Dalja e shfletuesit web Chrome 140 me mbështetje për fshehjen e IP dhe bllokimin e skripteve

Kompania Google publikoi version e re të shfletuesit web Chrome 140. Njëkohësisht është i disponueshëm një version stabil i projektit të lirë Chromium, i cili shërben si baza për Chrome. Shfletuesi Chrome dallon nga Chromium për shkak të përdorimit të logot dhe sistemit të dërgimit të njoftimeve në rast dështimi, moduleve për reproduktimin e përmbajtjes videore të mbrojtur nga kopjimi (DRM), sistemit të instalimit automatik të azhurnimeve, funksionit të vazhdueshëm të izolojit Sandbox, ofrimit të çelësave për Google API dhe kalimit të parametrave RLZ gjatë kërkimit. Për ata që kanë nevojë për më shumë kohë për azhurnim, mbështetet veçmas një degë Extended Stable, e cila shoqërohet me 8 javë. Versioni i ardhshëm i Chrome 141 është planifikuar për 30 Shtator.

Ndryshimet kryesore në Chrome 140:

• Për të forcuar mbrojtjen kundër ndjekjes së lëvizjeve midis uebfaqeve në modalitetin incognito, është realizuar mundësia për fshehjen e informacionit mbi adresën IP të përdoruesit në kontekste të jashtme (p.sh., për faqet që ngarkohen përmes iframe). Fshehja zbatohet vetëm për domainet që janë të pranishëm në listën MDL (Masked Domain List) dhe realizohet përmes dërgimit të kërkesës jo direkt, por përmes një serveri proxy të Google. Në përputhje, faqja do të shohë si një hyrje adresat IP adresën e proxy-it, dhe jo të përdoruesit.
• Për të marrë informacione selektive mbi adresat IP të përdoruesve duke aktivizuar mbrojtjen e adresës IP në shfletues, e cila dërgon kërkesa përmes një proxy të kalimit, është realizuar mekanizmi PRT (Probabilistic Reveal Token). PRT parashtrohet për të dërguar një krye me një token të kriptuar, i cili lejon marrjen e një ngjarjeje të rastësishme të adresave IP reale të klientëve që janë drejtuar përfaqësisht në domainin, por që nuk janë të lidhura me kërkesa specifike. Një pjesë e tokenëve PRT përmban informacion mbi adresën reale IP, ndërsa një pjesë tjetër jo, dhe përmbajtja e tokenit mund të përcaktohet vetëm pas skadimit të një kohe të caktuar, duke u shkruar me një çelës të dhënë nga Google pas një kërkese të veçantë. Informacione të tilla mbi adresat IP mund të përdoren në sistemet e mbrojtjes nga mashtrimi dhe për analizën e cilësisë së trafikut web.
• Në modalitetin incognito është realizuar mekanizmi 'Script Blocking', i cili bllokon përzgjedhshëm aksesin në disa API të JavaScript, të cilat mund të përdoren për identifikimin e fshehtë të përdoruesit. Për shembull, si një dallim për identifikimin, mund të merren parasysh dallimet në renderimin e imazheve nga shfletues të ndryshëm përmes API Canvas. Bllokimi zbatohet vetëm për përmbajtjen e jashtme (p.sh., e integruar në faqe përmes iframe ose script) kur registrohet aktivitet që është specifik për identifikimin e fshehtë, dhe për domainet në listën e zezë MDL (Masked Domain List), të zbuluara për identifikim të fshehtë.
• Aktivizuar është gjithashtu funksioni OverrideDefaultOzonePlatformHintToAuto për të zgjedhur automatikisht backend-in në ndihmën Ozone, që abstancton ndërveprimin me sistemin grafik. Ky ndryshim lejon aktivizimin adaptiv të backend-it Wayland në sisteme me mbështetje për Wayland, pa u lidhur domosdoshmërisht me backend-in X11.
• Funksioni i ndryshimit automatik të fjalëkalimit është aktivizuar, duke u bazuar në përdorimin e AI. Nëse fjalëkalimi është i pranishëm në bazat e njohura të të dhënave për llogaritë e komprometuara, atëherë gjatë përpjekjes për të hyrë me këtë fjalëkalim në një faqe, Chrome do të japë një paralajmërim me sugjerimin për ta ndryshuar fjalëkalimin. Në rast pranimi, shfletuesi do të krijojë një fjalëkalim të fortë dhe do ta ndryshojë atë në faqe (do të plotësojë dhe do ta dërgojë formularin e nevojshëm web) dhe do ta ruajë fjalëkalimin e ri në menaxherin e fjalëkalimeve.
• Optimizimi DSE Prewarming (Default Search Engine Prewarming) është zgjeruar për të përshpejtuar hapjen e faqes me rezultatet e kërkimit pas ekzekutimit të kërkesës përmes shiritit të adresës. Nëse aktivizohet DSE Prewarming, menjëherë pas zhvendosjes së fokusit të hyrjes në shiritin e adresës, do të kryhet para-renderimi i skemës së faqes me rezultatet e kërkimit dhe ngarkimi i burimeve të nevojshme për këtë faqe. Burimet e ngarkuara gjithashtu do të përdoren për të përshpejtuar kërkesat e ardhshme. Kjo mundësi është aktivizuar për momentin si parazgjedhje vetëm për një pjesë të përdoruesve.
