Google kompaniyasi Chrome 102 veb-brauzerini taqdim etdi.Ayni vaqtda Chrome brauzerining asosi bo'lib xizmat qiluvchi bepul Chromium loyihasining barqaror versiyasi ham mavjud. Chrome brauzeri Chromium-dan Google logotiplaridan foydalanish, avariya holatida bildirishnomalar yuborish tizimining mavjudligi, nusxa ko'chirishdan himoyalangan video kontentini o'ynatish modullari (DRM), yangilanishlarni avtomatik o'rnatish tizimi, Sandbox izolyatsiyasini doimiy ravishda yoqish bilan farq qiladi. , Google API kalitlarini yetkazib berish va RLZ-ni qidirishda parametrlarni uzatish. Yangilash uchun ko'proq vaqt kerak bo'lganlar uchun Kengaytirilgan Stable filiali alohida qo'llab-quvvatlanadi, undan keyin 8 hafta. Chrome 103-ning navbatdagi versiyasi 21-iyunga rejalashtirilgan.
Chrome 102-dagi asosiy o'zgarishlar:
- Allaqachon bo'shatilgan xotira bloklariga (foydalanishdan keyin bepul) kirish natijasida yuzaga keladigan zaifliklardan foydalanishni blokirovka qilish uchun oddiy ko'rsatkichlar o'rniga MiraclePtr (raw_ptr) turi qo'llanila boshlandi. MiraclePtr bo'shatilgan xotira maydonlariga kirishda qo'shimcha tekshiruvlarni amalga oshiradigan ko'rsatgichlarni bog'lashni ta'minlaydi va agar bunday kirishlar aniqlansa, ishdan chiqadi. Yangi himoya usulining ishlash va xotira iste'moliga ta'siri ahamiyatsiz deb baholanadi. MiraclePtr mexanizmi barcha jarayonlarda qo'llanilmaydi, xususan, u renderlash jarayonlarida qo'llanilmaydi, lekin u xavfsizlikni sezilarli darajada yaxshilashi mumkin. Masalan, joriy versiyada tuzatilgan 32 ta zaiflikdan 12 tasi foydalanishdan keyin bepul muammolar tufayli yuzaga kelgan.
- Yuklashlar haqidagi ma'lumotlarga ega interfeys dizayni o'zgartirildi. Yuklab olish jarayoni to'g'risidagi ma'lumotlarning pastki qatori o'rniga manzil satriga ega panelga yangi ko'rsatkich qo'shildi, ustiga bosganingizda fayllarni yuklab olish jarayoni va allaqachon yuklab olingan fayllar ro'yxati bilan tarix ko'rsatiladi. Pastki paneldan farqli o'laroq, tugma doimiy ravishda panelda ko'rsatiladi va yuklab olish tarixiga tezda kirish imkonini beradi. Yangi interfeys hozirda sukut bo'yicha faqat ba'zi foydalanuvchilar uchun taqdim etiladi va hech qanday muammo bo'lmasa, hamma uchun kengaytiriladi. Eski interfeysni qaytarish yoki yangisini yoqish uchun “chrome://flags#download-bubble” sozlamasi taqdim etiladi.
- Tasvirlarni kontekst menyusi orqali qidirishda (“Google Lens yordamida tasvirni qidirish” yoki “Google Lens orqali topish”) natijalar endi alohida sahifada emas, balki asl sahifa mazmuni yonidagi yon panelda ko‘rsatiladi. bitta oynada siz bir vaqtning o'zida sahifa mazmunini ham, qidiruv tizimiga kirish natijasini ham ko'rishingiz mumkin).
- Sozlamalarning "Maxfiylik va xavfsizlik" bo'limiga "Maxfiylik bo'yicha qo'llanma" bo'limi qo'shilgan bo'lib, u har bir sozlamaning ta'sirining batafsil tushuntirishlari bilan maxfiylikka ta'sir qiluvchi asosiy sozlamalarning umumiy ko'rinishini taqdim etadi. Masalan, bo'limda siz Google xizmatlariga ma'lumotlarni yuborish siyosatini belgilashingiz, sinxronizatsiyani boshqarishingiz, cookie-fayllarni qayta ishlashingiz va tarixni saqlashingiz mumkin. Funktsiya ba'zi foydalanuvchilarga taklif etiladi, uni faollashtirish uchun siz "chrome://flags#privacy-guide" sozlamasidan foydalanishingiz mumkin.
