Google ได้เปิดตัวเว็บเบราว์เซอร์ Chrome 136 แล้ว ในเวลาเดียวกัน ยังมีการเปิดตัวเวอร์ชันเสถียรของโครงการ Chromium ฟรีซึ่งเป็นพื้นฐานของ Chrome แล้ว เบราว์เซอร์ Chrome แตกต่างจาก Chromium ตรงที่ใช้โลโก้ Google มีระบบการส่งการแจ้งเตือนในกรณีที่เกิดการขัดข้อง มีโมดูลสำหรับเล่นเนื้อหาวิดีโอที่มีการป้องกันการคัดลอก (DRM) มีระบบติดตั้งอัปเดตอัตโนมัติ เปิดใช้งานการแยก Sandbox เสมอ จัดเตรียมคีย์ให้กับ Google API และส่งพารามิเตอร์ RLZ เมื่อค้นหา สำหรับผู้ที่ต้องการเวลาเพิ่มเติมในการอัปเดต มีสาขา Extended Stable แยกต่างหาก ซึ่งได้รับการสนับสนุนเป็นเวลา 8 สัปดาห์ Chrome 137 เวอร์ชันถัดไปมีกำหนดเปิดตัวในวันที่ 27 พฤษภาคม
การเปลี่ยนแปลงที่สำคัญใน Chrome 136:
- เพิ่มการป้องกันการรั่วไหลของข้อมูลเกี่ยวกับหน้าที่เคยดูก่อนหน้านี้ ซึ่งเกิดจากการใช้ CSS pseudo-class ":visited" ที่ทำให้คุณสามารถปรับแต่งการออกแบบลิงก์ที่เปิดก่อนหน้านี้ได้ ก่อน Chrome 136 การติดตามลิงก์จะทำให้ลักษณะของลิงก์นั้นเปลี่ยนไปบนทุกไซต์ที่แสดงลิงก์ดังกล่าว โดยไม่คำนึงว่าไซต์ใดเป็นผู้เริ่มคลิก บนไซต์ของเขา ผู้โจมตีจะสามารถระบุได้ว่าผู้ใช้เคยเปิดลิงก์ที่เขาสนใจมาก่อนหรือไม่ โดยวิเคราะห์การเปลี่ยนแปลงการออกแบบลิงก์เหล่านี้ ตัวอย่างเช่น หากคุณสร้างรายการลิงก์ไปยังหน้าต่างๆ หน้าที่ดูก่อนหน้านี้ในรายการนี้จะถูกทำเครื่องหมายโดยเบราว์เซอร์ด้วยสีที่ต่างกัน จากนั้นคุณจึงสามารถสรุปได้ว่าลิงก์ต่างๆ เหล่านั้นถูกเปิดมาก่อนหรือไม่
เพื่อบล็อกการรั่วไหลของข้อมูลเกี่ยวกับลิงก์ที่เข้าชม Chrome จึงได้นำการประมวลผลของตัวเลือก ":visited" ที่สัมพันธ์กับไซต์ที่ดูออกไปใช้งาน กล่าวคือ ตอนนี้องค์ประกอบต่างๆ จะถูกกำหนดรูปแบบด้วย ":visited" เฉพาะในกรณีที่เปิดจากไซต์ปัจจุบันก่อนหน้านี้และอ้างอิงถึง iframe ปัจจุบันเท่านั้น การแยกจะทำได้โดยการแฮชสไตล์ของลิงก์ที่เยี่ยมชมโดยใช้ส่วนประกอบสามส่วนเป็นคีย์ ได้แก่ ลิงก์ ไซต์ระดับสูงสุด และโฮสต์ที่ใช้ใน iframe
ตัวอย่างเช่น หากมีการคลิกลิงก์จากไซต์ "A" ลิงก์นี้จะถูกเน้นเฉพาะที่ไซต์ "A" เท่านั้น และจะไม่เปลี่ยนแปลงบนไซต์ของผู้โจมตี ข้อยกเว้นมีอยู่เพียง iframes ที่โหลดจากไซต์หลัก (แหล่งที่มาเดียวกัน) และลิงก์ไปยังไซต์ปัจจุบันเท่านั้น ดังนั้น เมื่อเปิดไซต์ "A" ลิงก์ที่นำไปสู่ไซต์ "A" จะถูกเน้น แม้ว่าการเปลี่ยนแปลงไปยังลิงก์เหล่านั้นจะมาจากไซต์อื่นก็ตาม แต่ลิงก์อื่นจะถูกเน้นเฉพาะเมื่อการเปลี่ยนแปลงนั้นมาจากไซต์ "A" เท่านั้น
