Google telah mengeluarkan versi 142 pelayar web Chrome. Keluaran stabil projek Chromium sumber terbuka, asas Chrome, juga tersedia. Chrome berbeza daripada Chromium dalam penggunaan logo Google, sistem pemberitahuan ranap sistem, modul untuk memainkan kandungan video yang dilindungi salinan (DRM), pemasangan kemas kini automatik, pengasingan kotak pasir sentiasa hidup, peruntukan kunci API Google dan pemindahan parameter RLZ semasa carian. Bagi mereka yang memerlukan lebih banyak masa untuk mengemas kini, cawangan Extended Stable yang berasingan dikekalkan selama lapan minggu. Keluaran seterusnya, Chrome 143, dijadualkan pada 2 Disember.
Perubahan utama dalam Chrome 142:
- Perlindungan terhadap akses kepada sistem setempat apabila berinteraksi dengan laman web awam diaktifkan. Apabila mengakses laman web pada rangkaian awam atau dalaman (intranet), Alamat IP Apabila mengakses sistem setempat atau antara muka gelung balik (127.0.0.0/8), pelayar akan memaparkan kotak dialog kepada pengguna yang meminta pengesahan. Percubaan untuk memuat turun sumber, permintaan fetch() dan sisipan iframe diliputi. Perlindungan pada masa ini tidak digunakan pada sambungan melalui WebSockets, WebTransport dan WebRTC, tetapi akan ditambah untuk teknologi ini kemudian.
Penyerang mengeksploitasi akses sumber dalaman untuk melakukan serangan CSRF pada penghala, pusat akses, pencetak, antara muka web korporat dan peranti serta perkhidmatan lain yang hanya menerima permintaan daripada rangkaian tempatan. Tambahan pula, pengimbasan sumber dalaman boleh digunakan untuk pengenalan tidak langsung atau untuk mengumpul maklumat tentang rangkaian tempatan.
- Antara muka tunggal yang dipermudahkan telah diperkenalkan untuk memaut ke akaun Google dan menyegerakkan data, seperti kata laluan dan penanda halaman yang disimpan. Penyegerakan disepadukan dengan log masuk akaun dan tidak dibentangkan sebagai pilihan berasingan dalam tetapan. Pengguna boleh menyambungkan Chrome ke akaun Google mereka dan menggunakannya untuk menyimpan kata laluan, penanda halaman, sejarah penyemakan imbas dan tab. Pada masa ini, ciri ini aktif untuk sesetengah pengguna dan akan dikembangkan secara beransur-ansur.
- Model pengasingan proses baharu digunakan - “Pengasingan Asal”, di mana setiap sumber kandungan (asal - pengikatan protokol, domain dan port, contohnya, "https://foo.example.com"), diasingkan dalam proses pemaparan berasingan. Memandangkan peningkatan granulariti pengasingan boleh menyebabkan peningkatan penggunaan memori dan beban CPU, mod pengasingan baharu hanya diaktifkan pada sistem dengan lebih daripada 4 GB RAM. Pada perkakasan berkuasa rendah, pendekatan pengasingan lama akan terus digunakan, yang mengasingkan semua sumber kandungan berbeza yang berkaitan dengan satu tapak (contohnya, foo.example.com dan bar.example.com) dalam proses berasingan.
- Pada sistem dengan Windows и macOSBagi aplikasi yang tidak menggunakan pengurusan Chrome berpusat, kami telah melaksanakan pelumpuhan automatik alat tambah pelayar yang dipasang secara paksa yang didapati melanggar dasar Gedung Web Chrome kecil. Pelanggaran kecil termasuk potensi kerentanan, alat tambah berasaskan tolak tanpa pengetahuan pengguna, manipulasi metadata, pelanggaran dasar data pengguna dan fungsi yang mengelirukan. Pengguna boleh memulihkan alat tambah yang dilumpuhkan jika mereka mahu.
- Dalam versi untuk AndroidSama seperti binaan desktop, amaran tentang halaman palsu yang dikesan oleh model bahasa besar berdasarkan analisis kandungan telah dilaksanakan. AI digunakan dalam mod Penyemakan Imbas Selamat Dipertingkatkan pelayar. Model AI berjalan di sisi klien, tetapi jika kandungan yang disyaki meragukan dikesan, pemeriksaan tambahan dilakukan pada pelayan Google.
