārskats par galvenajiem iestatÄ«jumiem, kas ietekmē privātumu, ar detalizētiem paskaidrojumiem par katra iestatÄ«juma ietekmi. Piemēram, sadaļā varat definēt datu nosÅ«tÄ«Å”anas uz Google pakalpojumiem politiku, pārvaldÄ«t sinhronizāciju, sÄ«kfailu apstrādi un vēstures saglabāŔanu. Funkcija tiek piedāvāta dažiem lietotājiem; lai to aktivizētu, varat izmantot iestatÄ«jumu ā€œchrome://flags#privacy-guideā€.
    Chrome 102. izlaidums
  • Tiek nodroÅ”ināta meklÄ“Å”anas vēstures un skatÄ«to lapu strukturÄ“Å”ana. Mēģinot meklēt vēlreiz, adreses joslā tiek parādÄ«ts mājiens ā€œAtsākt ceļojumuā€, kas ļauj turpināt meklÄ“Å”anu no vietas, kur tā tika pārtraukta iepriekŔējo reizi.
    Chrome 102. izlaidums
  • Chrome interneta veikalā ir pieejama lapa ā€œPaplaÅ”inājumu sākuma komplektsā€ ar sākotnējo ieteicamo papildinājumu izvēli.
  • Testa režīmā ir iespējota CORS (Cross-Origin Resource Sharing) autorizācijas pieprasÄ«juma nosÅ«tÄ«Å”ana uz galveno vietnes serveri ar galveni ā€œPiekļuve-kontrole-PieprasÄ«jums-Private-Network: trueā€, kad lapa piekļūst resursam iekŔējā tÄ«klā ( 192.168.xx , 10.xxx, 172.16.xx) vai vietējam resursdatoram (128.xxx). Apstiprinot darbÄ«bu, atbildot uz Å”o pieprasÄ«jumu, serverim ir jāatgriež galvene ā€œAccess-Control-Allow-Private-Network: trueā€. Chrome versijā 102 apstiprinājuma rezultāts vēl neietekmē pieprasÄ«juma apstrādi ā€“ ja apstiprinājuma nav, tÄ«mekļa konsolē tiek parādÄ«ts brÄ«dinājums, bet pats apakÅ”resursa pieprasÄ«jums netiek bloķēts. Ja no servera nav saņemts apstiprinājums, bloÄ·Ä“Å”ana tiks iespējota tikai pēc Chrome 105 izlaiÅ”anas. Lai iespējotu bloÄ·Ä“Å”anu iepriekŔējos laidienos, varat iespējot iestatÄ«jumu "chrome://flags/#private-network-access-respect-preflight- rezultāti".

    Servera pilnvaru pārbaude tika ieviesta, lai stiprinātu aizsardzÄ«bu pret uzbrukumiem, kas saistÄ«ti ar piekļuvi resursiem lokālajā tÄ«klā vai lietotāja datorā (localhost) no skriptiem, kas ielādēti, atverot vietni. Šādus pieprasÄ«jumus uzbrucēji izmanto, lai veiktu CSRF uzbrukumus marÅ”rutētājiem, piekļuves punktiem, printeriem, uzņēmuma tÄ«mekļa saskarnēm un citām ierÄ«cēm un pakalpojumiem, kas pieņem pieprasÄ«jumus tikai no lokālā tÄ«kla. Lai aizsargātu pret Ŕādiem uzbrukumiem, ja iekŔējā tÄ«klā tiek piekļūts kādiem apakÅ”resursiem, pārlÅ«kprogramma nosÅ«tÄ«s skaidru pieprasÄ«jumu atļaujai ielādēt Å”os apakÅ”resursus.

