Google over versterking in Chrome modus , die zorgt voor de verwerking van pagina's van verschillende websites in aparte, geïsoleerde processen. De isolatieniveau op websites beschermt gebruikers tegen aanvallen die kunnen plaatsvinden via externe elementen die op de site worden gebruikt, zoals iframe-invoegen, of om datalekken te blokkeren via het omvatten van legitieme elementen (bijvoorbeeld met verzoeken aan bankdiensten waarbij de gebruiker mogelijk is geverifieerd) op kwaadaardige websites.
Bij het scheiden van de handlers gekoppeld aan een domein, bevinden de gegevens in elk proces zich alleen van één website, wat het moeilijk maakt om aanvallen uit te voeren gericht op cross-site gegevensovername. In desktop versies van Chrome handlers gekoppeld aan een domein, in plaats van een tabblad, is geïmplementeerd sinds . In deze modus werd ook geactiveerd voor het Android-platform.
Om de overhead te verminderen, wordt de modus van site-isolatie in Android alleen geactiveerd als er een wachtwoord in de pagina is geregistreerd. Chrome onthoudt het gebruik van het wachtwoord en activeert de bescherming voor alle toekomstige bezoeken aan de site. Bescherming wordt ook onmiddellijk toegepast voor een gedefinieerde lijst van populaire sites onder mobiele gebruikers. De selectieve activering en de toegevoegde optimalisaties hebben ervoor gezorgd dat de toename van het geheugengebruik door het toegenomen aantal actieve processen gemiddeld op 3-5% bleef, in plaats van de 10-13% die werd waargenomen bij activatie van isolatie voor alle sites.
De nieuwe isolatiemodus is geactiveerd voor 99% van de Chrome 77 gebruikers op Android-apparaten, uitgerust met minimaal 2 GB RAM (voor 1% van de gebruikers bleef de modus uitgeschakeld ter monitoring van de prestaties). De modus van site-isolatie kan handmatig in- of uitgeschakeld worden via de instelling 'chrome://flags/#enable-site-per-process'.
In de desktopversie van Chrome is de hierboven genoemde site-isolatiemodus nu versterkt om aanvallen tegen te gaan die gericht zijn op volledige compromittering van het proces met de contenthandler. De verbeterde isolatiemodus zal de gegevens van websites beschermen tegen twee extra soorten bedreigingen: gegevenslekken als gevolg van aanvallen via externe kanalen, zoals Spectre, en lekken na volledige compromittering van het handlerproces bij succesvolle exploitatie van kwetsbaarheden die controle over het proces kunnen verkrijgen, maar niet voldoende zijn om de sandbox-isolatie te omzeilen. In Chrome voor Android wordt een dergelijke bescherming later toegevoegd.
Het principe van de methode is dat het beheersproces zich herinnert naar welke website de werkprocessen toegang hebben, en verbiedt toegang tot andere websites, zelfs als een aanvaller controle over het proces krijgt en probeert toegang te krijgen tot de middelen van een andere website. De beperkingen omvatten bronnen die verband houden met authenticatie (opgeslagen wachtwoorden en cookies), gegevens die rechtstreeks via het netwerk worden geladen (worden gefilterd en aan de huidige website gebonden, zoals HTML, XML, JSON, PDF en andere bestandstypen), gegevens in interne opslag (localStorage), bevoegdheden (toestemmingen die aan de website zijn verleend om toegang tot de microfoon, enz. te krijgen) en berichten die via de API postMessage en BroadcastChannel worden verzonden. Al deze bronnen worden met een label aan de oorspronkelijke website gekoppeld en gecontroleerd aan de kant van het beheersproces voor de mogelijkheid van overdracht op verzoek vanuit het werkproces.
Van de aan Chrome gerelateerde gebeurtenissen kan ook worden opgemerkt de goedkeuring van de ondersteuning voor de functie in Chrome , die de mogelijkheid biedt om links naar specifieke woorden of zinnen te vormen, zonder expliciete vermelding van labels in het document via de tag 'a name' of het 'id' attribuut. De syntaxis van dergelijke links wordt gepland als webstandaard, die momenteel nog in behandeling is . De maskering voor de toegang (in wezen een scrollzoekopdracht) wordt gescheiden van de gewone anker met het teken ':~:'. Bijvoorbeeld, wanneer de link 'https://opennet.ru/51702/#:~:text=Chromе' wordt geopend, verschuift de pagina naar de positie van de eerste vermelding van het woord 'Chromе' en zal dit woord gemarkeerd worden. Deze mogelijkheid is toegevoegd in de tak , maar vereist activatie met de vlag '--enable-blink-features=TextFragmentIdentifiers'.
Een andere interessante wijziging die binnenkort in Chrome komt de mogelijkheid om inactieve tabs te bevriezen, waardoor automatisch tabs uit het geheugen worden verwijderd die meer dan 5 minuten op de achtergrond staan en geen significante acties uitvoeren. De beslissing over de geschiktheid van een bepaalde tab voor bevriezing wordt genomen op basis van heuristiek. De wijziging is toegevoegd aan de Canary-tak, waarop versie 79 van Chrome zal worden gebouwd, en kan worden ingeschakeld via de vlag 'chrome://flags/#proactive-tab-freeze'.
Bron: opennet.ru