Firefox ได้เพิ่มการป้องกันการรั่วไหลดังกล่าวในปี 2010 แต่ก็มีวิธีที่จะหลีกเลี่ยงได้ ตัวอย่างเช่น ในปี 2024 Firefox 122 ได้ลบความสามารถในการวิเคราะห์สีพิกเซลโดยใช้ตัวกรองที่ใช้พารามิเตอร์ currentColor และจัดการแท็ก canvas ใน SVG
- ในเวอร์ชั่นสำหรับ Android การโอนย้ายได้ดำเนินการเสร็จสิ้นแล้ว серверы ระบบเก็บข้อมูลการใช้งานของ Google สำหรับไฟล์ APK ที่ดาวน์โหลดผ่านเบราว์เซอร์ ปัจจุบัน ฟังก์ชันนี้จำกัดเฉพาะการส่งข้อมูลการใช้งาน แต่ในอนาคต จะใช้เพื่อแสดงคำเตือนและบล็อกการดาวน์โหลดไฟล์ APK ที่เป็นอันตราย การตรวจสอบนี้จะดำเนินการเฉพาะเมื่อเปิดใช้งานโหมดการป้องกันขั้นสูงในการตั้งค่าเบราว์เซอร์ (การท่องเว็บอย่างปลอดภัย > การป้องกันขั้นสูง) เท่านั้น
- ขณะนี้การดีบักระยะไกลจำเป็นต้องระบุไดเร็กทอรีข้อมูลแยกต่างหากเมื่อเริ่มต้นระบบโดยใช้พารามิเตอร์ "--user-data-dir" ซึ่งควรระบุพร้อมกับพารามิเตอร์ "--remote-debugging-pipe" หรือ "--remote-debugging-port" เมื่อใช้ไดเร็กทอรีเริ่มต้นใน Windows, Linux и macOS การดีบักระยะไกลจะไม่สามารถใช้งานได้อีกต่อไป การเปลี่ยนแปลงนี้มีจุดประสงค์เพื่อต่อสู้กับมัลแวร์ที่ใช้การดีบักระยะไกลในการดึงข้อมูลจาก Google Chrome เมื่อใช้ไดเร็กทอรีแยกต่างหาก จะใช้คีย์การเข้ารหัสที่แตกต่างกัน ซึ่งจะป้องกันการเข้าถึงข้อมูลการทำงานของผู้ใช้ในไดเร็กทอรีหลัก การเปลี่ยนแปลงนี้ใช้ได้เฉพาะกับ Chrome เท่านั้น และไม่มีผลกับ Chromium
- การออกแบบแถบเลื่อนบนแพลตฟอร์มได้รับการปรับปรุงให้ทันสมัยยิ่งขึ้น Linux и Windowsเมื่อไม่ได้ใช้งาน แถบเลื่อนจะถูกซ่อนไว้และจะปรากฏขึ้นอีกครั้งเมื่อคุณกลับมาใช้งานหน้าเว็บอีกครั้ง หากต้องการควบคุมว่าดีไซน์แถบเลื่อนแบบใหม่จะเปิดใช้งานหรือไม่ ให้ใช้การตั้งค่า chrome://flags#fluent-overlay-scrollbars และ chrome://flags#fluent-scrollbars
- ในฟังก์ชัน CSS attr() อาร์กิวเมนต์ของชนิด "สตริง" ได้ถูกเปลี่ยนชื่อเป็น "raw-string" ตามการตัดสินใจของกลุ่มการทำงานที่ประสานงานการพัฒนาข้อกำหนด CSS การเปลี่ยนแปลงนี้มีวัตถุประสงค์เพื่อขจัดความสับสนอันเนื่องมาจากความคล้ายคลึงกันของนิพจน์ "attr(foo type( ))" และ "attr(foo string)"