- Pelaksanaan protokol DTLS (Datagram Transport Layer Security, analog TLS untuk UDP) yang digunakan untuk sambungan WebRTC termasuk penggunaan algoritma penyulitan pasca-kuantum.
- Status pengaktifan, yang ditetapkan semasa aktiviti pengguna pada halaman, kini dikekalkan selepas menavigasi ke halaman lain pada domain yang sama. Mengekalkan pengaktifan akan memudahkan pembangunan aplikasi web berbilang halaman dan menyelesaikan masalah seperti menetapkan fokus input apabila tapak memaparkan papan kekunci mayanya.
- Kelas pseudo CSS ":target-before" dan ":target-after" telah ditambahkan untuk mentakrifkan penanda sebelumnya dan seterusnya berbanding kedudukan skrol semasa (":target-current").
- Bekas gaya (@bekas) dan fungsi if() kini menyokong Sintaks Julat yang ditakrifkan dalam spesifikasi Tahap 4 Pertanyaan Media, yang membenarkan penggunaan operator perbandingan matematik standard dan operator logik untuk mentakrifkan julat nilai. Sebagai contoh, anda kini boleh menentukan "@gaya kontena(—padding dalam > 1em)" dan "warna latar belakang: if(style(attr(data-columns, type ) > 2): biru muda; lain: putih);"
- Elemen " " dan " " kini menyokong atribut "interestfor". Atribut ini boleh digunakan untuk mencetuskan tindakan, seperti memaparkan pop timbul, apabila pengguna menunjukkan minat terhadap elemen tersebut. Penyemak imbas mengenali peristiwa seperti melayang dan menahan penunjuk di atas elemen, menekan kekunci pintas atau menahan sentuhan pada skrin sentuh sebagai penunjuk minat. Apabila elemen dengan atribut "interestfor" dikenal pasti, penyemak imbas menjana InterestEvent.
- Penambahbaikan telah dibuat pada alat pembangun web. Butang pelancaran pantas untuk pembantu AI telah ditambahkan ke penjuru kanan sebelah atas. Item menu konteks "Tanya AI" telah dinamakan semula kepada "Nyahpepijat dengan AI" dan dikembangkan untuk menyertakan keupayaan untuk melakukan tindakan segera bergantung pada konteks. Dalam konsol web dan panel kod, pembantu AI Gemini kini boleh menjana cadangan dengan kod.
Alat pembangun web kini disepadukan dengan Program Pembangun Google (KDNK). Pembangun kini boleh mengakses profil KDNK mereka terus daripada Chrome DevTools dan memperoleh ganjaran untuk menyelesaikan tugas tertentu dalam antara muka ini.
Selain ciri baharu dan pembetulan pepijat, versi baharu ini menangani 20 kelemahan. Banyak kelemahan telah dikenal pasti melalui ujian automatik menggunakan AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer dan AFL. Tiada isu kritikal yang boleh membenarkan untuk memintas semua lapisan perlindungan penyemak imbas dan melaksanakan kod di luar persekitaran kotak pasir dikenal pasti. Sebagai sebahagian daripada program ganjaran kerentanan untuk keluaran semasa, Google telah menetapkan 20 hadiah berjumlah $130,000 (dua hadiah $50,000, satu hadiah $10000, tiga hadiah $3000, dua hadiah $2000 dan tiga hadiah $1000). Jumlah lapan daripada hadiah itu masih belum ditentukan.
Selain itu, kelemahan yang tidak ditambal telah dikenal pasti dalam enjin Blink, menyebabkan penyemak imbas ranap dan pegun apabila melaksanakan kod JavaScript tertentu. Kerentanan ini disebabkan oleh isu seni bina dalam enjin pemaparan yang berkaitan dengan kekurangan had kadar untuk mengemas kini sifat "document.title". Kekurangan pengehadan ini membolehkan "document.title" digunakan untuk membuat berpuluh-puluh juta perubahan pada DOM sesaat. Ini menyebabkan antara muka membeku dalam beberapa saat kerana benang utama disekat dan penggunaan memori yang ketara. Selepas 15-60 saat, penyemak imbas ranap.
Sumber: opennet.ru
