Spoločnosť Google vydala aktualizáciu webového prehliadača Chrome 137. Súčasne je k dispozícii stabilná verzia otvoreného projektu Chromium, ktorý je základom prehliadača Chrome. Prehliadač Chrome sa líši od Chromium použitím loga Google, systémom odosielania oznámení v prípade pádu, modulmi na prehrávanie chráneného obsahu (DRM), systémom automatickej inštalácie aktualizácií, trvalou aktiváciou Sandbox-izolácie, dodávaním kľúčov k Google API a odosielaním parametrov RLZ pri vyhľadávaní. Pre tých, ktorí potrebujú viac času na aktualizáciu, sa zvlášť podporuje veta Extended Stable s trvaním 8 týždňov. Ďalšie vydanie Chrome 138 je naplánované na 24. júna.
Hlavné zmeny v Chrome 137:
- Do zostavení pre Windows a macOS bol integrovaný chatbot Gemini, ktorý môže vysvetliť obsah prehliadanej stránky a odpovedať na súvisiace otázky bez prechodu na aktuálnu kartu. Podporuje sa textová a hlasová interakcia s Gemini. Práca s chatbotom je zatiaľ k dispozícii len malej časti používateľov v USA, ktorí majú predplatné Google AI Pro a Ultra.
- Podobne ako predtým implementované segmentovanie úložiska, bola zabezpečená izolácia spracovania URL schémy „blob:“, určené na prístup k lokálne generovaným dátam cez API Blob alebo File. Pri segmentovaní sa k kľúču, používanému na extrakciu objektov, pripája samostatná značka určujúca väzbu na primárny doméne, z ktorého sa otvorila hlavná stránka, čo umožňuje blokovať metódy sledovania pohybov používateľa medzi stránkami manipuláciou s URL „blob:.
- V režime rozšírenej ochrany prehliadača (Safe Browsing > Enhanced protection) bola aktivovaná možnosť využitia veľkého jazykového modelu na identifikáciu podvodných stránok na základe ich obsahu. AI model beží na strane klienta, ale v prípade zistenia podozrenia na pochybný obsah sa vykonáva ďalšia kontrola na serveroch Google. V aktuálnej verzii sa zatiaľ vykonáva iba zber informácií o problémových stránkach. V ďalšom vydaní sa plánuje začať zobrazovať varovania používateľovi.
- Aktivovaná ochrana pred skrytou identifikáciou používateľov pomocou HSTS (HTTP Strict Transport Security) cache. HSTS umožňuje webom pri prístupe cez HTTP presmerovať používateľa na HTTPS. Počas práce sa názov hostiteľa, ktorý sa nastavuje cez HSTS, uchováva vo vnútornej cache, čo umožňuje použiť prítomnosť alebo neprítomnosť hostiteľa v cache na uchovanie jedného bitu informácie. Na skryté uchovávanie 32-bitového identifikátora používateľa je možné použiť pole 32 obrázkov, ktoré sa posielajú z rôznych hostiteľov cez HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg atď.). Identifikátor sa určuje kontrolou, z ktorých hostiteľov sa obrázky načítali cez HTTPS a z ktorých cez HTTP (ak boli obrázky predtým poslané cez HTTP a cez HSTS presmerované na HTTPS, pri následných požiadavkách sa okamžite načítajú cez HTTPS, obídením HTTP). Ochrana sa zameriava na povolenie aktualizácie HSTS iba pre hlavné zdroje a zablokovanie aktualizácie HSTS v požiadavkách subzdrojov.
- Pre spojenia WebRTC bola implementovaná podpora protokolu DTLS 1.3 (Datagram Transport Layer Security, ekvivalent TLS pre UDP). Podpora DTLS 1.3 je nevyhnutná na využívanie algoritmov postkvantového šifrovania v WebRTC.
- Odstránená možnosť príkazového riadku „—load-extension“, ktorá umožňovala načítavať rozšírenia. Možnosť bola odstránená s cieľom znížiť riziko jej použitia na substitúciu škodlivých rozšírení. Na nútené načítanie rozbalených rozšírení sa odporúča použiť tlačidlo Load Unpacked na stránke správy rozšírení (chrome://extensions/) po aktivácii režimu pre vývojárov. V Chromiu a testovacích zostavách Chrome For Testing bola podpora možnosti „—load-extension“ zachovaná.
