TV sat club

Разделение Chrome и ChromeOS и переход на Lacros в качестве браузера по умолчанию на Chromebook позволит Google обеспечить более эффективный процесс обновления и упростить внесение исправлений для браузера. В настоящее время для внесения любых, даже незначительных изменений в браузере необходимо производить полное обновление ChromeOS. Это может стать серьёзной проблемой, когда необходимо оперативно исправить критическую уязвимость интернет-обозревателя.

Использование Lacros, как ожидается, позволит упростить процесс обновления в будущих версиях ChromeOS. Новый браузер представляет собой версию Chrome для Linux с улучшенной поддержкой интерфейса Wayland. Согласно документации Google, Lacros означает «Linux And Chrome OS», то есть он предложит пользователям те же возможности, что и браузер Chrome.

Обычно Google выпускает крупные обновления (т.е. обновление версии, например, с 115 до 116) для стабильного канала Chrome раз в четыре недели. В течение месяца между текущей и следующей стабильной версией браузера Chrome получает обновления безопасности (и экстренные обновления), устраняющее уязвимости, которые были найдены в браузере. Такие обновления безопасности стали выходить раз в две недели с момента выхода Chrome 77 в 2020 году.

Google считает, что открытость проекта Chromium позволяет сторонним разработчикам находить ошибки и предлагать их исправления, но в то же время создает серьезную проблему. Злоумышленники, следящие за ситуацией, могут узнать о новых уязвимостях и разработать эксплойты для незащищенных версий браузера. Это не угрозы «нулевого дня», поскольку Google уже знает об этих недостатках, а так называемые n-day эксплойты. Поскольку выпуск патчей безопасности занимает несколько недель, многие пользователи могут быть подвержены воздействию этих n-day эксплойтов. Компания Google стремится минимизировать последствия таких угроз.

Компания Apple недавно начала тестировать систему «Быстрый ответ на угрозы», позволяющую оперативно устранять уязвимости в системе безопасности, не дожидаясь ежемесячного обновления iOS, iPadOS и macOS. Это позволит пользователям гораздо быстрее защитить свои устройства от угроз «нулевого дня». Аналогичным образом Google хочет поступить и с браузером Chrome, перейдя на более быстрый цикл обновления системы безопасности.

Google Chrome станет получать обновления безопасности каждую неделю

Компания Google официально объявила о том, что обновления системы безопасности для Chrome будут выходить еженедельно, а не раз в две недели. Это позволит сократить время использования уязвимостей хакерами и быстрее защитить пользователей от угроз. Еженедельные исправления безопасности для Chrome будут включать в себя исправления всех критических ошибок и ошибок высокой степени серьезности, обнаруженных в предыдущей сборке браузера. Короткий цикл обновлений поможет Google предотвратить незапланированные обновления (экстренные обновления). Переход на еженедельные исправления безопасности произойдет сразу после выхода Chrome 116 15 августа 2023 года.

Данное изменение может положительно сказаться на других браузерах на базе Chromium, таких как Microsoft Edge, Brave, Opera и Vivaldi. Они также смогут получать обновления безопасности быстрее, но, в конечном итоге, все будет зависеть от частоты выпуска обновлений безопасности в этих браузерах.

В публикации Google сообщается , что компания также тестирует новый баннер уведомления об обновлениях Chrome. Чтобы привлечь внимание пользователя, браузер будет отображать сообщения: «Завершите обновление», «Перезапустите браузер для обновления», «Доступна новая версия Chrome». Этот баннер-уведомление распространяется в экспериментальном порядке на 1% пользователей.

Расширения — отличный способ расширить возможности браузера, но и инструмент, которым порой злоупотребляют хакеры: некоторые расширения крадут пароли и показывают пользователям рекламу. В попытке оградить пользователей от них Google постоянно удаляет вредоносы из магазина, но это едва ли помогает тем, у кого они уже установлены — таким пользователям приходится удалять их самостоятельно. Иногда не происходит и этого — люди просто игнорируют новости об опасных расширениях.



Поэтому в Google решили уведомлять пользователей, что используемые ими расширения были удалены из магазина Chrome. Обычно эта мера применяется к вредоносным продуктам. Протестировать функцию можно в Chrome 116, перейдя по адресу «chrome://flags/#safety-check-extensions» и активировав соответствующую опцию. В будущем она перекочует в раздел настроек «Конфиденциальность и безопасность». При переходе сюда будут показываться все установленные расширения, удалённые из магазина, а также причины их удаления.

На функцию преобразования текста в речь в режиме чтения обратил внимание пользователь соцсети X (бывшей Twitter) Leopeva64 — она обнаружилась в предварительной сборке Chrome Canary. При открытии страницы в режиме чтения в верхней области страницы появляется кнопка воспроизведения, при нажатии на которую голосовой синтезатор Google озвучивает открытый текст.

Судя по опубликованному видео с демонстрацией новой функции, её возможности пока изрядно ограничены: голос очень похож на робота, а, слова, написанные заглавными буквами, он воспринимает как аббревиатуры и читает их по буквам, а не целиком. Функция пока доступна лишь для части пользователей, и нет ясности, в каком виде она доберётся до общедоступной версии браузера. Но едва ли есть причины сомневаться, что это произойдёт — возможность уже реализована в Microsoft Edge.

