Utgåvan av webbläsaren Chrome 137.

Google har publicerat en release av webbläsaren Chrome 137. Samtidigt är en stabil version av det fria projektet Chromium tillgänglig, som utgör grunden för Chrome. Chrome-webbläsaren skiljer sig från Chromium genom användningen av Google-logotyper, har ett system för att skicka aviseringar vid krasch, moduler för att spela upp skyddat videoinnehåll (DRM), ett automatiskt system för att installera uppdateringar, konstant aktiverad Sandbox-isolering, leverans av nycklar för Google API och överföring av RLZ-parametrar vid sökning. För dem som behöver mer tid för uppdatering, stöds en separat Extended Stable-version med 8 veckors support. Nästa release av Chrome 138 är planerad till den 24 juni.

Huvudändringarna i Chrome 137:

• I versionerna för Windows och macOS har chattbotten Gemini integrerats, som kan förklara innehållet på den aktuella sidan och svara på relaterade frågor utan att växla från den aktuella fliken. Text- och röstinteraktion med Gemini stöds. Arbetet med chattbotten är för närvarande tillgängligt endast för en del av användarna i USA som har prenumerationer på Google AI Pro och Ultra.
• I likhet med det tidigare genomförda segmenteringslagret säkerställs isolering av bearbetningen av URL-scheman "blob:", som är avsedda för åtkomst till lokalt genererade data via Blob- eller File-API:et. Vid segmenteringen kopplas ett separat kännetecken till nyckeln som används för att hämta objekt, vilket definierar kopplingen till den primära domän, från vilken den huvudsakliga sidan öppnades, vilket gör det möjligt att blockera metoder för att spåra användarens rörelser mellan webbplatser genom manipulation med URL "blob:.
• I läget för avancerat skydd av webbläsaren (Safe Browsing > Enhanced protection) har möjligheten att använda en stor språkmodell aktiverats för att identifiera bedrägliga sidor baserat på deras innehåll. AI-modellen körs på klientsidan, men om misstänkt innehåll upptäcks, genomförs en extra kontroll på servrar Google. I den nuvarande versionen samlas endast information in om problematiska sidor. I nästa release planeras det att börja visa varningar till användaren.
• Skydd mot dolda användaridentifieringar aktiveras via HSTS-cache (HTTP Strict Transport Security). HSTS gör det möjligt för webbplatser att omdirigera användare från HTTP till HTTPS. Under arbetets gång sparas värdnamnet som anges via HSTS i den interna cachen, vilket gör det möjligt att använda närvaron eller frånvaron av värden i cachen för att lagra en bit information. För att dölja lagringen av en 32-bitars användaridentifierare kan en array av 32 bilder användas, levererade från olika värdar över HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg etc.). Identifierarens bestämning görs genom att kontrollera från vilka värdar bilderna laddades via HTTPS och vilka via HTTP (om bilderna tidigare levererades via HTTP och sedan omdirigerades till HTTPS via HSTS, laddas de vid efterföljande förfrågningar direkt via HTTPS, vilket undviker anrop via HTTP). Skyddet handlar om att tillåta uppdatering av HSTS endast för resurser på hög nivå och blockera uppdatering av HSTS i förfrågningar om subresurser.
• För WebRTC-anslutningar har stöd för protokollet DTLS 1.3 (Datagram Transport Layer Security, motsvarigheten till TLS för UDP) implementerats. Stöd för DTLS 1.3 är nödvändigt för att använda post-kvanta krypteringsalgoritmer i WebRTC.
• Kommandoradsalternativet "—load-extension" har tagits bort, vilket möjliggör laddning av tillägg. Alternativet har tagits bort för att minska risken att det används för att ladda skadliga tillägg. För att tvinga laddning av packade tillägg rekommenderas att använda knappen Load Unpacked på sidan för tilläggshantering (chrome://extensions/) efter att utvecklarläge har aktiverats. I Chromium och testversioner av Chrome For Testing har stöd för alternativet "—load-extension" bevarats.
