Utgivelsen av nettleseren Chrome 137

Google har publisert utgaven av nettleseren Chrome 137. Samtidig er den stabile versjonen av det frie prosjektet Chromium tilgjengelig, som danner grunnlaget for Chrome. Chrome-nettleseren skiller seg fra Chromium ved å bruke Googles logoer, inneha et system for å sende varsler ved krasj, moduler for å spille av kopibeskyttet videoinnhold (DRM), et system for automatisk oppdatering, konstant aktivering av Sandbox-isolasjon, levering av nøkler til Google API og overføring av RLZ-parametere ved søk. For de som trenger mer tid til oppdatering, støttes en egen Extended Stable-gren i 8 uker. Den neste utgaven av Chrome 138 er planlagt til 24. juni.

Hovedendringer i Chrome 137:

• I versjonene for Windows og macOS er chatbotten Gemini integrert, som kan forklare innholdet på den viste siden og svare på relaterte spørsmål uten å bytte fra den nåværende fanen. Tekst- og stemmeinteraksjon med Gemini støttes. Bruken av chatbotten er foreløpig kun tilgjengelig for en del av brukerne i USA som har abonnement på Google AI Pro og Ultra.
• I likhet med det tidligere implementerte segmenteringslagret er det sikret isolasjon av behandlingen av URL-skjemaet «blob:», beregnet på tilgang til lokalt genererte data via Blob- eller Fil-API. Ved segmentering er det festet et eget kjennetegn til nøkkelen som brukes for å hente objekter, som definerer tilknytningen til den primære the domain, som åpnet hovedsiden, noe som gjør det mulig å blokkere sporingsmetoder for brukerbevegelser mellom nettsteder ved å manipulere URL-en «blob:».
• I den utvidede beskyttelsesmodusen for nettleseren (Safe Browsing > Enhanced protection) er muligheten for å bruke en stor språkmodell aktivert for å identifisere svindelsider basert på innholdet. AI-modellen kjøres på klientsiden, men ved mistanke om mistenkelig innhold utføres en tilleggsinspeksjon på servere Google. I den nåværende versjonen samles det bare inn informasjon om problematiske sider. Det planlegges å begynne å vise advarsler til brukeren i den neste utgaven.
• Beskyttelsen mot skjult identifikasjon av brukere er aktivert ved hjelp av HSTS-caching (HTTP Strict Transport Security). HSTS gjør det mulig for nettsteder å omdirigere brukeren til HTTPS ved inngang via HTTP. Under drift lagres vertsnavnet som stilles inn via HSTS i den interne cachen, noe som gjør det mulig å bruke tilstedeværelsen eller fraværet av verten i cachen til å lagre ett bit med informasjon. For skjult lagring av en 32-bits brukeridentifikator kan man bruke et array av 32 bilder, som leveres fra forskjellige verter via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg osv.). Identifikasjonen utføres ved å sjekke fra hvilke verter bildene ble lastet ned via HTTPS, og fra hvilke via HTTP (hvis bildene tidligere ble levert via HTTP og omdirigert til HTTPS via HSTS, vil de ved påfølgende forespørsel umiddelbart bli lastet ned med HTTPS, og omgå HTTP-forespørselen). Beskyttelsen går ut på å tillate oppdatering av HSTS kun for øverste nivå ressurser, og blokkere oppdatering av HSTS i forespørslene til underressurser.
• For WebRTC-tilkoblinger er det implementert støtte for protokollen DTLS 1.3 (Datagram Transport Layer Security, tilsvarende TLS for UDP). Støtte for DTLS 1.3 er nødvendig for å bruke post-kvantum krypteringsalgoritmer i WebRTC.
• Alternativet for kommandolinjen «—load-extension», som lot brukere laste inn tillegg, er fjernet. Alternativet er fjernet for å redusere risikoen for at det brukes til å sette inn ondsinnede tillegg. For å tvinge innlasting av udpakkede tillegg, anbefales det å bruke knappen Load Unpacked på siden for administrasjon av tillegg (chrome://extensions/) etter å ha aktivert utviklermodus. I Chromium og testbygg av Chrome For Testing er støtten for alternativet «—load-extension» bevart.
