Utgivelsen av webnettleseren Chrome 135

Google har publisert versjonen av nettleseren Chrome 135. Samtidig er den stabile utgaven av det frie prosjektet Chromium tilgjengelig, som er grunnlaget for Chrome. Chrome-nettleseren skiller seg fra Chromium ved å bruke Googles logoer, ha et varslingssystem for krasj, moduler for avspilling av kopibeskyttet videoinnhold (DRM), automatisk oppdatering, alltid aktivert Sandbox-isolering, levering av nøkler til Google API og overføring av RLZ-parametere ved søk. For de som trenger mer tid til oppdateringer, er det en egen støtte for Extended Stable-grenen, som varer i 8 uker. Neste utgave av Chrome 136 er planlagt til 29. april.

Hovedendringer i Chrome 135:

• Beskyttelse mot skjult identifikasjon av brukere er lagt til med HSTS-caching (HTTP Strict Transport Security). HSTS lar nettsteder omdirigere brukeren fra HTTP til HTTPS ved innlogging. I løpet av prosessen forblir vertsnavnet, oppgitt gjennom HSTS, lagret i den interne cachen, noe som gjør det mulig å bruke tilstedeværelsen eller fraværet av verten i cachen for å lagre ett bit informasjon.

  For å skjule en 32-bits brukeridentifikator kan man bruke en matrise av 32 bilder som leveres fra forskjellige verter via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg osv.). Identifikatoren bestemmes ved å sjekke fra hvilke verter bildene ble lastet ned over HTTPS, og fra hvilke som ble lastet ned over HTTP (hvis bildene tidligere ble levert over HTTP og omdirigert til HTTPS via HSTS, så vil de ved påfølgende forespørsel bli lastet ned direkte fra HTTPS, uten å måtte gå via HTTP). Beskyttelsen har blitt redusert til å tillate HSTS-oppdateringer kun for toppnivåressurser og blokkere HSTS-oppdateringer i forespørselen om subressurser.
• En lokalt utførende maskinlæringsmodell er lagt til for å forbedre gjenkjennelsen av tilstedeværelsen av innloggingsskjemaer og automatisk passordbytte på sidene. Hvis et passord anses som kompromittert, vil Chrome vise en advarsel med forslag om å endre passordet ved innlogging med dette passordet. Ved samtykke vil nettleseren generere et motstandsdyktig passord, endre passordet på nettstedet og lagre det nye passordet i passordhåndtereren - AI vil selv fylle ut og sende de nødvendige webskjemaene på det aktuelle nettstedet og oppdatere det lagrede passordet.
• I den utvidede nettleserbeskyttelsesmodusen (Safe Browsing > Utvidet beskyttelse) er det lagt til mulighet for å bruke store språkmodeller for å identifisere svindelsider basert på innholdet deres. AI-modellen kjører på klientsiden, men i tilfelle mistanke om tvilsomt innhold, foretas det en ekstra sjekk på servere Google. Hvis den ekstra sjekken bekreftes, får brukeren et varsel. Sjekken utføres foreløpig kun for sider som bruker API Keyboard Lock.
• For brukere som har koblet Chrome til Google-kontoen sin, er det nå mulig å lagre installerte utvidelser i Google-kontoen for senere automatisk bruk av disse utvidelsene på alle datamaskiner som brukeren benytter.
• Brukere som nylig har koblet til Google-kontoen sin eller bruker Chrome Sync, får lagring av synkroniserte innstillinger, nettadressebokmerker og temaer separat fra lokale innstillinger. Dermed vil de opprinnelige innstillingene forbli i bruk, selv etter at Chrome Sync er slått av på enheten, og ved tilkobling til Google vil ikke lokale innstillinger bli lastet opp.
• I Android-versjonen er støtten for den innebygde passordbehandlingstjenesten fjernet, og den er erstattet med den enhetlige Google Password Manager, tilgjengelig gjennom Google Play. Brukere kan lagre innholdet fra den gamle passordbehandleren i CSV-format for overføring til andre passordbehandlere.
• I inkognitomodus har det blitt implementert en uavhengig blokkeringsfunksjon for tredjeparts informasjonskapsler som ikke kan slås av i nettleseren, som settes når man besøker nettsteder som er forskjellige fra domenet den nåværende siden (slike informasjonskapsler brukes til å spore brukerens bevegelse mellom nettsteder av reklamenettverk, sosiale mediewidgets og webanalysesystemer). Muligheten for å kontrollere blokkeringen av tredjeparts informasjonskapsler på nettstedene forblir uendret, men i nettleseren kan ikke innstillingen BlockThirdPartyCookies i inkognitomodus lenger settes til false.
• Det er lagt til pseudoelementene «::column», «::scroll-button», «::scroll-marker» og «::scroll-marker-group» i CSS, som gjør det mulig å implementere rulling i form av en karusell.
• HTML-attributtene «command» og «commandfor» er implementert, og disse kan brukes i knapper i stedet for attributtene «popovertargetaction» og «popovertarget» for deklarativ oppsett av interaksjon med menyen som kalles frem når knappen trykkes. Ved å bruke de nye attributtene håndterer nettleseren all logikk for interaksjon med menyen, uten behov for å koble til egne JavaScript-behandlere. For eksempel, for å opprette en drop-down-meny er det nok å angi: <button commandfor="»my-menu»" command="»show-popover»">Åpne meny</button> <div popover id="»my-menu»"> … </div>
• I CSS er funksjonen shape() lagt til, som gjør det mulig å danne figurer ved hjelp av CSS-egenskapene clip-path og offset-path. Funksjonen shape() støtter formingskommandoer som er ekvivalente med funksjonen path(), men tillater bruk av standard CSS-syntaks.
• I API Web Speech, som tilbyr funksjoner for talegjenkjenning og taleproduksjon, er det nå lagt til støtte for grensesnittet MediaStreamTrack for behandling av lyd fra forskjellige kilder, inkludert eksterne lydspor. Tidligere kunne API Web Speech bare behandle lyd som kom fra den valgte standardmikrofonen.
• JavaScript har fått støtte for typed arrays Float16Array, som er ment for lagring av verdier med type Float16.
• API Observable er lagt til for å håndtere hendelsesstrømmer asynkront. API-et gir mulighet for å abonnere på objekter for å motta hendelser etter hvert som de kommer inn, og beskrive en deklarativ strøm av transformasjoner som skal brukes på de innkommende hendelsene.
• Metoden navigator.xr.supportsSession, som tidligere ble erklært utdatert, er fjernet. I stedet bør metoden navigator.xr.isSessionSupported, som er angitt i spesifikasjonen WebXR, brukes.
• Innstillingene InsecurePrivateNetworkRequestsAllowedForUrls og InsecurePrivateNetworkRequestsAllowed, som ble brukt for å aktivere mekanismen PNA 1.0 (Private Network Access), som begrenser innlasting av ressurser fra offentlig tilgjengelige nettsteder som refererer til verter i det interne nettet (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 osv.), er fjernet. Slike aktiviteter brukes av angripere til å gjennomføre CSRF-angrep på rutere, tilgangspunkter, skrivere, bedrifts web-grensesnitt og andre enheter og tjenester som bare aksepterer forespørsel fra lokalt nettverk.

