Xakep #305. Многошаговые SQL-инъекции
Google продолжает реализацию своего плана по постепенному отказу от расширений для Chrome, поддерживающих Manifest V2. Как и планировалось ранее, развертывание Manifest V3 стартует в июне 2024 года, что ослабит возможности блокировщиков рекламы и ряда других решений.
Переход начался
Хотя переход на Manifest V3 неоднократно откладывали в прошлом, на этот раз разработчики Google сообщили, что решение о начале внедрения было принято на основе фидбека сообщества, который был признан удовлетворительным и позволяет продолжить работу без дальнейших проволочек.
Начиная с сегодняшнего дня, 3 июня 2024 года, в пользователи Chrome 127 (Beta, Dev и Canary) с активными расширениями Manifest V2 начнут видеть предупреждения о скором прекращении поддержки, а расширения, по-прежнему полагающиеся на Manifest V2, потеряют значок «Featured».
Затем постепенное отключение расширений V2 распространится и на стабильный релиз Chrome, а пользователям будут рекомендованы альтернативы, поддерживающие Manifest V3. Ожидается, что люди смогут временно снова включить свои расширения Manifest V2, но вскоре эту возможность обещают убрать.
Для организаций, использующих политику ExtensionManifestV2Availability, будет действовать исключение до июня 2025 года, а потом им будет предоставлен дополнительный год для перехода на расширения, совместимые с Manifest V3.
Manifest V3
Напомним, что Manifest V3 — это новая версия платформы для расширений, которая, по словам Google, призвана повысить безопасность, конфиденциальность, производительность и общую надежность расширений для Chrome. Так, Manifest V3 должен помочь Google достичь следующих целей:
- ограничить доступ расширений к сетевым запросам пользователей;
- вынудить разработчиков включать всю функциональность в само расширение, положив конец практике удаленного размещения кода;
- перенести модификацию сетевых запросов из расширений в сам браузер;.
- заменить фоновые страницы специальными воркерами, чтобы повысить производительность браузера.
Основная проблема Manifest V3, которую сообщество обсуждает с 2018 года (1, 2, 3), заключается в том, что он создает серьезные технические проблемы для разработчиков расширений и затрудняет работу блокировщиков рекламы, антивирусов, решений для родительского контроля и различных продуктов для защиты конфиденциальности.
Из-за этого Фонд электронных рубежей (Electronic Frontier Foundation) называл Manifest V3 «лживым и опасным», заявляя, что «вряд ли Mv3 сильно повлияет на защиту [пользователей]». В более поздней статье представители EFF отмечали, что аргумент Google о «меньшем расходе ресурсов» тоже не выдерживает критики. К похожим выводам пришли и специалисты Mozilla. Так, Firefox будет поддерживать Manifest V3, но он не планирует отключать поддержку Manifest V2.
Стоит сказать, что еще в 2022 году разработчики блокировщика рекламы AdGuard детально рассказывали о том, чем чреват переход на Manifest V3, и с какими проблемами им пришлось столкнуться, создавая новую версию блокировщика. Вкратце: лимитов на правила фильтрации не хватало, синтаксис декларативных правил был сильно ограничен, пользователи не могли просматривать логи фильтрации, и нововведения взывали проблемы с производительностью.
А недавно разработчики uBlock Origin, считающегося одним из самых популярных блокировщиков рекламы, и вовсе были вынуждены создать новый проект под названием uBO Lite (uBOL), который представляет собой браузерное расширение с поддержкой Manifest V3. Хотя, вероятно, это расширение подойдет многим людям, разработчики предупредили, что более продвинутым пользователям может потребоваться настройка дополнительных параметров или предоставление дополнительных разрешений конкретным сайтам.
Одной из основных проблем является то, что наборы правил (ruleset) больше не смогут регулярно обновляться самим расширением с помощью автоматических обновлений. Вместо этого обновления будут происходить только при выходе новых версий расширений, то есть для любого обновления потребуется отправка новой версии в магазин Chrome, что может повлечь за собой проверку безопасности на несколько недель. В итоге, например, YouTube сможет мгновенно изменить свою систему доставки рекламы, но как только Manifest V3 станет обязательным, разработчики расширений не смогут отреагировать на эти изменения быстро.
Разработчики uBlock даже подготовили специальный FAQ, объясняющий разницу между текущим расширением и новой версией Manifest V3.
Скептицизм в отношении Manifest V3 в основном вызван вопросами, связанными с «фильтрацией контента», а также API блокировщиков рекламы и расширений для борьбы с отслеживанием, которые используют рекламные компании, включая Google.
Google, которая получает около 77% своих доходов от рекламы, до сих пор не представила ни одного серьезного объяснения, почему Manifest V3 ограничивает фильтрацию контента, и неясно, как это согласуется с целями по «улучшению безопасности, конфиденциальности, производительности и надежности».
Однако в Google утверждают, что прислушивались к отзывам и мнениям разработчиков и вносили необходимые улучшения в Manifest V3. Среди них: поддержка пользовательских скриптов, offscreen-документов и расширение числа разрешенных наборов правил для declarativeNetRequest.
Также среди ключевых изменений, реализованных за последнее время, в компании отмечают возможность пропуска рецензирования для обновлений правил и откатов версий, что должно обеспечить разработчикам больший контроль над обновлениями.
Google утверждает, что в результате ее действий, направленных на ускоренное внедрение Manifest V3, более 85% активно поддерживаемых расширений Chrome (включая популярные блокировщики рекламы, как AdBlock, Adblock Plus, uBlock Origin и AdGuard) уже перешли на Manifest V3 или выпустили поддерживающие его версии.
Разработчикам, чьи расширения все еще работают на Manifest V2, Google «настоятельно рекомендует» завершить миграцию в ближайшее время.
