Spoločnosť Google vydala verziu webového prehliadača Chrome 135. Zároveň je dostupná stabilná verzia voľného projektu Chromium, ktorý je základom pre Chrome. Prehliadač Chrome sa od Chromium líši používaním logotypov Google, systémom na odosielanie upozornení v prípade pádu, modulmi na prehrávanie chráneného videonahrávkového obsahu (DRM), systémom automaticky inštalovaných aktualizácií, nepretržitým zapínaním izolácie Sandbox, dodávaním kľúčov k Google API a odovzdávaním parametrov RLZ pri vyhľadávaní. Pre tých, ktorí potrebujú viac času na aktualizáciu, je zvlášť podporovaná vetva Extended Stable, ktorá je sprevádzaná 8 týždňami. Ďalšie vydanie Chrome 136 je naplánované na 29. apríla.
Hlavné zmeny v Chrome 135:
- Pridaná ochrana pred skrytou identifikáciou používateľov pomocou HSTS cache (HTTP Strict Transport Security). HSTS umožňuje webovým stránkam, aby pri prístupe cez HTTP presmerovali používateľa na HTTPS. Počas prevádzky sa názov hostiteľa určený cez HSTS uchováva vo vnútornej cache, čo umožňuje využiť prítomnosť alebo neprítomnosť hostiteľa v cache na uloženie jedného bitu informácie.
Na skryté uchovávanie 32-bitového identifikátora používateľa je možné použiť pole 32 obrázkov, ktoré sú poskytované z rôznych hostiteľov cez HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg atď.). Určenie identifikátora sa vykonáva kontrolou, z ktorých hostiteľov sa obrázky načítali cez HTTPS, a z ktorých cez HTTP (ak boli obrázky predtým poskytnuté cez HTTP a cez HSTS presmerované na HTTPS, následné požiadavky sa okamžite načítajú z HTTPS, bez dotazovania na HTTP). Ochrana sa zredukovala na povolenie aktualizácie HSTS iba pre zdroje na najvyššej úrovni a blokovanie aktualizácie HSTS v požiadavkách subzdrojov.
- Pridaný lokálne vykonávaný model strojového učenia na zlepšenie rozpoznávania existencie na stránkach formulárov na zadávanie hesla a automatickej zmeny hesla. Ak je heslo považované za kompromitované, pri pokuse o prihlásenie s týmto heslom na web Chrome zobrazí varovanie s ponukou na zmenu hesla. Po súhlase prehliadač vygeneruje heslo odolné voči odhadu, zmení heslo na stránke a uloží nové heslo do správcu hesiel — AI samo vyplní a odošle potrebné webové formuláre na príslušnej stránke a aktualizuje uložené heslo.
- Do režimu rozšířené ochrany prohlížeče (Safe Browsing > Enhanced protection) byla přidána možnost využití velkého jazykového modelu pro identifikaci podvodných stránek podle jejich obsahu. AI model běží na straně klienta, ale pokud se objeví podezření na pochybný obsah, provádí se dodatečná kontrola na serveroch Google. Pokud dodatečná kontrola potvrzuje, uživateli se zobrazí varování. Kontrola se zatím provádí pouze pro stránky, které používají API Keyboard Lock.
- U uživatelů, kteří připojili Chrome k svému účtu Google, byla přidána možnost ukládat instalovaná rozšíření do svého Google účtu pro následné automatické použití těchto rozšíření na všech počítačích, které uživatel používá.
- U uživatelů, kteří se nedávno připojili k účtu Google nebo používají Chrome Sync, je zajištěno ukládání synchronizovaných nastavení, zástupců stránek a motivů odděleně od lokálních nastavení. Takže po vypnutí Chrome Sync budou na zařízení zůstávat původní nastavení a při připojení k Google nebudou načítána lokální nastavení.
- Ve verzi pro Android byla ukončena podpora vestavěného správce hesel, kterého nahradil jednotný Google Password Manager, dodávaný přes Google Play. Uživatelé mohou uložit obsah starého správce hesel ve formátu CSV pro přenos do jiných správců hesel.
- V režimu inkognito byla implementována neodpojitelná blokace třetích stran Cookie, které jsou vzneseny při návštěvě stránek odlišných od domény aktuální stránky (tyto Cookie se používají k sledování pohybu uživatele mezi stránkami v rámci reklamních sítí, widgetů sociálních sítí a systémů webové analytiky). Možnost spravovat blokaci třetích stran Cookie na straně stránek zůstává beze změny, ale v prohlížeči nastavení BlockThirdPartyCookies v režimu inkognito nyní nemůže být nastavena na hodnotu false.