- ใน ProgressEvent API ที่ใช้สร้างตัวบ่งชี้ความคืบหน้า แอตทริบิวต์ "loaded" และ "total" จะใช้ประเภท "double" แทนประเภท "unsigned long long" ซึ่งตรงกับพฤติกรรมขององค์ประกอบ HTML และอนุญาตให้ตัวบ่งชี้สะท้อนการเปลี่ยนแปลงค่อยเป็นค่อยไปในค่าที่ไม่ใช่จำนวนเต็ม เช่น เมื่อค่าเปลี่ยนจาก 0 เป็น 1
- มีการจัดเตรียมวิธีคงที่ "RegExp.escape" ไว้สำหรับการหลบหนีสตริงที่ใช้ภายในนิพจน์ทั่วไป สตริงที่หลบหนีโดยใช้ RegExp.escape สามารถใช้เป็นรูปแบบในคอนสตรัคเตอร์ RegExp() ได้อย่างปลอดภัย
- ไซต์ได้รับอนุญาตให้สร้าง Passkeys โดยอัตโนมัติโดยอิงจากข้อมูลประจำตัวที่บันทึกไว้แล้วสำหรับไซต์นั้น การสร้างรหัสผ่านจะดำเนินการโดยไม่แสดงกล่องโต้ตอบแบบโมดอลแยกต่างหากหากผู้ใช้ได้ยืนยันการสร้างข้อมูลประจำตัวสำหรับไซต์ไว้ก่อนหน้านี้แล้ว
- เพิ่มคุณสมบัติ CSS dynamic-range-limit เพื่อจำกัดความสว่างสูงสุดของเนื้อหา HDR
- ใน Speculation Rules API ( ), применяемый для настройки упреждающей загрузки ресурсов, разрешено указание опционального поля «tag» для отслеживания источника. Содержимое этого поля будет отправлено через HTTP-заголовок Sec-Speculation-Tags.
- API ของ WebRTC และ MediaRecorder ได้เพิ่มการรองรับโคเดก H265 (HEVC) นอกเหนือจาก VP8, H.264, VP9 และ AV1 ที่รองรับก่อนหน้านี้
- เครื่องมือสำหรับนักพัฒนาเว็บได้ขยายความสามารถของแดชบอร์ดการวิเคราะห์ประสิทธิภาพแล้ว เพิ่มรายงานเกี่ยวกับการร้องขอโดยใช้โปรโตคอล HTTP/1.1 เก่า ประสิทธิภาพแคช และการเพิ่มประสิทธิภาพโดยใช้คุณสมบัติ font-display ความสามารถในการค้นหาคุกกี้รายบุคคลได้ถูกเพิ่มลงในหน้า “ความเป็นส่วนตัวและความปลอดภัย > ความเป็นส่วนตัว > คุกกี้ของบุคคลที่สาม” เพิ่มฟีเจอร์ทดลองเพื่อให้คำแนะนำเกี่ยวกับปัญหาต่างๆ ที่เกี่ยวข้องกับองค์ประกอบและแอตทริบิวต์ใน DOM
นอกเหนือจากนวัตกรรมและการแก้ไขข้อบกพร่องแล้ว เวอร์ชันใหม่ยังช่วยกำจัดช่องโหว่ 8 รายการอีกด้วย จุดอ่อนจำนวนมากได้รับการระบุผ่านการทดสอบอัตโนมัติโดยใช้เครื่องมือ AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer และ AFL ไม่พบปัญหาสำคัญใดๆ ที่จะทำให้สามารถหลีกเลี่ยงการป้องกันเบราว์เซอร์ทุกระดับและรันโค้ดในระบบนอกสภาพแวดล้อมแซนด์บ็อกซ์ได้ ในฐานะส่วนหนึ่งของโครงการ Bug Bounty สำหรับเวอร์ชันปัจจุบัน Google ได้มอบรางวัลมูลค่า 4 ดอลลาร์สหรัฐฯ สี่รางวัล (รางวัล 10 ดอลลาร์สหรัฐฯ หนึ่งครั้ง รางวัล 5000 ดอลลาร์สหรัฐฯ สองครั้ง และรางวัล 2000 ดอลลาร์สหรัฐฯ หนึ่งครั้ง)
ที่มา: opennet.ru