• Aftësitë e autofill-it janë zgjeruar, të cilat përdorin modelin AI për të kuptuar formën web dhe për të plotësuar automatikisht fushat, duke u mbështetur në mënyrën se si përdoruesi ka plotësuar më parë forma të ngjashme. Cilësimi 'Autofill with AI' është rinovuar në 'Enhanced autofill'. Në versionin e ri është zgjeruar numri i vendeve dhe gjuhëve për të cilat është në dispozicion funksioni, si dhe është shtuar mbështetje për lloje të tjera të informacionit.
• Për përdoruesit nga SHBA, është aktivizuar një bisedues i integruar në shfletuesin Gemini, i cili mund të shpjegojë përmbajtjen e faqes që po shikohet dhe të përgjigjet në pyetje të lidhura me faqen, pa u shkëputur nga skeda aktuale. Podhese tekstuale dhe audio është e mbështetur me Gemini. Në të ardhmen, planifikohet të përfshihet biseduesi edhe për përdoruesit nga vende të tjera.
• Për të gjithë përdoruesit është e mundur të bashkohen me grupeve të krijuara tashmë të skedave të përbashkëta, me të cilat mund të punojnë disa përdorues njëkohësisht. Mbështetje për krijimin e grupeve është aktualisht në dispozicion vetëm për përdoruesit e versioneve testuese (Beta/Dev/Canary), duke nënkuptuar se ata mund të krijojnë një grup skedash dhe ta ndajnë atë me përdorues të tjerë, të cilët do të shohin të njëjtat skeda në pajisjet e tyre. Në rast se ndonjë nga pjesëmarrësit ndryshon një skedë në grup, ndryshimi do të reflektohet menjëherë në pajisjet e përdoruesve të tjerë.
• I është ndryshuar pamja paralajmërimeve, që shfaqen kur përpiqeni të hapni një faqe pa HTTPS kur është vendosur në cilësimet (chrome://settings/security) moda e instalimit të vetëm lidhjeve të sigurta. Në vend të tregimit të një faqeje paralajmëruese, është implementuar një dialog që shfaqet nën shiritin e adresës dhe bllokon ngarkimin e të dhënave pa enkriptim deri sa përdoruesi të zgjedhë një veprim.
• Në kërkesat e lidhura me ngarkimin e parashikueshëm të burimeve ose vizatimin (<link rel=prefetch> ose <link rel=prerender>), është siguruar dërgimi i header-it HTTP "Sec-Purpose". Header-i HTTP "Purpose: prefetch" që është përdorur më parë për këto qëllime është shpallur i papërdorshëm, por ende nuk është çaktivizuar si default për të ruajtur përputhshmërinë.
• Në API-në ToggleEvent është shtuar një pronë source, që përmban një objekt Element, i cili përfaqëson elementin e kontrollit që ka iniciuar ndryshimin e gjendjes, në përgjigje të së cilës është gjeneruar ngjarja Toggle. Për shembull, kur përdoruesi klikon mbi një element "<button>" me atributin "popovertarget", gjatë hapjes së dritares së shkollës do të gjenerohet ngjarja ToggleEvent, pronë "source" në të cilën do të lejojë të kuptohet se cili element "<button>" është klikuar.
• Është shtuar mundësia për përdorimin e funksioneve counter() dhe counters() brenda tekstit alternativ në pronën "content" (për shembull, 'content: "Kapitulli" counter(chapter);').
• Është shtuar pronë CSS "caret-animation", që lejon kontrollin e animacionit të ndryshimit të kursorit në fushat e hyrjes (për shembull, mund të zëvendësohet blinkimi i kursorit me një animacion të personalizuar). Gjithashtu janë shtuar pronat animation-timing-function, animation-iteration-count, animation-direction dhe animation-play-state për të menaxhuar efektet e animacionit kalues.
• Në rregullin CSS "@font-face" është implementuar mbështetje për pronën font-variation-settings për konfigurimin e gografive në fonts variative (trashësia e linjave, gjerësia e simboleve, këndimi i simboleve, etj.)
• Në CSS është shtuar mbështetje për aritmetikën e tipizuar, duke lejuar përdorimin e shprehjeve si "calc(10em / 1px)" dhe "calc(20% / 0.5em * 1px)".
• Janë shtuar metodat Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 dhe Uint8Array.fromHex për konvertimin midis Uint8Array dhe të dhënave në format base64 ose përfaqësimi hex.
• Në mjete për zhvilluesit web është zgjeruar funksionaliteti i lidhur me përdorimin e AI për debugimin e problemeve me performancën. Është shtuar mbështetje për emulimin e sjelljes gjatë përdorimit të header-it HTTP "Save-Data".

Përveç inovacioneve dhe rregullimeve të gabimeve, në versionin e ri janë larguar 6 vulnerabilitete. Shumica e vulnerabiliteteve janë identifikuar si rezultat i testimit automatizuar me mjete si AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer dhe AFL. Nuk janë identifikuar probleme kritike që lejojnë kalimin e niveleve të mbrojtjes së shfletuesit dhe ekzekutimin e kodit në sistem përtej sandbox-it. Në kuadër të programit të shpërblimeve monetare për zbardhjen e vulnerabiliteteve, kompania Google ka dhënë 4 shpërblime me një shumë totale prej 10,000 dollarësh (një shpërblim prej $5000, $4000 dhe $1000). Shuma e një shpërblimi nuk është përcaktuar ende.

Burimi: opennet.ru