Гугл је представио издање веб претраживача Цхроме 102. У исто време, доступно је и стабилно издање бесплатног Цхромиум пројекта, који служи као основа Цхроме-а. Цхроме претраживач се разликује од Цхромиум-а по коришћењу Гоогле логотипа, присуству система за слање обавештења у случају пада, модула за репродукцију видео садржаја заштићеног од копирања (ДРМ), система за аутоматско инсталирање ажурирања, трајног омогућавања Сандбок изолације , снабдевање кључевима Гоогле АПИ-ју и пренос РЛЗ- параметара приликом претраживања. За оне којима је потребно више времена за ажурирање, проширена стабилна грана је одвојено подржана, након чега следи 8 недеља. Следеће издање Цхроме-а 103 заказано је за 21. јун.
Кључне промене у Цхроме-у 102:
- За блокирање искоришћавања рањивости изазваних приступом већ ослобођеним меморијским блоковима (усе-афтер-фрее), уместо обичних показивача, почео је да се користи тип МирацлеПтр (рав_птр). МирацлеПтр обезбеђује везивање преко показивача који врши додатне провере приступа ослобођеним меморијским областима и руши ако се такви приступи открију. Утицај нове методе заштите на перформансе и потрошњу меморије оцењује се као занемарљив. Механизам МирацлеПтр није применљив у свим процесима, посебно се не користи у процесима рендеровања, али може значајно да побољша безбедност. На пример, у тренутном издању, од 32 отклоњене рањивости, 12 је узроковано проблемима без употребе.
- Дизајн интерфејса са информацијама о преузимањима је промењен. Уместо доњег реда са подацима о току преузимања, на панел са адресном траком додат је нови индикатор, када кликнете на њега, приказује се ток преузимања датотека и историја са листом већ преузетих датотека. За разлику од доњег панела, дугме се стално приказује на панелу и омогућава вам брз приступ историји преузимања. Нови интерфејс је тренутно подразумевано понуђен само неким корисницима и биће проширен на све ако не буде проблема. Да бисте вратили стари интерфејс или омогућили нови, обезбеђено је подешавање „цхроме://флагс#довнлоад-буббле“.
- Када претражујете слике преко контекстног менија („Претражи слику помоћу Гоогле објектива“ или „Пронађи преко Гоогле објектива“), резултати се сада не приказују на посебној страници, већ на бочној траци поред садржаја оригиналне странице (у у једном прозору можете истовремено да видите и садржај странице и резултат приступа претраживачу).
- У одељку „Приватност и безбедност“ подешавања додат је одељак „Водич за приватност“ који нуди општи преглед главних подешавања која утичу на приватност са детаљним објашњењима утицаја сваког подешавања. На пример, у одељку можете дефинисати политику слања података Гоогле услугама, управљати синхронизацијом, обрадом колачића и чувањем историје. Функција је понуђена неким корисницима; да бисте је активирали, можете користити подешавање „цхроме://флагс#приваци-гуиде“.
- Обезбеђено је структурирање историје претраге и прегледаних страница. Када поново покушате да претражујете, у адресној траци се приказује наговештај „Наставите своје путовање“, што вам омогућава да наставите претрагу са места где је била прекинута прошли пут.
- Цхроме веб продавница нуди страницу „Почетни комплет проширења“ са почетним избором препоручених додатака.
- У тест режиму, слање ЦОРС (Цросс-Оригин Ресоурце Схаринг) захтева за ауторизацију главном серверу сајта са заглављем „Аццесс-Цонтрол-Рекуест-Привате-Нетворк: труе“ је омогућено када страница приступи ресурсу на интерној мрежи ( 192.168.кк , 10.ккк, 172.16.кк) или на локални хост (128.ккк). Када потврђује операцију као одговор на овај захтев, сервер мора да врати заглавље „Аццесс-Цонтрол-Аллов-Привате-Нетворк: труе”. У Цхроме верзији 102, резултат потврде још увек не утиче на обраду захтева – ако нема потврде, на веб конзоли се приказује упозорење, али сам захтев подизвора није блокиран. Омогућавање блокирања у одсуству потврде са сервера се не очекује до објављивања Цхроме-а 105. Да бисте омогућили блокирање у ранијим издањима, можете омогућити подешавање „цхроме://флагс/#привате-нетворк-аццесс-респецт-префлигхт- резултати“.