- Qidiruv tarixi va ko'rilgan sahifalar tuzilishi taqdim etilgan. Qayta qidirmoqchi bo'lganingizda, manzil satrida qidiruvni oxirgi marta to'xtatilgan joydan davom ettirish imkonini beruvchi "Sayohatingizni davom ettirish" maslahati ko'rsatiladi.
- Chrome internet-do‘koni tavsiya etilgan qo‘shimchalarning dastlabki tanlovi bilan “Kengaytmalar boshlang‘ich to‘plami” sahifasini taklif etadi.
- Sinov rejimida, agar sahifa saytdagi resursga kirsa, asosiy sayt serveriga “Kirish-nazorat-so'rov-xususiy tarmoq: rost” sarlavhasi bilan CORS (O'zaro kelib chiqish manbalarini almashish) avtorizatsiya so'rovini yuborish yoqilgan bo'ladi. ichki tarmoq (192.168.x.x, 10.x.x.x, 172.16.x.x) yoki localhostga (128.x.x.x). Ushbu so'rovga javoban operatsiyani tasdiqlashda server "Kirish-nazorat qilish-ruxsat berish-xususiy tarmoq: rost" sarlavhasini qaytarishi kerak. Chrome 102-versiyasida tasdiqlash natijasi hali so‘rovni qayta ishlashga ta’sir qilmaydi – agar tasdiq bo‘lmasa, veb-konsolda ogohlantirish ko‘rsatiladi, lekin subresurs so‘rovining o‘zi bloklanmagan. Server tomonidan tasdiqlanmagan holda bloklashni yoqish Chrome 105 versiyasi chiqarilgunga qadar kutilmaydi. Avvalgi versiyalarda bloklashni yoqish uchun “chrome://flags/#private-network-access-respect-preflight-” sozlamasini yoqishingiz mumkin. natijalar".
Server tomonidan avtorizatsiyani tekshirish saytni ochishda yuklangan skriptlardan mahalliy tarmoq yoki foydalanuvchining kompyuterida (localhost) resurslarga kirish bilan bog'liq hujumlardan himoyani kuchaytirish uchun joriy qilingan. Bunday so'rovlar tajovuzkorlar tomonidan marshrutizatorlarga, kirish nuqtalariga, printerlarga, korporativ veb-interfeyslarga va faqat mahalliy tarmoqdan so'rovlarni qabul qiladigan boshqa qurilmalar va xizmatlarga CSRF hujumlarini amalga oshirish uchun ishlatiladi. Bunday hujumlardan himoya qilish uchun, agar ichki tarmoqda biron-bir sub-resursga kirish mumkin bo'lsa, brauzer ushbu sub-resurslarni yuklash uchun ruxsat olish uchun aniq so'rov yuboradi.
- Inkognito rejimida havolalarni kontekst menyusi orqali ochganda, maxfiylikka ta'sir qiluvchi ba'zi parametrlar avtomatik ravishda URL manzilidan o'chiriladi.
- Windows va Android uchun yangilanishlarni yetkazib berish strategiyasi o'zgartirildi. Yangi va eski versiyalarning harakatlarini toʻliqroq solishtirish uchun endi yuklab olish uchun yangi versiyaning bir nechta tuzilmalari yaratilgan.
- Tarmoq segmentatsiyasi texnologiyasi ma'lumotni doimiy saqlash uchun mo'ljallanmagan hududlarda identifikatorlarni saqlashga asoslangan saytlar orasidagi foydalanuvchi harakatlarini kuzatish usullaridan himoya qilish uchun barqarorlashtirildi ("Supercookie"). Keshlangan resurslar umumiy nomlar maydonida saqlanganligi sababli, kelib chiqqan domendan qat'i nazar, bitta sayt boshqa sayt ushbu resurs keshda yoki yo'qligini tekshirish orqali resurslarni yuklayotganligini aniqlashi mumkin. Himoya tarmoq segmentatsiyasidan foydalanishga asoslangan (Tarmoq bo'limi), uning mohiyati umumiy keshlarga asosiy sahifa ochilgan domenga yozuvlarni qo'shimcha bog'lashni qo'shishdir, bu faqat harakatni kuzatish skriptlari uchun kesh qamrovini cheklaydi. joriy saytga (iframe-dan olingan skript resurs boshqa saytdan yuklab olinganligini tekshira olmaydi). Holat almashish tarmoq ulanishlarini (HTTP/1, HTTP/2, HTTP/3, veb-rozetka), DNS keshini, ALPN/HTTP2, TLS/HTTP3 ma'lumotlarini, konfiguratsiyani, yuklab olishlarni va Expect-CT sarlavhasi ma'lumotlarini qamrab oladi.
