Google je objavila novo izdanje web preglednika Chrome 135. U isto vreme, dostupno je stabilno izdanje slobodnog projekta Chromium, koji je osnova za Chrome. Preglednik Chrome se razlikuje od Chromium-a po korišćenju Google logoa, prisustvu sistema za slanje obaveštenja u slučaju kvara, modulima za reprodukciju zaštićenog video sadržaja (DRM), sistemu automatskog instaliranja ažuriranja, stalnom uključivanju Sandbox izolacije, snabdevanju ključevima za Google API i prenosu RLZ parametara prilikom pretrage. Za one kojima je potrebno više vremena za ažuriranje, posebno se podržava grana Extended Stable, koja je praćena osam nedelja. Sledeće izdanje Chrome 136 je zakazano za 29. aprila.
Glavne promene u Chrome 135:
- Dodata je zaštita od skrivenog identifikovanja korisnika pomoću HSTS keša (HTTP Strict Transport Security). HSTS omogućava sajtovima da preusmere korisnika na HTTPS prilikom pristupanja putem HTTP-a. Tokom rada, ime hosta koje je postavljeno putem HSTS se čuva u unutrašnjem kešu, što omogućava korišćenje prisutnog ili odsutnog hosta u kešu za čuvanje jednog bita informacija.
Za skrivenu pohranu 32-bitnog identifikatora korisnika može se koristiti niz od 32 slike, koje se isporučuju sa različitih hostova putem HTTP-a (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg itd.). Identifikacija identifikatora se vrši proverom sa kojih hostova su slike preuzete putem HTTPS-a, a sa kojih putem HTTP-a (ako su slike ranije isporučene putem HTTP-a i putem HSTS preusmerene na HTTPS, zatim će se kod kasnijih zahteva odmah preuzimati sa HTTPS-a, zaobilazeći HTTP). Zaštita je svedena na dozvoljenje ažuriranja HSTS samo za resurse najvišeg nivoa i blokiranje ažuriranja HSTS u zahtevima subresursa.
- Dodata je lokalno izvršavana mašinska model predikcija za poboljšanje identifikacije prisutnosti obrazaca za unos lozinki na stranicama i automatsku promenu lozinke. Ako lozinka bude označena kao kompromitovana, prilikom pokušaja prijavljivanja sa tom lozinkom na sajt, Chrome će prikazati upozorenje sa predlogom za promenu lozinke. Ako se korisnik složi, preglednik će generisati sigurnu lozinku otpornu na pogadjanje, promeniti lozinku na sajtu i sačuvati novu lozinku u menadžeru lozinki — AI će sam popuniti i poslati potrebne web obrasce na odgovarajućem sajtu i ažurirati sačuvanu lozinku.
- V načinie razširjene zaščite brskalnika (Safe Browsing > Enhanced protection) je bila dodana možnost uporabe velike jezikovne modela za določanje prevarantskih strani na podlagi njihove vsebine. AI-model deluje na strani odjemalca, vendar v primeru suma na dvomljivo vsebino sledi dodatna preverba na serverima Google. Če se dodatna preverba potrdi, se uporabniku prikaže opozorilo. Preverjanje zaenkrat poteka samo za strani, ki uporabljajo API Keyboard Lock.
- Uporabnikom, ki so povezali Chrome s svojim Google računom, je omogočeno shranjevanje nameščenih razširitev v svoj Google račun za kasnejšo avtomatsko uporabo teh razširitev na vseh računalnikih, ki jih uporablja uporabnik.
- Uporabnikom, ki so se nedavno povezali s svojim Google računom ali uporabljajo Chrome Sync, je omogočeno shranjevanje sinhroniziranih nastavitev, bližnjic do strani in tem oblikovanja ločeno od lokalnih nastavitev. Tako po izklopu Chrome Sync na napravi ostanejo izvorne nastavitve, medtem ko se pri povezavi v Google ne naložijo lokalne nastavitve.
- V različici za Android je prenehana podpora za vgrajenega upravljalnika gesel, katerega je nadomestil enoten Google Password Manager, dostavljen preko Google Play. Uporabniki lahko shranijo vsebino starega upravljalnika gesel v formatu CSV za prenos v druge upravljalnike gesel.
- V načinu inkognito je bila uvedena onemogočena blokada zunanjih piškotkov na strani brskalnika, ki se nastavi ob obisku spletnih strani, ki se razlikujejo od domene trenutne strani (takšni piškotki se uporabljajo za sledenje premikanju uporabnikov med spletnimi stranmi v kodo oglaševalskih omrežij, socialnih medijev in sistemov spletne analitike). Možnost upravljanja blokade zunanjih piškotkov na straneh ostaja nespremenjena, vendar nastavitev BlockThirdPartyCookies v načinu inkognito v brskalniku zdaj ne more biti nastavljena na vrednost false.