- Do CSS byly přidány pseudo-elementy „::column“, „::scroll-button“, „::scroll-marker“ a „::scroll-marker-group“, pomocí kterých lze realizovat posouvání ve formě karuselu.
- Boli implementované HTML atribúty „command“ a „commandfor“, ktoré môžu byť použité v tlačidlách namiesto atribútov „popovertargetaction“ a „popovertarget“ na deklaratívne nastavenie interakcie s ponukou, vyvolanou po kliknutí na tlačidlo. Pri použití nových atribútov preberá celú logiku interakcie s ponukou prehliadač, bez potreby pripojenia vlastných spracovateľov v JavaScript. Napríklad, na vytvorenie rozbaľovacej ponuky stačí uviesť: <button commandfor="»my-menu»" command="»show-popover»">Otvorenie ponuky</button> <div popover id="»my-menu»"> … </div>
- Do CSS bola pridaná funkcia shape(), ktorá umožňuje formovať tvary pomocou CSS vlastností clip-path a offset-path. Funkcia shape() podporuje príkazy na formovanie tvarov, ekvivalentné funkcii path(), ale umožňuje používať pre ne štandardnú syntax CSS.
- V API Web Speech, ktoré poskytuje funkcie pre syntézu a rozpoznávanie reči, bola pridaná podpora rozhrania MediaStreamTrack na spracovanie zvuku pochádzajúceho z rôznych zdrojov, vrátane externých zvukových stôp. Predtým API Web Speech mohlo spracovávať len zvuk prichádzajúci cez vybraný predvolený mikrofón.
- Do JavaScript bola pridaná podpora typizovaných polí Float16Array, určených na uchovávanie hodnôt s typom Float16.
- Bol pridaný API Observable na spracovanie prúdov udalostí asynchrónne. API umožňuje prihlásiť sa na objekt na prijímanie udalostí, ako prichádzajú, a deklaratívne opísať prúd transformácií, ktoré sa budú aplikovať na prichádzajúce udalosti.
- Bol odstránený metóda navigator.xr.supportsSession, predtým vyhlásená za zastaranú. Namiesto nej by sa mal používať metóda navigator.xr.isSessionSupported, uvedená v špecifikácii WebXR.
- Boli odstránené nastavenia InsecurePrivateNetworkRequestsAllowedForUrls a InsecurePrivateNetworkRequestsAllowed, ktoré sa používali na aktiváciu mechanizmu PNA 1.0 (Private Network Access), obmedzujúceho načítanie zdrojov z verejne prístupnej stránky, ktoré sa odkazujú na hostiteľov v vnútornej sieti (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 a pod.). Takáto aktivita sa využíva zločincami na vykonávanie CSRF útokov na smerovače, prístupové body, tlačiarne, firemné webové rozhrania a ďalšie zariadenia a služby, ktoré prijímajú požiadavky len z lokálnej siete.
Z dôvodu nekompatibility s niektorými zariadeniami bolo PNA 1.0 možné zapnúť iba na požiadanie. Na miesto PNA 1.0 bola vyvinutá špecifikácia PNA 2.0, na podporu ktorej sa nevyžaduje zmena na strane zariadení, a stačia zmeny na strane stránok, ktorým je potrebný prístup k intranetovým zdrojom. PNA 1.0 a PNA 2.0 nie sú navzájom kompatibilné, preto pred zavedením PNA 2.0 plánuje Google najprv odstrániť podporu PNA 1.0.
- Možnosť vrátenia podpory zastaraného API MutationEvent a s tým súvisiacich synchronne spracovávaných udalostí DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument a DOMCharacterDataModified bola odstránená. Tento rozhranie sa používalo na sledovanie zmien v DOM strome, ale negatívne ovplyvňovalo výkon stránok a brániť implementácii niektorých nových funkcií. Toto API bolo predvolene vypnuté minulý rok v lete, ale v Chrome zostávala možnosť MutationEventsEnabled pre opätovné aktivovanie podpory. Ako alternatívu sa odporúča používať API Mutation Observer.
- V nástrojoch pre webových vývojárov boli rozšírené možnosti nástrojov na analýzu výkonu.
Okrem noviniek a opravy chýb obsahuje nová verzia odstránenie 14 zraniteľností. Mnohé zraniteľnosti boli odhalené v dôsledku automatizovaného testovania pomocou nástrojov AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Neboli zistené kritické problémy, ktoré by umožnili obísť všetky úrovne ochrany prehliadača a vykonať kód v systéme mimo sandboxového prostredia. V rámci programu na odmeňovanie za odhalenie zraniteľností spoločnosť Google vyplatila 8 odmien v celkovej výške 17 tisíc dolárov, jednu odmenu vo výške $10000 a po dve odmeny vo výške $2000, $1000 a $500).
Zdroj: opennet.ru