• Det er besluttet å ikke tilbakeføre bruken av SwiftShader, et programvarebasert rendereringssystem som implementerer Vulkan API, automatisk for WebGL. I fravær av en ordentlig GPU-basert backend vil oppretting av WebGL-kontekster nå returnere en feil i stedet for å bytte til SwiftShader. Opphør av bruken av SwiftShader vil øke sikkerheten ved å eliminere utførelse av kode generert av JIT-kompilatoren i prosessen som håndterer interaksjon med GPU. For å gjenvinne bruken av SwiftShader er det en egen kommandolinjealternativ «—enable-unsafe-swiftshader». I Chrome versjon 137 for brukere av Linux- og macOS-plattformer vil web-konsollen gi en advarsel ved bruk av SwiftShader, mens i Chrome versjon 138 vil tilbakeføringen til SwiftShader bli deaktivert. For Windows-brukere er SwiftShader-systemet erstattet med WARP (Windows Advanced Rasterization Platform), som er den innebygde programvaren for rendereringssystemet i Windows.
• Innstillingene har fått mulighet til å aktivere funksjonen «Autofill with AI», som forenkler utfylling av web-skjemaer. Når aktivert, bruker nettleseren AI-modellen for å forstå web-skjemaet og automatisk fylle ut feltene, med grunnlag i hvordan brukeren tidligere har fylt ut lignende skjemaer.
• API-en for Web Cryptography har fått støtte for kryptografiske algoritmer basert på elliptiske kurver, slik som algoritmen for generering av digitale signaturer Ed25519.
• CSS-egenskapen «reading-flow» er implementert for å styre rekkefølgen på elementer i flex, grid og blokkcontainere når skjermlesere brukes og ved sekvensiell navigering. Det er også lagt til en egenskap «reading-order» som gir muligheten til å manuelt overstyre rekkefølgen på elementene.
• En funksjon «if()» er foreslått i CSS, som er ment for å velge verdier avhengig av resultatet av betingede uttrykk. Argumentet er en semikolonseparert liste av par «betingelse:verdi». Funksjonen går gjennom disse parene og stopper ved den første aktive betingelsen. For eksempel: «background-color: if(style(—color: white): black; else: white);».
• I CSS-egenskapen offset-path er funksjonen shape() implementert for å danne former ved hjelp av kommandoer som tilsvarer path()-funksjonen, men som gjør det mulig å bruke standard CSS-syntaks.
• API JSPI (JavaScript Promise Integration) er blitt lagt til, som muliggjør integrering av WebAssembly-applikasjoner med JavaScript Promise-objektet og lar WebAssembly-programmer fungere som en Promise-generator og samhandle med API-er basert på Promise.
• CanvasRenderingContext2D-, OffscreenCanvasRenderingContext2D- og ImageData-APIene har fått støtte for pikselformater som bruker flyttallsverdier for å representere fargekomponentene.
• I Origin trials-modusen har eksperimentelle API-er som Rewriter og Writer blitt foreslått, som lar tekst omformuleres (for eksempel mer kortfattet oppsummere eller endre fortellerstil) eller genereres ved hjelp av store språkmodeller.
• Verktøyene for webutviklere har fått muligheten til å koble til arbeidsområder, noe som gjør det mulig å lagre endringer gjort i JavaScript, HTML og CSS i lokale filer mens man jobber med de innebygde verktøyene i nettleseren. Muligheten til AI-assistenten har blitt utvidet, slik at den kan endre CSS og analysere ytelse.

I tillegg til nyheter og feilrettinger er det i den nye versjonen fjernet 1 sårbarhet. Mange av sårbarhetene ble avdekket gjennom automatisert testing med verktøy som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Ingen kritiske problemer som lar en omgå alle beskyttelseslag i nettleseren og kjøre kode i systemet utenfor sandbox-miljøet har blitt identifisert. Som en del av belønningsprogrammet for oppdagelse av sårbarheter har Google utbetalt 8 premier på til sammen 7500 USD (én premie på $4000, $2000, $1000 og $500). Størrelsen på de fire belønningene er foreløpig ikke fastsatt.

Kilde: opennet.ru