De standaardactivering van de API Idle Detection in Chrome 94 heeft geleid tot een golf van kritiek, met verwijzingen naar bezwaren van ontwikkelaars van Firefox en WebKit/Safari.
De API Idle Detection stelt websites in staat om te bepalen wanneer een gebruiker inactief is, dat wil zeggen, niet interactie heeft met het toetsenbord/muis of werkzaamheden op een ander scherm uitvoert. De API maakt ook het vaststellen mogelijk of er een schermbeveiliging actief is. Informatie over inactiviteit wordt verstrekt door een melding te verzenden nadat een bepaalde inactiviteitsdrempel is bereikt, waarvan de minimale waarde is vastgesteld op 1 minuut.
Het is belangrijk op te merken dat het gebruik van de API Idle Detection expliciete toestemming van de gebruiker vereist; als een applicatie voor het eerst probeert de inactiviteit vast te stellen, wordt de gebruiker gevraagd om toestemming te geven of de actie te blokkeren. Om de API Idle Detection volledig uit te schakelen, is er een speciale optie beschikbaar in het instellingenmenu ‘Privacy en beveiliging’ (‘chrome://settings/content/idleDetection’).
Toepassingen zoals chat-, sociale media- en communicatie-apps worden genoemd als mogelijke gebruiksgebieden, die de status van de gebruiker kunnen veranderen op basis van zijn aanwezigheid achter de computer of het uitstellen van meldingen voor nieuwe berichten totdat de gebruiker terugkeert. De API kan ook worden gebruikt in kiosk-apps om terug te keren naar het startscherm na een bepaalde inactiviteitsperiode of om middelenintensieve interactieve handelingen, zoals het hertekenen van complexe, continu bijgewerkte diagrammen, uit te schakelen wanneer de gebruiker niet achter de computer zit.
De positie van tegenstanders van het inschakelen van de API Idle Detection is dat informatie over de vraag of een gebruiker achter de computer zit of niet, als vertrouwelijk kan worden beschouwd. Naast nuttige toepassingen kan deze API ook voor minder nobele doeleinden worden gebruikt, bijvoorbeeld om kwetsbaarheden te exploiteren terwijl de gebruiker afwezig is of om opzichtige kwaadaardige activiteiten, zoals cryptomining, te verbergen. Met behulp van de besproken API kunnen ook gegevens over gebruikersgedrag en het dagritme van hun werk worden verzameld. Zo kan bijvoorbeeld worden achterhaald wanneer een gebruiker meestal pauze neemt of zijn werkplek verlaat. In de context van een verplichte bevestiging van bevoegdheden worden deze zorgen door Google als onbelangrijk beschouwd.
Daarnaast kan worden opgemerkt dat de ontwikkelaars van Chrome nieuwe technieken voor veilige geheugenbeheer bevorderen. Volgens Google wordt 70% van de beveiligingsproblemen in Chrome veroorzaakt door fouten in het geheugenbeheer, zoals het aanroepen van een buffer na vrijgave van de bijbehorende geheugenruimte (use-after-free). Er worden drie belangrijke strategieën gedefinieerd om dergelijke fouten te bestrijden: versterking van de controles tijdens de compilatie, blokkering van fouten tijdens de uitvoering en het gebruik van een taal die veilig geheugenbeheer garandeert.
Er zijn berichten over het begin van experimenten om de mogelijkheid toe te voegen aan de codebase van Chromium om componenten in de programmeertaal Rust te ontwikkelen. Rust-code is momenteel niet opgenomen in de versies die aan gebruikers worden geleverd en is voornamelijk gericht op het testen van de mogelijkheid om afzonderlijke delen van de browser in Rust te ontwikkelen en deze te integreren met andere delen die in C++ zijn geschreven. Tegelijkertijd wordt het project voor C++-code voortgezet om het type MiraclePtr te gebruiken in plaats van raw pointers om de exploitatie van kwetsbaarheden, veroorzaakt door toegang tot al vrijgegeven geheugenblokken, te blokkeren, en er worden nieuwe methoden voorgesteld voor het opsporen van fouten tijdens de compilatie.
Bovendien begint Google een experiment om te testen of websites problemen ondervinden wanneer de browser een versie met drie cijfers in plaats van twee bereikt. In het bijzonder bevat de testversie van Chrome 96 de instelling "chrome://flags#force-major-version-to-100", waarmee in de User-Agent-header versie 100 (Chrome/100.0.4650.4) wordt weergegeven. In augustus werd een soortgelijke experiment uitgevoerd in Firefox, dat problemen ontdekte bij de verwerking van driedigitale versies op sommige websites.
Bron: opennet.ru