  På grunn av inkompatibilitet med enkelte enheter kunne PNA 1.0 bare aktiveres etter ønske. Det er utviklet spesifikasjonen PNA 2.0 som erstatning for PNA 1.0, som ikke krever endringer på enhetssiden og bare krever endringer på nettstedene som trenger tilgang til intranettsressurser. PNA 1.0 og PNA 2.0 er ikke kompatible med hverandre, så før implementeringen av PNA 2.0 har Google til hensikt å først fjerne støtten for PNA 1.0.

• Støtte for det foreldede grensesnittet MutationEvent og tilknyttede synkrone DOM-hendelser, som DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument og DOMCharacterDataModified, er fjernet. Grensesnittet ble brukt til å overvåke endringer i DOM-treet, men påvirket sidens ytelse negativt og hindret implementeringen av noen nye funksjoner. Dette API-et ble deaktivert som standard sommeren i fjor, men i Chrome var det fortsatt en alternativ innstilling, MutationEventsEnabled, for å gjenopprette støtten. Som et alternativ anbefales det å bruke API-et Mutation Observer.
• I verktøyene for webutvikling er mulighetene for ytelsesanalyse utvidet.

I tillegg til nyvinningene og feilrettingene har den nye versjonen fjernet 14 sårbarheter. Mange av sårbarhetene ble identifisert ved hjelp av automatiserte testverktøy som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Det ble ikke avdekket kritiske problemer som kan omgå alle nivåer av nettleserens beskyttelse og kjøre kode på systemet utenfor sandkassemiljøet. I forbindelse med belønningsprogrammet for oppdagelse av sårbarheter har Google utbetalt 8 premier for denne utgivelsen, med en samlet sum på 17 000 amerikanske dollar: én premie på $10000 og to premier på henholdsvis $2000, $1000 og $500).

Kilde: opennet.ru