Utgivningen av webbläsaren Chrome 140 med stöd för att dölja IP-adresser och blockera skript

Google har publicerat en version av webbläsaren Chrome 140. Samtidigt finns en stabil utgåva av det fria projektet Chromium, som utgör grunden för Chrome. Chrome-webbläsaren skiljer sig från Chromium genom att använda Googles logotyper, ha ett system för att skicka aviseringar vid krascher, moduler för att spela upp skyddat videoinnehåll (DRM), ett automatiskt uppdateringssystem, ständigt aktiverad sandbox-isolering, tillhandahålla nycklar till Google API och överföra RLZ-parametrar vid sökningar. För dem som behöver mer tid för uppdateringar, stöds en separat version kallad Extended Stable, som är åtföljd av 8 veckor. Nästa version av Chrome, 141, är planerad till den 30 september.

Viktiga förändringar i Chrome 140:

• För att öka skyddet mot spårning av rörelser mellan webbplatser i inkognitoläget har möjligheten till anonymisering av användarens IP-adress i externa sammanhang (till exempel för sidor som laddas via iframe) införts. Anonymisering tillämpas endast för domäner som finns med på MDL (Masked Domain List) och implementeras genom att skicka en begäran inte direkt, utan via Google-proxyserver. Därmed kommer webbplatsen att se ett inkommande IP-adresser proxyadress, istället för användarens.
• För att erhålla urvalsinformation om användarnas IP-adresser när IP-skyddsläget i webbläsaren är aktiverat och begärningar görs via en transitproxy, har mekanismen PRT (Probabilistic Reveal Token) implementerats. PRT innebär att en rubrik skickas med en krypterad token som möjliggör att få ett slumpmässigt utvalt urval av verkliga IP-adresser från kunder som har begärt en viss domän, men inte är kopplade till specifika begärningar. En del av PRT-token innehåller information om verklig IP-adress, medan en del inte gör det, och innehållet i token kan bara fastställas efter en viss tid genom att dekryptera dem med en nyckel som tillhandahålls av Google efter en separat begäran. Denna information om IP-adresser kan användas i system för bedrägeriskydd och för att analysera kvaliteten på webtrafik.
• I inkognito-läge har funktionen "Script Blocking" implementerats, som selektivt blockerar åtkomst till vissa JavaScript API:er som kan användas för att dölja användarens identitet. Till exempel kan skillnader i rendering av bilder i olika webbläsare via Canvas API beaktas som en ytterligare indikator för identifikation. Blockeringen sker endast för tredje parts innehåll (t.ex. inbäddat på sidan via iframe- eller script-taggar) när aktivitet som är specifik för dold identifiering upptäckts, samt för domäner på den svarta listan MDL (Masked Domain List), som har ertappats med dold identifiering.
• Återställningsläget OverrideDefaultOzonePlatformHintToAuto har aktiverats för automatisk val av backend i Ozone-lagret som abstraherar interaktionen med det grafiska systemet. Ändringen möjliggör adaptiv aktivering av Wayland-backenden på system som stöder Wayland utan att i förväg vara bundet till X11-backenden.
• Funktionen för automatisk ändring av lösenord har aktiverats och baseras på användning av AI. Om lösenordet finns i kända databaser över komprometterade konton, kommer Chrome att visa en varning med förslag på att ändra lösenordet vid inloggning med detta lösenord. Vid samtycke genererar webbläsaren ett säkerhetsmässigt motståndskraftigt lösenord, ändrar lösenordet på webbplatsen (fyller automatiskt i och skickar nödvändiga webbformulär) och sparar det nya lösenordet i lösenordshanteraren.
• DSE Prewarming (Default Search Engine Prewarming) har lagts till för att påskynda öppningen av sidan med sökresultat efter att en förfrågan har gjorts via adressfältet. När DSE Prewarming är aktiverat görs en förrendering av layoten för sidan med sökresultat omedelbart efter att fokus för inmatning har flyttats till adressfältet, och nödvändiga resurser för denna sida laddas. De laddade resurserna används också för att påskynda kommande förfrågningar. Denna funktion är för närvarande aktiverad som standard endast för en del användare.
