Google đã phát hành phiên bản 142 của trình duyệt web Chrome. Một phiên bản ổn định của dự án mã nguồn mở Chromium, nền tảng của Chrome, cũng đã có sẵn. Chrome khác với Chromium ở chỗ sử dụng logo Google, hệ thống thông báo sự cố, các mô-đun để phát nội dung video được bảo vệ bản quyền (DRM), cài đặt cập nhật tự động, chế độ cô lập hộp cát luôn bật, cung cấp khóa API của Google và truyền tham số RLZ trong quá trình tìm kiếm. Đối với những người dùng cần thêm thời gian để cập nhật, một nhánh Ổn định Mở rộng riêng biệt sẽ được duy trì trong tám tuần. Phiên bản tiếp theo, Chrome 143, dự kiến ra mắt vào ngày 2 tháng 8.
Những thay đổi chính trong Chrome 142:
- Chức năng bảo vệ chống truy cập trái phép vào hệ thống cục bộ khi tương tác với các trang web công cộng đã được kích hoạt. Khi truy cập một trang web trên mạng công cộng hoặc mạng nội bộ (intranet), Địa chỉ IP của tôi Khi truy cập vào giao diện hệ thống cục bộ hoặc giao diện loopback (127.0.0.0/8), trình duyệt sẽ hiển thị hộp thoại yêu cầu xác nhận từ người dùng. Các nỗ lực tải xuống tài nguyên, yêu cầu fetch() và chèn iframe đều được bảo vệ. Hiện tại, tính năng bảo vệ chưa được áp dụng cho các kết nối qua WebSockets, WebTransport và WebRTC, nhưng sẽ được bổ sung cho các công nghệ này sau.
Kẻ tấn công khai thác quyền truy cập tài nguyên nội bộ để thực hiện các cuộc tấn công CSRF trên bộ định tuyến, điểm truy cập, máy in, giao diện web của công ty và các thiết bị và dịch vụ khác chỉ chấp nhận yêu cầu từ mạng cục bộ. Hơn nữa, việc quét tài nguyên nội bộ có thể được sử dụng để nhận dạng gián tiếp hoặc thu thập thông tin về mạng cục bộ.
- Một giao diện đơn giản, duy nhất đã được giới thiệu để liên kết với tài khoản Google và đồng bộ hóa dữ liệu, chẳng hạn như mật khẩu đã lưu và dấu trang. Tính năng đồng bộ hóa được tích hợp với đăng nhập tài khoản và không được hiển thị như một tùy chọn riêng biệt trong cài đặt. Người dùng có thể kết nối Chrome với tài khoản Google của mình và sử dụng nó để lưu trữ mật khẩu, dấu trang, lịch sử duyệt web và các tab. Tính năng này hiện đang hoạt động với một số người dùng và sẽ được mở rộng dần dần.
- Một mô hình cách ly quy trình mới được sử dụng - “Cách ly nguồn gốc”, trong đó mỗi nguồn nội dung (nguồn gốc - một liên kết giao thức, miền Ví dụ, một trang web có tên miền là "https://foo.example.com" sẽ được tách biệt trong một tiến trình hiển thị riêng. Vì việc tăng độ chi tiết của chế độ tách biệt có thể dẫn đến tăng mức tiêu thụ bộ nhớ và tải CPU, nên chế độ tách biệt mới chỉ được kích hoạt trên các hệ thống có RAM lớn hơn 4 GB. Trên phần cứng có công suất thấp, phương pháp tách biệt cũ sẽ tiếp tục được sử dụng, phương pháp này tách biệt tất cả các nguồn nội dung khác nhau liên quan đến một trang web duy nhất (ví dụ: foo.example.com và bar.example.com) trong một tiến trình riêng biệt.
- Trên các hệ thống có Windows и macOS, в которых не применяется централизованное управление Chrome, реализовано автоматическое отключение принудительно установленных браузерных дополнений, в которых выявлены несущественные нарушения правил каталога Chrome Web Store. К несущественным нарушениям причисляется наличие потенциальных уязвимостей, навязывание дополнения без ведома пользователя, манипуляции с метаданными, нарушение правил работы с пользовательскими данными и введение в заблуждение о функциональности. При желании пользователь может вернуть отключённое дополнение.
- Trong phiên bản dành cho Android, по аналогии со сборками для десктоп-систем, реализован вывод предупреждения о мошеннических страницах, выявленных большой языковой моделью на основе анализа содержимого. Использование AI применяется в режиме расширенной защиты браузера (Enhanced Safe Browsing). AI-модель выполняется на стороне клиента, но в случае выявления подозрений на сомнительный контент, выполняется дополнительная проверка на серверах Google.