Преобразование текста в речь в режиме чтения окажется востребованной функцией среди людей, которые лучше воспринимают информацию на слух. И хочется надеяться, что к выходу общедоступной версии Google Chrome с такой возможностью голос будет звучать несколько живее, чем сейчас.

WebP поддерживается многочисленными браузерами на базе Chromium, включая Edge, Opera и Vivaldi, а также редакторами изображения. В Google заявили, что пока не станут публиковать подробности о выявленной уязвимости — компании придётся подождать, когда Chrome обновится у большинства пользователей. Впрочем, и этим дело не ограничится: разработчик будет какое-то время хранить молчание, если выяснится, что уязвимость коснулась библиотеки для обработки WebP, которая используется в других проектах.

Из разработчиков сторонних браузеров комментарий предоставил только представитель проекта Vivaldi — он заявил, что проект внимательно отслеживает базу Chromium и предпринимает срочные меры при выпуске обновлений безопасности, иногда реагируя в тот же день. Что же касается природы уязвимости, эксплойты, связанные с переполнением буфера, обычно приводят к сбоям в работе ПО или позволяют запускать произвольный код.

Файлы cookie называют сторонними, если они создаются на компьютере пользователя при посещении одного веб-сайта и оказываются доступны другому. При помощи этого механизма рекламные платформы и социальные сети отслеживают, чем занимается пользователь, просматривая страницы в интернете, создают профиль его интересов и на его основе показывают ему целевую рекламу. Google подробно описала, как будет реализовываться отказ от сторонних cookie — на начальном этапе в I квартале 2024 года они начнут блокироваться для 1 % пользователей стабильной версии Chrome. Аудитория браузера, по некоторым оценкам, составляет более 3 млрд пользователей, а значит, нововведение ощутят на себе 30 млн человек.
На смену сторонним cookie придёт новый механизм под названием Privacy Sandbox. Это целый набор инструментов, принцип работы которых состоит в том, что интересы пользователей теперь отслеживает сам браузер, и при выводе рекламы таргетирование осуществляется опросом браузера через вызовы API. Полное внедрение технологии Privacy Sandbox запланировано на III квартал 2024 года, но окончательный срок может измениться — технологию продолжает изучать британское Управление по конкуренции и рынкам (CMA), которое ещё не огласило своего решения. На время переходного периода Google предлагает веб-мастерам использовать механизмы проверки: если сторонние файлы cookie недоступны, то подключать API Privacy Sandbox.
По версии Google, работа с API помогает защитить конфиденциальность пользователей, но некоторые рекламные сети этого мнения не разделяют. Они говорят, что Google фактически вынуждает весь интернет переходить на её технологию и тем самым лишает владельцев сайтов, маркетологов и рекламные агентства использовать собственные решения при таргетировании рекламы и оценке эффективности кампаний. Есть также мнение, что пользователям интернета лучше перейти на браузеры Firefox или Safari, которые уже отключили поддержку сторонних cookie и не собираются внедрять механизмы Privacy Sandbox.

Google известно о случаях эксплуатации CVE-2023-6345 в реальных атаках.Хотя в бюллетени указано, что развертывание обновления может занять несколько дней, для большинства пользователей оно стало доступно сразу.

Chrom автоматически проверит наличие новых обновлений и установит их после следующего запуска.

Уязвимость могла использоваться в шпионских программах
Данная уязвимость высокого риска связана с целочисленным переполнением в библиотеке 2D-графики с открытым исходным кодом Skia. Эксплуатация уязвимости создает различные риски, начиная от сбоев и заканчивая выполнением произвольного кода (Skia также используется в качестве графического движка в других продуктах, таких как ChromeOS, Android и Flutter).

Об ошибке стало известно в пятницу, 24 ноября. О ней сообщили Бенуа Севенс (Benoit Sevens) и Клеман Лесинь (Clement Lecigne), исследователи безопасности из группы анализа угроз Google (TAG).

TAG обнаруживает угрозы «нулевого дня», которые часто используются проправительственными хакерскими группировками в шпионских кампаниях, нацеленных на журналистов и оппозиционных политиков.

Подробная информация о уязвимости не будет раскрыта, пока большинство пользователей не обновят свои устройства. Если уязвимость затронет стороннее ПО, то секретность будет соблюдаться дольше.

В Google отметили:

Цитировать

Доступ к детальным сведениям об ошибке и ссылкам может быть ограничен до тех пор, пока большинство пользователей не получат обновление с исправлением. Мы также сохраним ограничения, если ошибка существует в сторонней библиотеке, от которой аналогичным образом зависят другие проекты, но еще не исправлены.

Политика утаивания информация снижает вероятность того, что злоумышленники разработают свои собственные эксплойты CVE-2023-6345, воспользовавшись технической информацией об уязвимости.

В сентябре Google обнаружила еще две уязвимости «нулевого дня» (CVE-2023-5217 и CVE-2023-4863), используемые в атаках. Это были четвертая и пятая по счету уязвимости «нулевого дня» в этом году.