• Det har beslutats att avstå från automatisk återgång till användning av SwiftShader mjukvarugrafik för WebGL, som implementerar Vulkan API. Om det saknas en korrekt GPU-baserad backend kommer skapandet av WebGL-kontext nu att returnera ett fel istället för att växla till SwiftShader. Nerlagd användning av SwiftShader kommer att öka säkerheten genom att eliminera körning av kod som genererats av JIT-kompilatorn i processen som hanterar interaktionen med GPU. För att återaktivera användning av SwiftShader finns en separat kommandoradsparameter "—enable-unsafe-swiftshader". I Chrome-version 137 för användare på Linux- och macOS-plattformar kommer en varning att visas i webbkonsolen vid användning av SwiftShader, och i Chrome 138 kommer återgången till SwiftShader att stängas av. För Windows-användare har SwiftShader-systemet ersatts av den inbyggda Windows mjukvarugrafiken WARP (Windows Advanced Rasterization Platform).
• Inställningarna har lagts till för att aktivera funktionen "Autofill with AI", vilket förenklar ifyllandet av webblanketter. När den är aktiverad använder webbläsaren en AI-modell för att förstå webblanketten och automatiskt fylla i fälten baserat på hur användaren tidigare har fyllt i liknande formulär.
• API:et för Web Cryptography har lagts till stöd för kryptografiska algoritmer baserade på elliptiska kurvor, såsom Ed25519 digitala signaturer.
• CSS-egenskapen "reading-flow" har implementerats, vilket gör det möjligt att styra bearbetningsordningen av element i flex-, grid- och blockcontainrar vid användning av skärmläsare och vid sekventiell navigering. Dessutom har egenskapen "reading-order" lagts till, vilket ger möjlighet att manuellt åsidosätta ordningen av element.
• I CSS föreslås funktionen "if()", som är avsedd för att välja värden baserat på resultatet av villkorliga uttryck. En lista med par "villkor:värde" separerade med semikolon ges som argument. Funktionen går igenom dessa par och stannar vid det första uppfyllda villkoret. Till exempel: "background-color: if(style(—color: white): black; else: white);".
• I CSS-egenskapen offset-path har funktionen shape() implementerats för att skapa former med kommandon som motsvarar funktionen path(), men som tillåter användning av standard CSS-syntax.
• API JSPI (JavaScript Promise Integration) har lagts till, vilket möjliggör integration av WebAssembly-applikationer med JavaScript-objektet Promise och gör det möjligt för WebAssembly-program att fungera som en Promise-generator och interagera med Promise-baserade API:er.
• I API:erna CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D och ImageData har stöd för pixelformat lagts till, som använder flyttal för att representera färgkomponenter.
• I Origin trials-läget erbjuds experimentella API:er som Rewriter och Writer, som möjliggör ombearbetning (till exempel att sammanfatta eller ändra berättarstil) eller generering av text med hjälp av stora språkmodeller.
• Verktygen för webbutvecklare har fått möjlighet att koppla till arbetsytor, vilket gör att ändringar som gjorts i JavaScript, HTML och CSS kan sparas i lokala filer när man arbetar med de inbyggda verktygen i webbläsaren. AI-assistentens funktioner har utökats för att kunna ändra CSS och analysera prestanda.

Utöver nya funktioner och buggfixar har den nya versionen åtgärdat 1 sårbarheter. Många av sårbarheterna upptäcktes genom automatiserad testning med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. Inga kritiska problem som skulle kunna kringgå alla säkerhetsnivåer i webbläsaren och köra kod utanför sandlådemiljön har identifierats. Inom ramen för belöningsprogrammet för upptäckta sårbarheter har Google betalat ut 8 belöningar till ett värde av 7500 USD för den aktuella versionen (en belöning på 4000 USD, 2000 USD, 1000 USD och 500 USD). Storleken på de fyra belöningarna är ännu inte fastställd.

Källa: opennet.ru