- Việc triển khai giao thức DTLS (Datagram Transport Layer Security, một giao thức tương tự TLS của UDP) được sử dụng cho các kết nối WebRTC bao gồm việc sử dụng các thuật toán mã hóa hậu lượng tử.
- Trạng thái kích hoạt, được thiết lập trong quá trình người dùng thao tác trên một trang, giờ đây được giữ nguyên sau khi điều hướng đến một trang khác trên cùng tên miền. Việc giữ nguyên trạng thái kích hoạt sẽ đơn giản hóa việc phát triển các ứng dụng web nhiều trang và giải quyết các vấn đề như thiết lập tiêu điểm nhập liệu khi trang web hiển thị bàn phím ảo.
- Các lớp giả CSS ":target-before" và ":target-after" đã được thêm vào để xác định các điểm đánh dấu trước đó và tiếp theo liên quan đến vị trí cuộn hiện tại (":target-current").
- Các container kiểu (@container) và hàm if() hiện hỗ trợ Cú pháp Phạm vi được định nghĩa trong đặc tả Truy vấn Phương tiện Cấp độ 4, cho phép sử dụng các toán tử so sánh toán học và toán tử logic tiêu chuẩn để xác định phạm vi giá trị. Ví dụ: giờ đây bạn có thể chỉ định "@container style(—inner-padding > 1em)" và "background-color: if(style(attr(data-columns, type ) > 2): xanh nhạt; khác: trắng);"
- Các phần tử " " và " " hiện hỗ trợ thuộc tính "interestfor". Thuộc tính này có thể được sử dụng để kích hoạt các hành động, chẳng hạn như hiển thị cửa sổ bật lên, khi người dùng thể hiện sự quan tâm đến phần tử. Trình duyệt nhận dạng các sự kiện như di chuột và giữ con trỏ trên phần tử, nhấn phím nóng hoặc giữ thao tác chạm trên màn hình cảm ứng như các chỉ báo về sự quan tâm. Khi một phần tử có thuộc tính "interestfor" được xác định, trình duyệt sẽ tạo ra một InterestEvent.
- Các công cụ dành cho nhà phát triển web đã được cải tiến. Nút khởi chạy nhanh cho trợ lý AI đã được thêm vào góc trên bên phải. Mục menu ngữ cảnh "Hỏi AI" đã được đổi tên thành "Gỡ lỗi bằng AI" và được mở rộng để bao gồm khả năng thực hiện các hành động tức thời tùy thuộc vào ngữ cảnh. Trong bảng điều khiển web và bảng mã, trợ lý AI Gemini giờ đây có thể tạo đề xuất bằng mã.
Các công cụ dành cho nhà phát triển web hiện đã tích hợp với Chương trình Nhà phát triển Google (GDP). Các nhà phát triển giờ đây có thể truy cập hồ sơ GDP của mình trực tiếp từ Chrome DevTools và nhận phần thưởng khi hoàn thành các nhiệm vụ cụ thể trong giao diện này.
Ngoài các tính năng mới và bản sửa lỗi, phiên bản mới còn giải quyết 20 lỗ hổng bảo mật. Nhiều lỗ hổng đã được phát hiện thông qua thử nghiệm tự động bằng AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer và AFL. Không có vấn đề nghiêm trọng nào cho phép vượt qua tất cả các lớp bảo vệ của trình duyệt và thực thi mã bên ngoài môi trường sandbox được xác định. Là một phần của chương trình tiền thưởng lỗ hổng bảo mật cho phiên bản hiện tại, Google đã thiết lập 20 khoản tiền thưởng, tổng cộng 130.000 đô la (hai khoản tiền thưởng 50.000 đô la, một khoản tiền thưởng 10000 đô la, ba khoản tiền thưởng 3000 đô la, hai khoản tiền thưởng 2000 đô la và ba khoản tiền thưởng 1000 đô la). Số tiền của tám khoản tiền thưởng vẫn chưa được xác định.
Ngoài ra, một lỗ hổng chưa được vá đã được phát hiện trong công cụ Blink, khiến trình duyệt bị sập và đơ khi thực thi một số mã JavaScript. Lỗ hổng này xuất phát từ các vấn đề về kiến trúc trong công cụ kết xuất liên quan đến việc thiếu giới hạn tốc độ cập nhật thuộc tính "document.title". Việc thiếu giới hạn này cho phép "document.title" được sử dụng để thực hiện hàng chục triệu thay đổi trên DOM mỗi giây. Điều này khiến giao diện bị đơ trong vòng vài giây do luồng chính bị chặn và tiêu tốn bộ nhớ đáng kể. Sau 15-60 giây, trình duyệt sẽ bị sập.
Nguồn: opennet.ru