- O'rnatilgan mustaqil veb-ilovalar uchun (PWA, Progressive Web App) veb-ilovaning ekran maydonini butun oynaga kengaytiradigan Window Controls Overlay komponentlari yordamida oyna sarlavhasi maydoni dizaynini o'zgartirish mumkin. Veb-ilova veb-ilovaga oddiy ish stoli ilovasi ko'rinishini berish uchun standart oyna boshqaruv tugmalari (yopish, minimallashtirish, kattalashtirish) bilan qoplangan blokdan tashqari, butun oynaning ko'rsatilishi va kiritilishini boshqarishi mumkin.
- Shaklni avtomatik to'ldirish tizimida onlayn-do'konlardagi tovarlar uchun to'lov ma'lumotlari ko'rsatilgan maydonlarda virtual kredit karta raqamlarini yaratish uchun yordam qo'shildi. Har bir to'lov uchun raqami ishlab chiqariladigan virtual kartadan foydalanish haqiqiy kredit kartasi haqidagi ma'lumotlarni o'tkazmaslikka imkon beradi, lekin bank tomonidan kerakli xizmatni taqdim etishni talab qiladi. Bu xususiyat hozircha faqat AQSh banklari mijozlari uchun mavjud. Funktsiyaning kiritilishini nazorat qilish uchun "chrome://flags/#autofill-enable-virtual-card" sozlamasi taklif etiladi.
- "Capture Handle" mexanizmi sukut bo'yicha faollashtirilgan bo'lib, ma'lumotni videoni suratga oladigan ilovalarga o'tkazish imkonini beradi. API mazmuni yozib olingan ilovalar va yozishni amalga oshiradigan ilovalar o'rtasidagi o'zaro aloqani tashkil qilish imkonini beradi. Misol uchun, taqdimotni translyatsiya qilish uchun videoni suratga oladigan videokonferentsaloqa ilovasi taqdimotni boshqarish elementlari haqidagi ma'lumotlarni olishi va ularni video oynasida ko'rsatishi mumkin.
- Spekulyativ qoidalarni qo'llab-quvvatlash sukut bo'yicha yoqilgan bo'lib, foydalanuvchi havolani bosishdan oldin havola bilan bog'liq ma'lumotlarni faol ravishda yuklash mumkinligini aniqlash uchun moslashuvchan sintaksisni ta'minlaydi.
- Resurslarni Web Bundle formatidagi paketlarga qadoqlash mexanizmi barqarorlashtirildi, bu ko'p sonli qo'shiladigan fayllarni (CSS uslublari, JavaScript, tasvirlar, iframes) yuklash samaradorligini oshirish imkonini beradi. Webpack formatidagi paketlardan farqli o'laroq, Web Bundle formati quyidagi afzalliklarga ega: HTTP keshida paketning o'zi emas, balki uning tarkibiy qismlari saqlanadi; JavaScript-ni kompilyatsiya qilish va bajarish paketning to'liq yuklab olinishini kutmasdan boshlanadi; Veb-paketga JavaScript satrlari shaklida kodlanishi kerak bo'lgan CSS va tasvirlar kabi qo'shimcha resurslarni kiritishga ruxsat beriladi.
- PWA ilovasini ma'lum MIME turlari va fayl kengaytmalarining ishlov beruvchisi sifatida belgilash mumkin. Manifestdagi file_handlers maydoni orqali bog'lanishni aniqlagandan so'ng, foydalanuvchi ilova bilan bog'langan faylni ochishga harakat qilganda dastur maxsus hodisani oladi.
- DOM daraxtining bir qismini “faol emas” deb belgilash imkonini beruvchi yangi inert atribut qo‘shildi. Ushbu holatdagi DOM tugunlari uchun matn tanlash va ko'rsatkichni ko'rsatuvchi ishlov beruvchilar o'chirib qo'yilgan, ya'ni. Ko'rsatkich voqealari va foydalanuvchi tanlagan CSS xususiyatlari har doim "yo'q" ga o'rnatiladi. Agar tugunni tahrirlash mumkin bo'lsa, u holda inert rejimda uni tahrir qilib bo'lmaydi.
