Lansarea browser-ului web Chrome 137

Compania Google a publicat versiunea browserului web Chrome 137. De asemenea, este disponibilă o versiune stabilă a proiectului open-source Chromium, care stă la baza Chrome. Browserul Chrome se deosebește de Chromium prin utilizarea logo-urilor Google, existând un sistem de notificări în caz de blocare, module pentru redarea conținutului video protejat de copyright (DRM), un sistem automat de instalare a actualizărilor, activarea constantă a izolației Sandbox, furnizarea de chei pentru Google API și transmiterea parametrilor RLZ în timpul căutării. Pentru cei care au nevoie de mai mult timp pentru actualizare, există o ramură separată numită Extended Stable, care este susținută timp de 8 săptămâni. Următoarea versiune Chrome 138 este programată pentru 24 iunie.

Principalele modificări în Chrome 137:

• În versiunile pentru Windows și macOS a fost integrat chatbotul Gemini, care poate explica conținutul paginii vizionate și răspunde la întrebări legate de pagina respectivă fără a face comutare de pe tab-ul curent. Este suportat interacțiunea textuală și vocală cu Gemini. Lucrul cu chatbotul este disponibil momentan doar unui grup restrâns de utilizatori din SUA, care au abonamente Google AI Pro și Ultra.
• În conformitate cu segmentarea stocării implementată anterior, a fost asigurată izolarea procesării schemelor URL „blob:”, destinate accesului la datele generate local prin API Blob sau File. La segmentare, o caracteristică separată este atașată cheii utilizate pentru extragerea obiectelor, determinând legătura cu sursa domeniu, de la care a fost deschisă pagina principală, ceea ce permite blocarea metodelor de urmărire a mișcărilor utilizatorului între site-uri prin manipularea URL-ului „blob:.”
• În modul de protecție avansată a browserului (Safe Browsing > Enhanced protection) a fost activată capacitatea de a utiliza un model lingvistic de amploare pentru a identifica paginile frauduloase pe baza conținutului lor. Modelul AI rulează pe partea clientului, dar în cazul în care sunt detectate suspiciuni de conținut problematic, se efectuează o verificare suplimentară pe servere Google. În versiunea actuală, se colectează doar informații despre paginile problematice. În următoarea versiune este planificat să se înceapă afișarea avertismentelor pentru utilizatori.
• A fost activată protecția împotriva identificării ascunse a utilizatorilor prin cache HSTS (HTTP Strict Transport Security). HSTS permite site-urilor, la accesarea prin HTTP, să redirecționeze utilizatorul către HTTPS. În timpul funcționării, numele gazdelor setate prin HSTS este păstrat în cache-ul intern, ceea ce permite utilizarea prezenței sau absenței gazdelor în cache pentru a stoca un singur bit de informație. Pentru stocarea ascunsă a unui identificator de utilizator pe 32 de biți, se poate utiliza un array de 32 de imagini, livrate de gazde diferite prin HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg etc.). Identificarea identificatorului se face prin verificarea de la ce gazde au fost încărcate imaginile prin HTTPS și de la ce gazde prin HTTP (dacă imaginile au fost livrate anterior prin HTTP și redirecționate prin HSTS către HTTPS, la cererile ulterioare, acestea vor fi încărcate direct de pe HTTPS, ocolind apelul prin HTTP). Protecția se rezumă la permiterea actualizării HSTS doar pentru resursele de nivel superior și blocarea actualizării HSTS în cererile subresurselor.
• Pentru conexiunile WebRTC a fost implementat suportul pentru protocolul DTLS 1.3 (Datagram Transport Layer Security, echivalentul TLS pentru UDP). Suportul DTLS 1.3 este necesar pentru utilizarea algoritmilor de criptare post-quantum în WebRTC.
• A fost eliminată opțiunea din linia de comandă „—load-extension”, care permitea încărcarea extensiilor. Opțiunea a fost eliminată pentru a reduce riscul utilizării acesteia pentru a insera extensii malware. Pentru a forța încărcarea extensiilor desfăcute, se recomandă utilizarea butonului Load Unpacked de pe pagina de gestionare a extensiilor (chrome://extensions/) după activarea modului pentru dezvoltatori. În Chromium și în versiunile de test ale Chrome For Testing, suportul pentru opțiunea „—load-extension” a fost păstrat.