Верификација овлашћења од стране сервера је уведена да би се ојачала заштита од напада у вези са приступом ресурсима на локалној мрежи или на рачунару корисника (лоцалхост) од скрипти учитаних приликом отварања сајта. Такве захтеве нападачи користе за извођење ЦСРФ напада на рутере, приступне тачке, штампаче, корпоративне веб интерфејсе и друге уређаје и сервисе који прихватају захтеве само са локалне мреже. Да би се заштитио од таквих напада, ако се приступи било ком подресурсу на интерној мрежи, претраживач ће послати експлицитни захтев за дозволу за учитавање ових подресурса.
- Приликом отварања линкова у режиму без архивирања кроз контекстни мени, неки параметри који утичу на приватност се аутоматски уклањају са УРЛ адресе.
- Стратегија испоруке ажурирања за Виндовс и Андроид је промењена. Да би се потпуније упоредило понашање нових и старих издања, сада се генерише више верзија нове верзије за преузимање.
- Технологија сегментације мреже је стабилизована како би се заштитила од метода праћења кретања корисника између сајтова заснованих на чувању идентификатора у областима које нису намењене за трајно складиштење информација („Суперколачићи“). Пошто се кеширани ресурси чувају у заједничком именском простору, без обзира на изворни домен, једна локација може утврдити да друга локација учитава ресурсе тако што ће проверити да ли се тај ресурс налази у кешу. Заштита се заснива на коришћењу мрежне сегментације (Нетворк Партитионинг), чија је суштина да се дељеним кешовима дода додатно везивање записа за домен са којег се отвара главна страница, чиме се ограничава покривеност кеша само за скрипте за праћење кретања. на тренутну локацију (скрипта из ифраме-а неће моћи да провери да ли је ресурс преузет са друге локације). Дељење стања обухвата мрежне везе (ХТТП/1, ХТТП/2, ХТТП/3, вебсоцкет), ДНС кеш, АЛПН/ХТТП2, ТЛС/ХТТП3 податке, конфигурацију, преузимања и информације о заглављу Екпецт-ЦТ.
- За инсталиране самосталне веб апликације (ПВА, Прогрессиве Веб Апп), могуће је променити дизајн области наслова прозора помоћу компоненти Виндов Цонтролс Оверлаи, које проширују област екрана веб апликације на цео прозор. Веб апликација може да контролише приказивање и обраду уноса целог прозора, са изузетком блока преклапања са стандардним тастерима за контролу прозора (затвори, минимизирај, максимизирај), да би веб апликацији дала изглед обичне десктоп апликације.
- У систему аутоматског попуњавања формулара додата је подршка за генерисање виртуелних бројева кредитних картица у пољима са детаљима плаћања за робу у онлајн продавницама. Коришћење виртуелне картице, чији се број генерише за свако плаћање, омогућава вам да не преносите податке о стварној кредитној картици, али захтева пружање неопходне услуге од стране банке. Ова функција је тренутно доступна само клијентима америчких банака. Да бисте контролисали укључивање функције, предлаже се подешавање „цхроме://флагс/#аутофилл-енабле-виртуал-цард“.
- Механизам „Цаптуре Хандле“ је подразумевано активиран, омогућавајући вам да пренесете информације у апликације које снимају видео. АПИ омогућава организовање интеракције између апликација чији се садржај снима и апликација које врше снимање. На пример, апликација за видео конференције која снима видео за емитовање презентације може да преузме информације о контролама презентације и прикаже их у видео прозору.
- Подршка за спекулативна правила је подразумевано омогућена, пружајући флексибилну синтаксу за одређивање да ли подаци који се односе на везу могу бити проактивно учитани пре него што корисник кликне на везу.
