Die Leerlauferkennungs-API in Chrome 94 hat eine Welle der Kritik ausgelöst

Beim Start der Chrome-Version 94 se die Standardeinbindung der Leerlauferkennungs-API vorgenommen, was mit Links zu Einwänden der Entwickler von Firefox und WebKit/Safari eine Welle der Kritik ausgelöst hat.

Die Leerlauferkennungs-API ermöglicht es Websites zu erkennen, wenn ein Benutzer inaktiv ist, das heißt, es interagiert nicht mit der Tastatur / Maus oder funktioniert auf einem anderen Monitor. Die API informiert Sie auch darüber, ob der Bildschirmschoner auf dem System ausgeführt wird oder nicht. Inaktivitätsbenachrichtigung erfolgt durch Senden einer Benachrichtigung nach Erreichen eines vorbestimmten Inaktivitätsschwellenwerts, dessen Mindestwert auf 1 Minute festgelegt ist.

Es ist wichtig, dies zu berücksichtigen Die Verwendung der Leerlauferkennungs-API erfordert die explizite Gewährung von Benutzeranmeldeinformationend. h., wenn die Anwendung zum ersten Mal versucht, die Tatsache der Inaktivität festzustellen, wird dem Benutzer ein Fenster mit einem Vorschlag angezeigt, Berechtigungen zu erteilen oder den Vorgang zu blockieren.

Chat-Anwendungen, soziale Netzwerke und Kommunikation werden Anwendungen genannt, die kann den Status des Benutzers basierend auf seiner Anwesenheit auf dem Computer ändern oder die Anzeige von Benachrichtigungen verschieben neuer Nachrichten bis zum Eintreffen des Benutzers.

Die API kann auch in anderen Anwendungen verwendet werden, um nach einer bestimmten Zeit der Inaktivität zum ursprünglichen Bildschirm zurückzukehren oder interaktive, ressourcenintensive Vorgänge zu deaktivieren, z. B. das Neuzeichnen komplexer Diagramme, die ständig aktualisiert werden, wenn der Benutzer nicht auf dem Bildschirm ist. Rechner.

Die Position derjenigen, die gegen die Aktivierung der API sind inaktive Erkennung es läuft darauf hinaus, dass Informationen darüber, ob sich der Benutzer am Computer befindet oder nicht, als vertraulich betrachtet werden können. Neben nützlichen Zwecken kann diese API auch nicht für gute Zwecke verwendet werden, um beispielsweise zu versuchen, Schwachstellen während der Abwesenheit des Benutzers auszunutzen oder um sichtbare bösartige Aktivitäten wie Mining zu verbergen.

Verwenden Sie die betreffende API, auch Informationen über Verhaltensmuster können gesammelt werden des Benutzers und den täglichen Arbeitsrhythmus. So können Sie beispielsweise herausfinden, wann ein Benutzer normalerweise zum Mittagessen geht oder den Arbeitsplatz verlässt. Im Rahmen einer obligatorischen Bestätigungsanfrage für eine Autorisierung erachtet Google diese Bedenken als irrelevant.

Um die Leerlauferkennungs-API vollständig zu deaktivieren, wird im Abschnitt "Datenschutz und Sicherheit" der Einstellungen ("chrome: // settings / content / IdleDetection") eine spezielle Option bereitgestellt.

Zusätzlich wir müssen einen Hinweis der Chrome-Entwickler über die Weiterentwicklung neuer Techniken berücksichtigen, um eine sichere Speicherverwaltung zu gewährleisten. Laut Google werden 70 % der Sicherheitsprobleme in Chrome durch Speicherfehler verursacht, etwa durch die Nutzung nach freiem Zugriff auf einen Puffer. Drei Hauptstrategien für den Umgang mit solchen Fehlern werden identifiziert: Verschärfung der Kompilierzeitprüfungen, Blockierung von Laufzeitfehlern und Verwendung einer speichersicheren Sprache.

Es wird berichtet, dass Experimente haben begonnen, die Chromium-Codebasis um die Möglichkeit zu erweitern, Komponenten in der Sprache Rust zu entwickeln. Der Rust-Code ist noch nicht in den Kompilierungen enthalten, die den Benutzern zur Verfügung gestellt werden, und sein Hauptziel besteht darin, die Möglichkeit zu testen, einzelne Teile des Browsers in Rust zu entwickeln und mit den übrigen in C++ geschriebenen Teilen zu integrieren.

Parallel dazu entwickelt das Projekt für den C++-Code die Entwicklung unter Verwendung des MiraclePtr-Typs anstelle von Rohzeigern, um die Möglichkeit der Ausnutzung von Schwachstellen zu blockieren, die durch den Zugriff auf bereits freigegebene Speicherblöcke verursacht werden, und es werden neue Methoden vorgeschlagen, um Fehler in der Phase zu erkennen Zusammenstellung.

Zusätzlich Google startet ein Experiment, um einen möglichen Website-Ausfall zu testen nachdem der Browser statt zwei eine dreistellige Version erreicht hat.

Insbesondere die Einstellung "chrome: // flags # force-major-version-to-100" erschien in den Chrome 96-Testversionen, wenn im User-Agent-Header angegeben, wird Version 100 (Chrome / 100.0.4650.4) angezeigt. Im August wurde ein ähnliches Experiment in Firefox durchgeführt, das auf einigen Seiten Probleme beim Umgang mit dreistelligen Versionen aufdeckte.