• Verktygen för automatisk ifyllnad av formulär har utvidgats och använder en AI-modell för att förstå webbformulär och automatiskt fylla i fälten baserat på hur användaren tidigare har fyllt i liknande formulär. Inställningen "Autofill with AI" har istället döpts om till "Enhanced autofill". I den nya versionen har antalet länder och språk för vilka funktionen är tillgänglig utökats, och dessutom har stöd för ytterligare typer av information lagts till.
• För användare i USA har en inbyggd chatbott i webbläsaren aktiverats, som kan förklara innehållet på den aktuella sidan och svara på relaterade frågor utan att byta flik. Textuell och röstinteraktion med Gemini stödjs. I framtiden planeras även chatbottens inkluderande för användare från andra länder.
• För alla användare har möjligheten att gå med i redan skapade grupper av delade flikar aktiverats, där flera användare kan arbeta samtidigt. Stöd för att skapa grupper är för närvarande endast tillgängligt för användare av testversioner (Beta/Dev/Canary), vilket innebär att de kan skapa en uppsättning flikar och dela den med andra användare, som då ser samma flikar på sina enheter. Om någon av deltagarna ändrar en flik i gruppen, kommer ändringen att omedelbart återspeglas på de andra användarnas enheter.
• Utformningen av de varningar som visas vid försök att öppna en webbplats utan HTTPS har ändrats om man har ställt in läget för endast säkra anslutningar i inställningarna (chrome://settings/security). Istället för att visa en varningssida presenteras en dialogruta under adressfältet som blockerar nedladdning av data utan kryptering tills användaren väljer en åtgärd.
• I förfrågningar relaterade till förhandsladdning av resurser eller rendering ( eller ) har en HTTP-header "Sec-Purpose" införts. Den tidigare använda HTTP-överskriften "Purpose: prefetch" har deklarerats som föråldrad, men den är fortfarande inte avstängd som standard för att bevara kompatibilitet.
• I API:t ToggleEvent har en egenskap "source" lagts till, som innehåller ett Element-objekt som representerar det kontrollobjekt som initierade tillståndsändringen som genererade Toggle-händelsen. Till exempel när en användare klickar på ett -element med attributet "popovertarget" när den popup-rutan öppnas, kommer en ToggleEvent-händelse att genereras, där egenskapen "source" gör det möjligt att förstå vilket -element som trycktes.
• Möjligheten att använda funktionerna counter() och counters() inom alternativtexten i egenskapen "content" har lagts till (till exempel 'content: "Kapitel" counter(chapter);').
• CSS-egenskapen «caret-animation» har lagts till, vilket möjliggör kontroll över animationen av markören i inmatningsfält (till exempel kan markörens blinkning ersättas med en egen animation). Egenskaper som animation-timing-function, animation-iteration-count, animation-direction och animation-play-state har också lagts till för att styra övergångsanimations effekter.
• I CSS-regeln «@font-face» har stöd för egenskapen font-variation-settings implementerats för att justera glyphs i variabla typsnitt (linjetjocklek, bredd på symboler, lutning på symboler etc.).
• CSS har fått stöd för typad aritmetik, vilket möjliggör användandet av uttryck som «calc(10em / 1px)» och «calc(20% / 0.5em * 1px)».
• Metoderna Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 och Uint8Array.fromHex har lagts till för att konvertera mellan Uint8Array och data i base64- eller hexadecimalt format.
• Verktygen för webbutvecklare har utökats med AI-funktioner för att felsöka prestandaproblem. Stöd för emulering av beteende med HTTP-rubriken «Save-Data» har lagts till.

Förutom nyheterna och bugfixarna har den nya versionen åtgärdat 6 sårbarheter. Många av sårbarheterna upptäcktes genom automatiserad testning med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. Inga kritiska problem som skulle kunna kringgå alla skyddsnivåer i webbläsaren och köra kod utanför sandbox-miljön har upptäckts. Inom ramen för programmet för belöningar för att upptäcka sårbarheter har Google betalat ut 4 belöningar för det aktuella släppet, totalt 10 000 USD (en belöning på $5000, $4000 och $1000). Storleken på en av belöningarna har ännu inte fastställts.

Källa: opennet.ru