- Bolo rozhodnuté vzdať sa automatického návratu k používaniu systému softvérovej grafiky SwiftShader pre WebGL, ktorý implementuje API Vulkan. V prípade, že nebude k dispozícii príslušný GPU backend, vytvorenie kontextu WebGL teraz vráti chybu namiesto prechodu na SwiftShader. Ukončenie používania SwiftShader zvýši bezpečnosť tým, že sa vylúči vykonávanie kódu generovaného JIT kompilátorom v procese zodpovednom za interakciu s GPU. Pre návrat k používaniu SwiftShader je k dispozícii samostatná voľba príkazového riadka „—enable-unsafe-swiftshader“. V Chrome verzii 137 bude pre používateľov platforiem Linux a macOS, ktorí používajú SwiftShader, v konzole webu zobrazené varovanie, a v Chrome 138 bude prechod na SwiftShader zakázaný. Pre používateľov Windows bol systém SwiftShader nahradený vstavaným systémom softvérovej grafiky WARP (Windows Advanced Rasterization Platform).
- Do nastavení bola pridaná možnosť aktivovať funkciu „Autofill with AI“, ktorá zjednodušuje vyplňovanie webových formulárov. Po jej aktivácii prehliadač využíva model AI na pochopenie webového formulára a automatické vyplnenie polí na základe toho, ako používateľ predtým vyplnil podobné formuláre.
- Do API Web Cryptography bola pridaná podpora kryptografických algoritmov založených na eliptických krivkách Curve25519, ako je algoritmus vytvárania digitálnych podpisov Ed25519.
- Bola implementovaná vlastnosť CSS „reading-flow“, ktorá umožňuje ovládať poradie spracovania elementov vo flex, grid a blokových kontajneroch pri používaní čítacích zariadení a pri sekvenčnej navigácii. Bola tiež pridaná vlastnosť „reading-order“, ktorá umožňuje manuálne predefinovať poradie elementov.
- V CSS bola navrhnutá funkcia „if()“, ktorá slúži na výber hodnôt v závislosti od výsledku podmienkových výrazov. Ako argument sa odovzdáva zoznam párov „podmienka:hodnota“ oddelený bodkočiarkou. Funkcia prechádza týmito pármi a zastaví sa pri prvej splnenej podmienke. Napríklad: „background-color: if(style(—color: white): black; else: white);“.
- Vo vlastnosti offset-path v CSS bola implementovaná funkcia shape() pre formovanie tvarov pomocou príkazov, ktoré sú ekvivalentné funkcii path(), ale umožňujú používať pre nich štandardnú syntaktickú štruktúru CSS.
- Pridané API JSPI (JavaScript Promise Integration), ktoré zabezpečuje integráciu aplikácií WebAssembly s objektom Promise v JavaScripte a umožňuje aplikáciám WebAssembly fungovať ako generátor Promise a interagovať s API založenými na Promise.
- V API CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D a ImageData bola pridaná podpora pixelových formátov, ktoré používajú hodnoty s plávajúcou desatinnou čiarkou na reprezentáciu zložiek farby.
- V režime Origin trials sú k dispozícii experimentálne API Rewriter a Writer, ktoré umožňujú prepisovať (napríklad stručnejšie zhrnúť alebo zmeniť štýl rozprávania) alebo generovať text pomocou veľkých jazykových modelov.
- Do nástrojov pre webových vývojárov bola pridaná možnosť viazania na pracovné prostredia, ktorá umožňuje ukladať do lokálnych súborov zmeny pridané do JavaScriptu, HTML a CSS pri práci s integrovanými nástrojmi v prehliadači. Možnosti AI asistenta boli rozšírené, takže teraz môže meniť CSS a analyzovať výkon.
Okrem noviniek a opráv chýb v novej verzii bolo odstránených 1 zraniteľností. Mnohé zo zraniteľností boli identifikované pomocou automatizovaného testovania nástrojmi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Kritické problémy, ktoré by umožnili obísť všetky úrovne ochrany prehliadača a vykonať kód v systéme mimo pieskoviska, neboli zistené. V rámci programu vyplácania finančných odmien za zistenie zraniteľností spoločnosť Google vyplatila 8 odmien v celkovej výške 7500 dolárov (jedna odmena vo výške 4000 dolárov, 2000 dolárov, 1000 dolárov a 500 dolárov). Výška štyroch odmien zatiaľ nebola určená.
Zdroj: opennet.ru
