Lançamento do navegador web Chrome 135

A empresa Google lançou a versão 135 do navegador web Chrome. Ao mesmo tempo, está disponível a versão estável do projeto de código livre Chromium, que serve de base para o Chrome. O navegador Chrome se diferencia do Chromium pelo uso dos logotipos do Google, um sistema de envio de notificações em caso de falha, módulos para reprodução de conteúdo de vídeo protegido contra cópia (DRM), um sistema de instalação automática de atualizações, sempre incluindo a proteção de isolamento Sandbox, fornecendo chaves para a API do Google e transmitindo parâmetros RLZ durante as buscas. Para aqueles que precisam de mais tempo para a atualização, há uma ramificação Extended Stable, que é mantida por 8 semanas. O próximo lançamento do Chrome 136 está agendado para 29 de abril.

Principais mudanças no Chrome 135:

• Foi adicionada proteção contra a identificação ocultada de usuários por meio do cache HSTS (HTTP Strict Transport Security). O HSTS permite que sites redirecionem o usuário de HTTP para HTTPS ao acessar. Durante o funcionamento, o nome do host definido por meio do HSTS é armazenado no cache interno, o que permite usar a presença ou ausência do host no cache para armazenar um bit de informação.

  Para ocultar um identificador de usuário de 32 bits, pode-se usar uma matriz de 32 imagens, servidas de diferentes hosts via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg, etc.). A identificação do identificador é feita verificando de quais hosts as imagens foram carregadas via HTTPS e de quais via HTTP (se as imagens foram inicialmente servidas por HTTP e redirecionadas para HTTPS via HSTS, elas serão carregadas diretamente via HTTPS em solicitações subsequentes, evitando a solicitação por HTTP). A proteção agora é limitada a permitir a atualização do HSTS apenas para recursos de nível superior, bloqueando a atualização do HSTS em solicitações de sub-recursos.
• Foi adicionada uma modelo de aprendizado de máquina executado localmente para melhorar a detecção da presença de campos de entrada de senha nas páginas e a mudança automática de senha. Se a senha for considerada comprometida, ao tentar fazer login com essa senha, o Chrome exibirá um aviso sugerindo a mudança da senha. Com a concordância, o navegador gerará uma senha resistente a ataques de força bruta, mudará a senha no site e salvará a nova senha no gerenciador de senhas — a IA irá preencher e enviar automaticamente os formulários web necessários no site e atualizará a senha salva.
• No modo de proteção avançada do navegador (Safe Browsing > Proteção avançada), foi adicionada a possibilidade de usar um grande modelo de linguagem para identificar páginas fraudulentas pelo seu conteúdo. O modelo de IA é executado do lado do cliente, mas, em caso de suspeita de conteúdo duvidoso, é realizada uma verificação adicional em servidores Google. Se a verificação adicional for confirmada, o usuário receberá um aviso. Por enquanto, a verificação é realizada apenas para páginas que utilizam a API Keyboard Lock.
• Para os usuários que conectaram o Chrome à sua conta do Google, agora é possível salvar as extensões instaladas em sua Conta do Google para uso automático posterior dessas extensões em todos os computadores que o usuário utiliza.
• Os usuários que se conectaram recentemente à conta do Google ou que utilizam o Chrome Sync agora têm suas configurações sincronizadas, atalhos de sites e temas armazenados separadamente das configurações locais. Assim, após desativar o Chrome Sync em um dispositivo, as configurações originais permanecerão, e ao conectar-se ao Google, as configurações locais não serão carregadas.
• Na versão para Android, o suporte ao gerenciador de senhas embutido foi encerrado, sendo substituído pelo Google Password Manager unificado, disponível através do Google Play. Os usuários podem salvar o conteúdo do antigo gerenciador de senhas em formato CSV para transferi-lo para outros gerenciadores de senhas.
• No modo incógnito, foi implementado um bloqueio de Cookies de terceiros que não pode ser desativado do lado do navegador, estabelecido ao acessar sites diferentes da de domínio página atual (esses Cookies são usados para rastrear os movimentos do usuário entre sites no código de redes publicitárias, widgets de redes sociais e sistemas de web analytics). A possibilidade de gerenciar o bloqueio de Cookies de terceiros do lado dos sites permanece inalterada, mas no navegador a configuração BlockThirdPartyCookies no modo incógnito agora não pode ser definida como falsa.
• No CSS, foram adicionados os pseudo-elementos "::column", "::scroll-button", "::scroll-marker" e "::scroll-marker-group", que permitem implementar a rolagem em forma de carrossel.
• Foram implementados os atributos HTML "command" e "commandfor", que podem ser usados em botões em vez dos atributos "popovertargetaction" e "popovertarget" para configuração declarativa da interação com o menu que é ativado ao clicar no botão. Ao usar os novos atributos, toda a lógica de interação com o menu é gerenciada pelo navegador, sem a necessidade de conectar manipuladores próprios em JavaScript. Por exemplo, para criar um menu suspenso, basta indicar: <button commandfor="»my-menu»" command="»show-popover»">Abrir Menu</button> <div popover id="»my-menu»"> … </div>
• No CSS, foi adicionada a função shape(), que permite a formação de figuras usando as propriedades CSS clip-path e offset-path. A função shape() suporta comandos de formação de figuras equivalentes à função path(), mas permite o uso de uma sintaxe CSS padrão.
• Na API Web Speech, que fornece funcionalidades para síntese e reconhecimento de fala, foi adicionado suporte à interface MediaStreamTrack para processar áudio vindo de várias fontes, incluindo trilhas de áudio externas. Anteriormente, o API Web Speech só podia processar áudio proveniente do microfone padrão selecionado.
• Em JavaScript, foi adicionado suporte para arrays tipados Float16Array, que são destinados ao armazenamento de valores do tipo Float16.
• Foi adicionado o API Observable para o processamento de fluxos de eventos de forma assíncrona. O API permite que você se inscreva em um objeto para receber eventos à medida que eles chegam e descreva de forma declarativa o fluxo de transformações que serão aplicadas aos eventos recebidos.
• O método navigator.xr.supportsSession, que havia sido declarado obsoleto, foi removido. Em vez dele, deve-se usar o método navigator.xr.isSessionSupported, que está declarado na especificação WebXR.
• As configurações InsecurePrivateNetworkRequestsAllowedForUrls e InsecurePrivateNetworkRequestsAllowed foram removidas, que eram usadas para ativar o mecanismo PNA 1.0 (Private Network Access), limitando o carregamento de recursos de sites publicamente acessíveis que se referem a hosts na rede interna (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8, etc.). Essa atividade é usada por atacantes para realizar ataques CSRF em roteadores, pontos de acesso, impressoras, interfaces web corporativas e outros dispositivos e serviços que aceitam solicitações apenas da rede local.

