Utgåvan av webbläsaren Chrome 135

Företaget Google har publicerat en version av webbläsaren Chrome 135. Samtidigt är den stabila versionen av det fria projektet Chromium tillgänglig, som fungerar som bas för Chrome. Webbläsaren Chrome skiljer sig från Chromium genom användningen av Googles logotyper, en system för att skicka meddelanden vid krasch, moduler för att spela upp kopieringsskyddat videoinnehåll (DRM), ett automatiskt uppdateringssystem, ständig aktivering av Sandbox-isolering, tillhandahållande av nycklar till Google API och överföring av RLZ-parametrar vid sökning. För de som behöver mer tid för uppdateringar stöds en separat Extended Stable-gren i 8 veckor. Nästa utgåva av Chrome 136 är planerad till den 29 april.

Huvudändringar i Chrome 135:

• Skydd mot dold identifiering av användare har lagts till med hjälp av HSTS-cache (HTTP Strict Transport Security). HSTS gör att webbplatser kan omdirigera användare till HTTPS när de går in via HTTP. Under drift sparas värdnamnet som ställs in via HSTS i en intern cache, vilket gör det möjligt att använda närvaron eller frånvaron av värden i cachen för att lagra ett enda bitinformation.

  För att dölja ett 32-bitars användaridentifierare kan en array av 32 bilder användas, hämtade från olika värdar via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg osv.). Identifieringen görs genom att kontrollera från vilka värdar bilderna laddades ner via HTTPS och från vilka via HTTP (om bilderna tidigare har givits via HTTP och omdirigerats till HTTPS via HSTS, kommer de vid efterföljande förfrågningar att laddas direkt från HTTPS, utan att gå till HTTP). Skyddet har reducerats till att endast tillåta uppdatering av HSTS för resurser på toppnivå och blockera uppdatering av HSTS i förfrågningar av subresurser.
• En lokal maskininlärningsmodell har lagts till för att förbättra identifieringen av inmatningsformulär med lösenord på sidor och automatisk lösenordsbyte. Om ett lösenord anses vara komprometterat, kommer Chrome att visa en varning vid inloggning med detta lösenord och föreslå att ändra det. Vid godkännande genererar webbläsaren ett robust lösenord, byter lösenord på webbplatsen och sparar det nya lösenordet i lösenordshanteraren — AI fyller automatiskt i och skickar nödvändiga webbformular på den aktuella webbplatsen och uppdaterar det sparade lösenordet.
• I läget för utökat säkerhetsskydd i webbläsaren (Safe Browsing > Enhanced protection) har möjligheten att använda en stor språkmodell lagts till för att identifiera bedrägliga sidor baserat på deras innehåll. AI-modellen körs på klientsidan, men när misstänkt innehåll upptäcks utförs en ytterligare kontroll på servrar Google. Om den ytterligare kontrollen bekräftar detta, får användaren en varning. Kontrolleringen utförs för närvarande endast för sidor som använder API:et Keyboard Lock.
• För användare som har kopplat Chrome till sitt Google-konto finns nu möjlighet att spara installerade tillägg i sitt Google-konto för att automatiskt använda dessa tillägg på alla datorer som användaren använder.
• Användare som nyligen kopplade sitt Google-konto eller använder Chrome Sync har säkerställd lagring av synkroniserade inställningar, webbplatsgenvägar och teman separat från lokala inställningar. Detta innebär att efter att Chrome Sync har stängts av på enheten kommer de ursprungliga inställningarna att kvarstå, och vid anslutning till Google kommer de lokala inställningarna inte att laddas ner.
• I Android-versionen har stödet för den inbyggda lösenordshanteraren upphört, och den har ersatts av den enhetliga Google Lösenordshanteraren som tillhandahålls via Google Play. Användare kan spara innehållet från den gamla lösenordshanteraren i CSV-format för överföring till andra lösenordshanterare.
• I inkognitoläget har det implementerats en oavaktad blockering av tredjeparts-Cookies som aktiveras när man besöker webbplatser som är olika från domän den aktuella sidan (liknande cookies används för att spåra användarens rörelser mellan webbplatser i annonseringsnätverkskod, sociala mediewidgets och webbanalysystem). Möjligheten att hantera blockering av tredjepartscookies på webbplatser har lämnats oförändrad, men i webbläsaren kan inställningen BlockThirdPartyCookies i inkognitoläge nu inte ställas in på falskt.
• I CSS har pseudoelementen "::column", "::scroll-button", "::scroll-marker" och "::scroll-marker-group" lagts till, vilka möjliggör att implementera rullning i form av en karusell.
• HTML-attributen "command" och "commandfor" har införts, som kan användas i knappar istället för attributen "popovertargetaction" och "popovertarget" för deklarativ inställning av interaktionen med menyn som framkallas genom att trycka på knappen. Vid användning av de nya attributen hanterar webbläsaren all logik för interaktionen med menyn, utan behov av egna JavaScript-behandlare. Till exempel, för att skapa en rullgardinsmeny räcker det med att ange: <button commandfor="»my-menu»" command="»show-popover»">Öppna meny</button> <div popover id="»my-menu»"> … </div>
• I CSS har funktionen shape() lagts till, vilket gör det möjligt att skapa former med hjälp av CSS-egenskaperna clip-path och offset-path. Funktionen shape() stöder kommandon för formning av figurer som motsvarar funktionen path(), men tillåter användning av standard CSS-syntax.
• I Web Speech API, som tillhandahåller funktioner för talsyntes och taligenkänning, har stödet för gränssnittet MediaStreamTrack lagts till för att behandla ljud från olika källor, inklusive externa ljudspår. Tidigare kunde Web Speech API endast bearbeta ljud som kom från den valda standardmikrofonen.
• I JavaScript har stödet för typade arrayer Float16Array lagts till, som är avsedda för att lagra värden med typen Float16.
• API Observable har lagts till för att hantera händelseflöden asynkront. API:et gör det möjligt att prenumerera på ett objekt för att få händelser i takt med att de inträffar och att deklarativt beskriva strömmen av transformationer som kommer att tillämpas på de inkommande händelserna.
• Metoden navigator.xr.supportsSession, som tidigare hade deklarerats som föråldrad, har tagits bort. Istället bör metoden navigator.xr.isSessionSupported användas, som anges i specifikationen för WebXR.
• Inställningarna InsecurePrivateNetworkRequestsAllowedForUrls och InsecurePrivateNetworkRequestsAllowed, som användes för att aktivera PNA 1.0 (Private Network Access), som begränsar nedladdning av resurser från offentligt tillgängliga webbplatser som refererar till värdar i det interna nätverket (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 osv.), har tagits bort. Sådan aktivitet används av angripare för att genomföra CSRF-attacker på routrar, accesspunkter, skrivare, företagswebbgränssnitt och andra enheter och tjänster som endast accepterar förfrågningar från det lokala nätverket.