• S-a decis renunțarea la revenirea automată la utilizarea pentru WebGL a sistemului de redare software SwiftShader, care implementează API Vulkan. În cazul absenței unui backend adecvat bazat pe GPU, crearea contextului WebGL va returna acum o eroare, în loc să comute pe SwiftShader. Renunțarea la utilizarea SwiftShader va îmbunătăți securitatea, excluzând executarea codului generat de compilatorul JIT în procesul responsabil pentru interacțiunea cu GPU. Pentru a permite revenirea la utilizarea SwiftShader, este disponibilă o opțiune separată în linia de comandă „—enable-unsafe-swiftshader”. În versiunea Chrome 137 pentru utilizatorii platformelor Linux și macOS, atunci când se folosește SwiftShader, o avertizare va fi afișată în consola web, iar în Chrome 138 revenirea la SwiftShader va fi dezactivată. Pentru utilizatorii Windows, sistemul SwiftShader este înlocuit cu un sistem de redare software integrat în Windows, WARP (Windows Advanced Rasterization Platform).
• În setări a fost adăugată posibilitatea de a activa funcția „Autofill with AI”, care simplifică completarea formularelor web. Când este activată, browserul utilizează un model AI pentru a înțelege formularul web și pentru a completa automat câmpurile, bazându-se pe modul în care utilizatorul a completat anterior formulare similare.
• În API-ul Web Cryptography a fost adăugată suport pentru algoritmii criptografici pe baza curbelor eliptice Curve25519, cum ar fi algoritmul de generare a semnăturilor digitale Ed25519.
• S-a implementat proprietatea CSS „reading-flow”, care permite gestionarea ordinii de procesare a elementelor în containere flex, grid și bloc atunci când se utilizează cititoare de ecran și în navigarea secvențială. De asemenea, a fost adăugată proprietatea „reading-order”, care oferă posibilitatea de a redefini manual ordinea elementelor.
• În CSS a fost propusă funcția „if()”, destinată selectării valorilor în funcție de rezultatul evaluării expresiilor condiționale. Ca argument, se transmite o listă separată prin punct și virgulă de perechi „condiție:valoare”. Funcția parcurge aceste perechi și se oprește la prima condiție îndeplinită. De exemplu: „background-color: if(style(—color: white): black; else: white);”.
• În proprietatea CSS offset-path a fost implementată funcția shape() pentru a crea forme prin comenzi echivalente funcției path(), dar care permit utilizarea sintaxei standard CSS.
• A fost adăugat API-ul JSPI (JavaScript Promise Integration), care asigură integrarea aplicațiilor WebAssembly cu obiectul Promise din JavaScript și permite programelor WebAssembly să acționeze ca generator de Promise și să interacționeze cu API-urile bazate pe Promise.
• În API-ul CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D și ImageData a fost adăugată suport pentru formatele de pixeli, care utilizează valori cu virgulă mobilă pentru a reprezenta componentele culorii.
• În modul Origin trials au fost propuse API-urile experimentale Rewriter și Writer, care permit reformularea (de exemplu, prezentarea mai concisă a esenței sau schimbarea stilului de narațiune) sau generarea de text prin intermediul unor modele de limbaj mari.
• În instrumentele pentru dezvoltarea web a fost adăugat suportul pentru legarea la spațiile de lucru, care permite salvarea modificărilor aduse fișierelor locale JavaScript, HTML și CSS în timpul utilizării instrumentelor încorporate în browser. Capacitățile asistentului AI au fost extinse, acesta putând modifica CSS și analiza performanța.

Pe lângă noutăți și remedieri de erori, noua versiune a eliminat 1 vulnerabilitate. Multe dintre vulnerabilitățile descoperite au fost identificate cu ajutorul testării automatizate prin instrumente precum AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer și AFL. Nu au fost identificate probleme critice care să permită ocolirea tuturor nivelurilor de protecție ale browserului și rularea codului în sistem dincolo de mediul sandbox. În cadrul programului de recompensă pentru descoperirea vulnerabilităților, compania Google a oferit 8 recompense în valoare totală de 7500 de dolari (una în valoare de $4000, două de $2000 și una de $500). Valoarea a patru recompense nu a fost încă stabilită.

Sursa: opennet.ro