- V CSS so bili dodani psevdoklasi „::column“, „::scroll-button“, „::scroll-marker“ in „::scroll-marker-group“, s katerimi je mogoče implementirati drsenje v obliki karusela.
- Implementirani so HTML-attributi „command“ in „commandfor“, ki jih lahko uporabite v gumbih namesto atributov „popovertargetaction“ in „popovertarget“ za deklarativno nastavitev interakcij z menijem, ki se prikaže ob pritisku na gumb. Pri uporabi novih atributov vse logike interakcije z menijem prevzame brskalnik, brez potrebe po povezovanju lastnih obdelovalcev v JavaScriptu. Na primer, za ustvarjanje spustnega menija je dovolj, da navedete: <button commandfor="»my-menu»" command="»show-popover»">Odpri meni</button> <div popover id="»my-menu»"> … </div>
- V CSS je bila dodana funkcija shape(), ki omogoča oblikovanje figur z uporabo CSS lastnosti clip-path in offset-path. Funkcija shape() podpira ukaze za oblikovanje figur, ki so ekvivalentni funkciji path(), vendar omogoča uporabo standardne sintakse CSS.
- V API Web Speech, ki nudi funkcije za sintezo in prepoznavanje govora, je bila dodana podpora za vmesnik MediaStreamTrack za obdelavo zvoka, ki prihaja iz različnih virov, vključno z zunanjimi zvočnimi posnetki. Prej je API Web Speech lahko obdeloval le zvok, ki prihaja prek izbranja privzetega mikrofon.
- V JavaScript je bila dodana podpora za tipizirane tabele Float16Array, namenjene shranjevanju vrednosti tipa Float16.
- Dodana je bila API Observable za obdelavo tokov dogodkov v asinkronem načinu. API omogoča naročanje na objekt za prejemanje dogodkov, ko ti prihajajo, in deklarativno opisovanje toka pretvorb, ki se bodo uporabljale na prihajajočih dogodkih.
- Metoda navigator.xr.supportsSession, ki je bila prej razglašena za zastarelo, je bila odstranjena. Namesto tega je treba uporabljati metodo navigator.xr.isSessionSupported, določeno v specifikaciji WebXR.
- Odstranjene so nastavitve InsecurePrivateNetworkRequestsAllowedForUrls in InsecurePrivateNetworkRequestsAllowed, ki so bile uporabljene za omogočanje mehanizma PNA 1.0 (Private Network Access), ki omejuje nalaganje virov z javno dostopne spletne strani, ki se sklicujejo na gostitelje v notranjem omrežju (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 itd.). Takšna aktivnost se uporablja za izvajanje CSRF napadov na usmerjevalnike, dostopne točke, tiskalnike, korporativne spletne vmesnike in druge naprave ter storitve, ki sprejemajo zahteve samo iz lokalnega omrežja.
Zaradi nezdružljivosti z nekaterimi napravami je bilo PNA 1.0 mogoče omogočiti samo na željo. Na mesto PNA 1.0 je bila razvita specifikacija PNA 2.0, za katero ni potrebno spreminjanje na strani naprav, dovolj so spremembe na straneh, ki potrebujejo dostop do intranetnih virov. PNA 1.0 in PNA 2.0 nista združljiva med seboj, zato namerava Google pred uvedbo PNA 2.0 najprej odstraniti podporo za PNA 1.0.
- Opcija za vraćanje podrške za zastarjeli API MutationEvent i povezane sinkrone obrade događaja DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument i DOMCharacterDataModified je uklonjena. Ovaj interfejs je korišten za praćenje promjena u DOM stablu, ali je negativno utjecao na performanse stranica i otežavao implementaciju nekih novih mogućnosti. Ovaj API je bio onemogućen prema defaultu prošlog ljeta, ali u Chrome-u je postojala opcija MutationEventsEnabled za vraćanje podrške. Kao alternativu, preporučuje se korištenje API-ja Mutation Observer.
- Alati za web-programere su prošireni novim mogućnostima za analizu performansi.
Pored novih funkcionalnosti i ispravki grešaka, nova verzija je ispravila 14 ranjivosti. Mnoge od ranjivosti su otkrivene automatizovanim testiranjem alatima kao što su AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nisu otkrivene kritične probleme koji bi omogućili zaobilaženje svih nivoa zaštite browsera i izvršavanje koda van sandbox okruženja. U okviru programa za nagrade za otkrivanje ranjivosti, kompanija Google je isplatila 8 nagrada u ukupnom iznosu od 17 hiljada dolara, uključujući jednu nagradu od 10,000 dolara i po dve nagrade od 2,000, 1,000 i 500 dolara.
Izvor: opennet.ru