  På grund av inkompatibilitet med vissa enheter kunde PNA 1.0 endast aktiveras på begäran. Specifikationen PNA 2.0 har utvecklats som efterföljare till PNA 1.0, vilken inte kräver ändringar på enheterna, utan endast justeringar på de webbplatser som behöver åtkomst till intranettresurser. PNA 1.0 och PNA 2.0 är inte kompatibla med varandra, så innan PNA 2.0 implementeras, avser Google att först ta bort stödet för PNA 1.0.

• Alternativet för att återställa stödet för den föråldrade programmeringsgränssnittet MutationEvent och relaterade synkront hanterade händelser DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument och DOMCharacterDataModified har tagits bort. Gränssnittet användes för att spåra förändringar i DOM-trädet, men påverkade negativt sidprestandan och hindrade implementeringen av vissa nya funktioner. Detta API stängdes av som standard sommaren förra året, men i Chrome fanns alternativet MutationEventsEnabled för att återställa stödet. Som alternativ rekommenderas att använda API:et Mutation Observer.
• I verktygen för webbutvecklare har analysverktygen för prestanda utvidgats.

Förutom nya funktioner och felrättningar har den nya versionen åtgärdat 14 sårbarheter. Många av sårbarheterna har identifierats genom automatiserad testning med verktygen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. Inga kritiska problem som kan kringgå alla nivåer av webbläsarskyddet och köra kod utanför sandbox-miljön har identifierats. Inom ramen för programmet för belöningar vid upptäckten av sårbarheter, har Google betalat ut 8 priser till ett värde av 17 000 dollar för den aktuella versionen, med ett pris på $10 000 och två priser på $2 000, $1 000 och $500.

Källa: opennet.ru