- Navigatsiya API qo'shildi, bu veb-ilovalarga oyna navigatsiya operatsiyalarini ushlab turish, navigatsiyani boshlash va ilova bilan harakatlar tarixini tahlil qilish imkonini beradi. API bir sahifali veb-ilovalar uchun optimallashtirilgan window.history va window.location xususiyatlariga muqobil taqdim etadi.
- “Yashirin” atributi uchun “topilmaguncha” yangi bayroq taklif qilindi, bu elementni sahifada qidirish va matn niqobi orqali aylantirish imkonini beradi. Masalan, siz sahifaga yashirin matn qo'shishingiz mumkin, uning mazmuni mahalliy qidiruvlarda topiladi.
- HID qurilmalariga (inson interfeysi qurilmalari, klaviaturalar, sichqonchalar, geympadlar, sensorli panellar) past darajadagi kirish uchun mo'ljallangan WebHID API-da tizimda ma'lum drayverlar bo'lmagan holda ishni tashkil qilish uchun exclusionFilters xususiyati so'rov qurilmasiga qo'shildi( ) ob'ekt, bu brauzer mavjud qurilmalar ro'yxatini ko'rsatganda ma'lum qurilmalarni chiqarib tashlash imkonini beradi. Masalan, ma'lum muammolarga duch kelgan qurilma identifikatorlarini istisno qilishingiz mumkin.
- PaymentRequest.show() ga qo'ng'iroq orqali to'lov shaklini foydalanuvchining aniq harakatisiz, masalan, ishlov beruvchi bilan bog'langan elementni bosmasdan ko'rsatish taqiqlanadi.
- WebRTC da sessiya oʻrnatish uchun foydalaniladigan SDP (Session Description Protocol) protokolining muqobil joriy etilishini qoʻllab-quvvatlash toʻxtatildi. Chrome ikkita SDP variantini taklif qildi - boshqa brauzerlar bilan birlashtirilgan va Chrome-ga xos. Bundan buyon faqat portativ variant qoldi.
- Veb-ishlab chiquvchilar uchun vositalarga yaxshilanishlar kiritildi. Qorong'i va engil mavzudan foydalanishni taqlid qilish uchun Uslublar paneliga tugmalar qo'shildi. Tarmoqni tekshirish rejimida Ko'rib chiqish yorlig'ining himoyasi kuchaytirildi (Kontent xavfsizligi siyosati ilovasi yoqilgan). Tuzatish nuqtalarini qayta yuklash uchun tuzatuvchi skriptni tugatishni amalga oshiradi. Sahifada ma'lum operatsiyalarning bajarilishini tahlil qilish imkonini beruvchi yangi "Ishlash ko'rsatkichlari" panelini oldindan amalga oshirish taklif qilindi.
Innovatsiyalar va xatolarni tuzatishdan tashqari, yangi versiya 32 ta zaiflikni yo'q qiladi. Ko'pgina zaifliklar AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer va AFL vositalaridan foydalangan holda avtomatlashtirilgan testlar natijasida aniqlangan. Muammolardan biri (CVE-2022-1853) kritik xavf darajasiga ega bo'lib, bu brauzer himoyasining barcha darajalarini chetlab o'tish va tizimda sinov muhitidan tashqarida kodni bajarish qobiliyatini nazarda tutadi. Ushbu zaiflik bo'yicha tafsilotlar hali oshkor etilmagan; faqat ma'lumki, bu Indexed DB API ilovasida bo'shatilgan xotira blokiga (bepul foydalanish) kirish natijasida yuzaga kelgan.
Joriy versiyaning zaif tomonlarini aniqlaganlik uchun pul mukofoti dasturining bir qismi sifatida Google 24 dollarlik 65600 ta mukofotni (bitta 10000 7500 dollarlik mukofot, bitta 7000 5000 dollarlik mukofot, ikkita 3000 2000 dollarlik mukofot, uchta 1000 500 dollarlik mukofot, to'rtta 7 XNUMX dollarlik mukofot, ikkita XNUMX dollarlik mukofot, ikki dollar XNUMX XNUMX dollarlik mukofot to'lagan. XNUMX dollar bonuslar). XNUMX ta mukofot miqdori hali aniqlanmagan.
Manba: opennet.ru