  • Atverot saites inkognito režīmā, izmantojot konteksta izvēlni, daži parametri, kas ietekmē privātumu, tiek automātiski noņemti no URL.
  • Windows un Android atjauninājumu piegādes stratēģija ir mainÄ«ta. Lai pilnÄ«gāk salÄ«dzinātu jauno un veco laidienu darbÄ«bu, tagad lejupielādei tiek Ä£enerētas vairākas jaunās versijas bÅ«ves.
  • TÄ«kla segmentācijas tehnoloÄ£ija ir stabilizēta, lai aizsargātu pret metodēm, kā izsekot lietotāju kustÄ«bām starp vietnēm, pamatojoties uz identifikatoru glabāŔanu vietās, kas nav paredzētas pastāvÄ«gai informācijas glabāŔanai (ā€œsupersÄ«kfailiā€). Tā kā keÅ”atmiņā saglabātie resursi tiek glabāti kopējā nosaukumvietā neatkarÄ«gi no sākotnējā domēna, viena vietne var noteikt, ka cita vietne ielādē resursus, pārbaudot, vai Å”is resurss atrodas keÅ”atmiņā. AizsardzÄ«bas pamatā ir tÄ«kla segmentācijas (Network Partitioning) izmantoÅ”ana, kuras bÅ«tÄ«ba ir pievienot koplietotajām keÅ”atmiņām papildu ierakstu saistÄ«Å”anu ar domēnu, no kura tiek atvērta galvenā lapa, kas ierobežo keÅ”atmiņas pārklājumu tikai kustÄ«bas izsekoÅ”anas skriptiem. uz paÅ”reizējo vietni (skripts no iframe nevarēs pārbaudÄ«t, vai resurss ir lejupielādēts no citas vietnes). Stāvokļa koplietoÅ”ana aptver tÄ«kla savienojumus (HTTP/1, HTTP/2, HTTP/3, tÄ«mekļa ligzdu), DNS keÅ”atmiņu, ALPN/HTTP2, TLS/HTTP3 datus, konfigurāciju, lejupielādes un Expect-CT galvenes informāciju.
  • Instalētām atseviŔķām tÄ«mekļa lietojumprogrammām (PWA, Progressive Web App) ir iespējams mainÄ«t loga virsraksta apgabala dizainu, izmantojot Window Controls Overlay komponentus, kas paplaÅ”ina tÄ«mekļa lietojumprogrammas ekrāna laukumu lÄ«dz visam logam. TÄ«mekļa lietojumprogramma var kontrolēt visa loga renderÄ“Å”anu un ievades apstrādi, izņemot pārklājuma bloku ar standarta loga vadÄ«bas pogām (aizvērt, minimizēt, palielināt), lai tÄ«mekļa lietojumprogrammai pieŔķirtu parastas darbvirsmas lietojumprogrammas izskatu.
    Chrome 102. izlaidums
  • Veidlapu automātiskās aizpildes sistēmā ir pievienots atbalsts virtuālo kredÄ«tkarÅ”u numuru Ä£enerÄ“Å”anai laukos ar maksājumu rekvizÄ«tiem par precēm interneta veikalos. Virtuālās kartes izmantoÅ”ana, kuras numurs tiek Ä£enerēts katram maksājumam, ļauj nepārsÅ«tÄ«t datus par Ä«stu kredÄ«tkarti, bet gan nepiecieÅ”ams nodroÅ”ināt nepiecieÅ”amo pakalpojumu no bankas. Funkcija paÅ”laik ir pieejama tikai ASV banku klientiem. Lai kontrolētu funkcijas iekļauÅ”anu, tiek piedāvāts iestatÄ«jums ā€œchrome://flags/#autofill-enable-virtual-cardā€.
  • ā€œCapture Handleā€ mehānisms ir aktivizēts pēc noklusējuma, ļaujot pārsÅ«tÄ«t informāciju uz lietojumprogrammām, kas uzņem video. API ļauj organizēt mijiedarbÄ«bu starp lietojumprogrammām, kuru saturs ir ierakstÄ«ts, un lietojumprogrammām, kas veic ierakstÄ«Å”anu. Piemēram, videokonferenču lietojumprogramma, kas uzņem video prezentācijas pārraidÄ«Å”anai, var izgÅ«t informāciju par prezentācijas vadÄ«klām un parādÄ«t tās video logā.
  • SpekulatÄ«vo noteikumu atbalsts ir iespējots pēc noklusējuma, nodroÅ”inot elastÄ«gu sintaksi, lai noteiktu, vai ar saiti saistÄ«tos datus var aktÄ«vi ielādēt, pirms lietotājs noklikŔķina uz saites.
  • Mehānisms resursu iesaiņoÅ”anai pakotnēs Web Bundle formātā ir stabilizēts, ļaujot palielināt liela skaita pavadfailu (CSS stilu, JavaScript, attēlu, iframe) ielādes efektivitāti. AtŔķirÄ«bā no Webpack formāta pakotnēm Web Bundle formātam ir Ŕādas priekÅ”rocÄ«bas: HTTP keÅ”atmiņā tiek saglabāta nevis pati pakotne, bet gan tās sastāvdaļas; JavaScript kompilācija un izpilde sākas, negaidot pakotnes pilnÄ«gu lejupielādi; Ir atļauts iekļaut papildu resursus, piemēram, CSS un attēlus, kas tÄ«mekļa pakotnē bÅ«tu jāiekodē JavaScript virkņu veidā.
  • Ir iespējams definēt PWA lietojumprogrammu kā noteiktu MIME tipu un failu paplaÅ”inājumu apstrādātāju. Pēc saistÄ«Å”anas definÄ“Å”anas, izmantojot manifesta lauku file_handlers, lietojumprogramma saņems Ä«paÅ”u notikumu, kad lietotājs mēģinās atvērt ar lietojumprogrammu saistÄ«tu failu.
  • Pievienots jauns inertais atribÅ«ts, kas ļauj atzÄ«mēt daļu no DOM koka kā "neaktÄ«vu". Å ajā stāvoklÄ« esoÅ”ajiem DOM mezgliem teksta atlases un rādÄ«tāja kursora apdarinātāji ir atspējoti, t.i. RādÄ«tāja notikumi un lietotāja atlasÄ«tie CSS rekvizÄ«ti vienmēr ir iestatÄ«ti uz "nav". Ja mezglu varēja rediģēt, tad inertā režīmā tas kļūst nerediģējams.
  • Pievienota navigācijas API, kas ļauj tÄ«mekļa lietojumprogrammām pārtvert logu navigācijas darbÄ«bas, uzsākt navigāciju un analizēt darbÄ«bu vēsturi ar lietojumprogrammu. API nodroÅ”ina alternatÄ«vu rekvizÄ«tiem window.history un window.location, kas optimizēts vienas lapas tÄ«mekļa lietojumprogrammām.
  • AtribÅ«tam "slēpts" ir ierosināts jauns karodziņŔ "lÄ«dz atrasts", kas padara elementu meklējamu lapā un ritināmu, izmantojot teksta masku. Piemēram, lapai var pievienot slēptu tekstu, kura saturs tiks atrasts vietējā meklÄ“Å”anā.
  • WebHID API, kas paredzēts zema lÄ«meņa piekļuvei HID ierÄ«cēm (cilvēka interfeisa ierÄ«cēm, tastatÅ«rām, pelēm, spēļu paneļiem, skārienpaliktņiem) un darba organizÄ“Å”anai bez Ä«paÅ”u draiveru klātbÅ«tnes sistēmā, rekvizÄ«ts exclusionFilters ir pievienots rekvizÄ«tam requestDevice( ) objektu, kas ļauj izslēgt noteiktas ierÄ«ces, kad pārlÅ«kprogramma parāda pieejamo ierīču sarakstu. Piemēram, varat izslēgt ierīču ID, kurām ir zināmas problēmas.
  • Ir aizliegts parādÄ«t maksājuma veidlapu, izsaucot PaymentRequest.show() bez skaidras lietotāja darbÄ«bas, piemēram, noklikŔķinot uz elementa, kas saistÄ«ts ar apstrādātāju.
  • Ir pārtraukts atbalsts alternatÄ«vai SDP (sesijas apraksta protokola) protokola ievieÅ”anai, ko izmanto sesijas izveidei WebRTC. Chrome piedāvāja divas SDP opcijas ā€” apvienotas ar citām pārlÅ«kprogrammām un Chrome specifiskas. Turpmāk ir palikusi tikai portatÄ«vā iespēja.
  • Ir veikti tÄ«mekļa izstrādātāju rÄ«ku uzlabojumi. Stili panelim ir pievienotas pogas, lai simulētu tumÅ”as un gaiÅ”as tēmas izmantoÅ”anu. Cilnes PriekÅ”skatÄ«jums aizsardzÄ«ba tÄ«kla pārbaudes režīmā ir pastiprināta (ir iespējota satura droŔības politikas pielietoÅ”ana). Atkļūdotājs ievieÅ” skripta pārtraukÅ”anu, lai atkārtoti ielādētu pārtraukumpunktus. Ir ierosināta jaunā paneļa ā€œPerformance insightsā€ provizoriska ievieÅ”ana, kas ļauj analizēt noteiktu lapas darbÄ«bu veiktspēju.
    Chrome 102. izlaidums