- Механизам за паковање ресурса у пакете у формату Веб Бундле је стабилизован, што омогућава повећање ефикасности учитавања великог броја пратећих датотека (ЦСС стилови, ЈаваСцрипт, слике, ифрамеови). За разлику од пакета у Вебпацк формату, формат Веб Бундле има следеће предности: није сам пакет тај који се чува у ХТТП кешу, већ његови саставни делови; компилација и извршавање ЈаваСцрипт-а почиње без чекања да се пакет у потпуности преузме; Дозвољено је укључити додатне ресурсе као што су ЦСС и слике, које би у веб пакету морале бити кодиране у облику ЈаваСцрипт стрингова.
- Могуће је дефинисати ПВА апликацију као обрађивач одређених МИМЕ типова и екстензија датотека. Након дефинисања везивања кроз поље филе_хандлерс у манифесту, апликација ће добити посебан догађај када корисник покуша да отвори датотеку повезану са апликацијом.
- Додан је нови инертни атрибут који вам омогућава да означите део ДОМ стабла као "неактиван". За ДОМ чворове у овом стању, избор текста и руковаоци показивача су онемогућени, тј. Догађаји показивача и ЦСС својства које бира корисник су увек постављени на 'ноне'. Ако се чвор може уређивати, онда у инертном режиму постаје неизменљив.
- Додат је АПИ за навигацију, који омогућава веб апликацијама да пресретну операције навигације кроз прозоре, започну навигацију и анализирају историју радњи са апликацијом. АПИ пружа алтернативу својствима виндов.хистори и виндов.лоцатион, оптимизовану за веб апликације са једном страницом.
- Предложена је нова заставица, „до проналажења“, за атрибут „хидден“, што чини елемент претраживим на страници и померањем помоћу маске текста. На пример, можете додати скривени текст на страницу, чији ће садржај бити пронађен у локалним претрагама.
- У ВебХИД АПИ-ју, дизајнираном за приступ ниског нивоа ХИД уређајима (људски интерфејс уређаји, тастатуре, мишеви, гамепади, тачпеди) и организовање рада без присуства специфичних драјвера у систему, својство екцлусионФилтерс је додато у рекуестДевице( ) објекат, који вам омогућава да искључите одређене уређаје када прегледач прикаже листу доступних уређаја. На пример, можете да изузмете ИД-ове уређаја који имају познате проблеме.
- Забрањено је приказивање обрасца за плаћање путем позива ПаиментРекуест.схов() без експлицитне радње корисника, на пример, кликом на елемент повезан са руковаоцем.
- Подршка за алтернативну имплементацију СДП (Сессион Десцриптион Протоцол) протокола који се користи за успостављање сесије у ВебРТЦ-у је укинута. Цхроме је понудио две СДП опције – уједињене са другим прегледачима и специфичне за Цхроме. Од сада је остала само преносива опција.
- Направљена су побољшања у алатима за веб програмере. Додата дугмад на панел Стилови за симулацију употребе тамне и светле теме. Појачана је заштита картице Преглед у режиму инспекције мреже (омогућена је примена Политике безбедности садржаја). Програм за отклањање грешака имплементира завршетак скрипте за поновно учитавање тачака прекида. Предложена је прелиминарна имплементација новог панела „Увид у перформансе“, који вам омогућава да анализирате перформансе одређених операција на страници.
Поред иновација и исправки грешака, нова верзија елиминише 32 рањивости. Многе рањивости су идентификоване као резултат аутоматизованог тестирања помоћу алата АддрессСанитизер, МемориСанитизер, Цонтрол Флов Интегрити, ЛибФуззер и АФЛ. Једном од проблема (ЦВЕ-2022-1853) је додељен критични ниво опасности, што подразумева могућност заобилажења свих нивоа заштите претраживача и извршавања кода на систему ван окружења сандбок-а. Детаљи о овој рањивости још нису откривени; познато је само да је узрокована приступом ослобођеном меморијском блоку (усе-афтер-фрее) у имплементацији АПИ-ја индексиране ДБ.
Као део програма новчане награде за откривање рањивости за тренутно издање, Гоогле је исплатио 24 награде у вредности од 65600 долара (једна награда од 10000 долара, једна награда од 7500 долара, две награде од 7000 долара, три награде од 5000 долара, четири награде од 3000 долара, две награде од 2000 долара и две награде од 1000 долара 500 долара бонуса). Величина 7 награда још није одређена.
Извор: опеннет.ру