  Devido à incompatibilidade com alguns dispositivos, o PNA 1.0 poderia ser ativado apenas por desejo. Em substituição ao PNA 1.0, foi desenvolvida a especificação PNA 2.0, que não requer modificações do lado dos dispositivos e apenas mudanças do lado dos sites que necessitam acessar recursos intranet. O PNA 1.0 e o PNA 2.0 não são compatíveis entre si, portanto, antes da implementação do PNA 2.0, o Google planeja remover primeiro o suporte ao PNA 1.0.

• A opção para reativar o suporte à interface de programação de aplicativos (API) obsoleta MutationEvent e eventos processados de forma síncrona DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument e DOMCharacterDataModified foi removida. Essa interface era usada para monitorar mudanças na árvore DOM, mas afetava negativamente o desempenho das páginas e dificultava a implementação de novas funcionalidades. Esta API foi desativada por padrão no verão do ano passado, mas no Chrome a opção MutationEventsEnabled para reativar o suporte ainda estava disponível. Recomenda-se o uso da API Mutation Observer como alternativa.
• As ferramentas para desenvolvedores web agora têm recursos expandidos para análise de desempenho.

Além das novidades e da correção de bugs, a nova versão eliminou 14 vulnerabilidades. Muitas dessas vulnerabilidades foram identificadas por meio de testes automatizados utilizando as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Não foram encontradas questões críticas que permitissem contornar todos os níveis de proteção do navegador e executar código na máquina fora do ambiente sandbox. No âmbito do programa de recompensas por vulnerabilidades, a empresa Google pagou 8 prêmios totalizando 17 mil dólares, incluindo um prêmio de $10.000 e dois prêmios de $2.000, $1.000 e $500 cada.

Fonte: opennet.ru