Papildus jauninājumiem un kļūdu labojumiem jaunā versija novērÅ” 32 ievainojamÄ«bas. Daudzas ievainojamÄ«bas tika identificētas automatizētas testÄ“Å”anas rezultātā, izmantojot AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer un AFL rÄ«kus. Vienai no problēmām (CVE-2022-1853) ir pieŔķirts kritisks bÄ«stamÄ«bas lÄ«menis, kas nozÄ«mē iespēju apiet visus pārlÅ«kprogrammas aizsardzÄ«bas lÄ«meņus un izpildÄ«t kodu sistēmā ārpus smilÅ”kastes vides. SÄ«kāka informācija par Å”o ievainojamÄ«bu vēl nav izpausta; ir zināms tikai tas, ka to izraisa piekļuve atbrÄ«votam atmiņas blokam (izmantot pēc brÄ«vas lietoÅ”anas) indeksētā DB API ievieÅ”anā.

Kā daļu no naudas atlÄ«dzÄ«bas programmas par paÅ”reizējā laidiena ievainojamÄ«bu atklāŔanu, Google izmaksāja 24 balvas 65600 10000 USD vērtÄ«bā (viena 7500 7000 USD balva, viena 5000 USD balva, divas 3000 USD balvas, trÄ«s 2000 USD balvas, četras 1000 USD balvas, divas 500 USD, 7 divas XNUMX USD XNUMX USD prēmijas). XNUMX atlÄ«dzÄ«bas lielums vēl nav noteikts.

Avots: opennet.ru

Pievieno komentāru