كشفت Google عن إصدار متصفح الويب Chrome 104. وفي الوقت نفسه، يتوفر إصدار مستقر لمشروع Chromium المجاني، والذي يعمل كأساس لمتصفح Chrome. يختلف متصفح Chrome عن Chromium في استخدام شعارات Google، ووجود نظام لإرسال الإشعارات في حالة حدوث عطل، ووحدات تشغيل محتوى فيديو محمي ضد النسخ (DRM)، ونظام تثبيت التحديثات تلقائيًا، وتمكين عزل Sandbox بشكل دائم وتوفير مفاتيح لواجهة برمجة تطبيقات Google وإرسال RLZ- عند البحث عن المعلمات. بالنسبة لأولئك الذين يحتاجون إلى مزيد من الوقت للتحديث، يتم دعم الفرع المستقر الممتد بشكل منفصل، يليه 8 أسابيع. من المقرر إطلاق الإصدار التالي من Chrome 105 في 30 أغسطس.
التغييرات الرئيسية في Chrome 104:
- تم وضع حد لعمر ملفات تعريف الارتباط - سيتم حذف جميع ملفات تعريف الارتباط الجديدة أو المحدثة تلقائيًا بعد 400 يوم من وجودها، حتى إذا كان وقت انتهاء الصلاحية المحدد من خلال سمات انتهاء الصلاحية والحد الأقصى للعمر يتجاوز 400 يوم (بالنسبة لملفات تعريف الارتباط هذه، سيتم تقليل العمر الافتراضي إلى 400 يوم). ستحتفظ ملفات تعريف الارتباط التي تم إنشاؤها قبل تنفيذ التقييد بمدى صلاحيتها، حتى لو تجاوزت 400 يوم، ولكنها ستكون محدودة إذا تم تحديثها. يعكس التغيير المتطلبات الجديدة المذكورة في مسودة المواصفات الجديدة.
- تم تمكين حظر عناوين URL لـ iframe التي تشير إلى نظام الملفات المحلي ("نظام الملفات://").
- لتسريع تحميل الصفحة، تمت إضافة تحسين جديد يضمن إنشاء اتصال بالمضيف المستهدف في اللحظة التي تنقر فيها على الرابط، دون انتظار تحرير الزر أو إزالة إصبعك من شاشة اللمس.
- تمت إضافة إعدادات لإدارة واجهة برمجة التطبيقات "Topics & Interest Group"، التي يتم الترويج لها كجزء من مبادرة Privacy Sandbox، والتي تتيح لك تحديد فئات اهتمامات المستخدمين واستخدامها بدلاً من تتبع ملفات تعريف الارتباط لتحديد مجموعات من المستخدمين ذوي الاهتمامات المماثلة دون تحديد مستخدمين فرديين . بالإضافة إلى ذلك، تمت إضافة مربعات حوار إعلامية تظهر مرة واحدة، تشرح للمستخدم جوهر التكنولوجيا وتعرض تفعيل دعمها في الإعدادات.
- زيادة العتبات للحد من الاستدعاءات المتداخلة لأجهزة ضبط الوقت setTimeout وsetInterval التي تعمل بفاصل زمني أقل من 4 مللي ثانية ("setTimeout(..., <4ms)"). تمت زيادة الحد الإجمالي لمثل هذه المكالمات من 5 إلى 100، مما يجعل من الممكن عدم قطع المكالمات الفردية بقوة، ولكن في نفس الوقت منع إساءة الاستخدام التي قد تؤثر على أداء المتصفح.
- تم تمكين إرسال طلب تأكيد ترخيص CORS (مشاركة الموارد عبر الأصل) إلى خادم الموقع الرئيسي بالرأس "Access-Control-Request-Private-Network: true" عندما تصل الصفحة إلى مورد فرعي على الشبكة الداخلية (192.168.xx) ، 10.xxx، 172.16-31.xx) أو إلى المضيف المحلي (127.xxx). عند تأكيد العملية استجابة لهذا الطلب، يجب على الخادم إرجاع رأس "Access-Control-Allow-Private-Network: true". في الإصدار 104 من Chrome، لا تؤثر نتيجة التأكيد بعد على معالجة الطلب - إذا لم يكن هناك تأكيد، فسيتم عرض تحذير في وحدة تحكم الويب، ولكن لا يتم حظر طلب المورد الفرعي نفسه. لا يُتوقع تمكين الحظر بدون إقرار حتى إصدار Chrome 107. لتمكين الحظر في الإصدارات السابقة، يمكنك تمكين الإعداد "chrome://flags/#private-network-access-respect-preflight-results".
تم تقديم التحقق من السلطة بواسطة الخادم لتعزيز الحماية ضد الهجمات المتعلقة بالوصول إلى الموارد الموجودة على الشبكة المحلية أو على كمبيوتر المستخدم (المضيف المحلي) من البرامج النصية التي تم تحميلها عند فتح الموقع. يستخدم المهاجمون مثل هذه الطلبات لتنفيذ هجمات CSRF على أجهزة التوجيه ونقاط الوصول والطابعات وواجهات الويب الخاصة بالشركة وغيرها من الأجهزة والخدمات التي تقبل الطلبات من الشبكة المحلية فقط. للحماية من مثل هذه الهجمات، إذا تم الوصول إلى أي موارد فرعية على الشبكة الداخلية، فسيرسل المتصفح طلبًا صريحًا للحصول على إذن لتحميل هذه الموارد الفرعية.
- تمت إضافة آلية التقاط المنطقة التي تسمح لك بقص المحتوى غير الضروري من مقطع فيديو تم إنشاؤه بناءً على التقاط الشاشة. على سبيل المثال، باستخدام getDisplayMedia API، يمكن لتطبيق الويب دفق فيديو لمحتوى علامة التبويب، ويتيح لك Region Capture قطع جزء من المحتوى الذي يتضمن عناصر تحكم مؤتمر الفيديو.
- تمت إضافة دعم لصيغة استعلام الوسائط الجديدة المحددة في مواصفات المستوى 4 لاستعلامات الوسائط، والتي تحدد الحد الأدنى والحد الأقصى لحجم المنطقة المرئية (إطار العرض). يسمح لك بناء الجملة الجديد باستخدام عوامل المقارنة الرياضية الشائعة والعوامل المنطقية مثل "not" و"or" و"and". على سبيل المثال، بدلاً من "@media (min-width: 400px) { … }" يمكنك الآن تحديد "@media (width >= 400px) { … }".
- تمت إضافة العديد من واجهات برمجة التطبيقات الجديدة إلى وضع Origin Trials (ميزات تجريبية تتطلب تنشيطًا منفصلاً). يتضمن Origin Trial القدرة على العمل مع واجهة برمجة التطبيقات المحددة من التطبيقات التي تم تنزيلها من المضيف المحلي أو 127.0.0.1 ، أو بعد التسجيل واستلام رمز خاص صالح لفترة محدودة لموقع معين.
- تمت إضافة خاصية "Focusgroup" لخاصية CSS لتحسين التنقل عبر العناصر باستخدام مفاتيح الأسهم على لوحة المفاتيح.
- توفر واجهة برمجة التطبيقات لتأكيد الدفع الآمن للمستخدم القدرة على تعطيل متجر إعدادات بطاقة الائتمان. لعرض مربع حوار يسمح لك برفض حفظ معلمات بطاقة الائتمان، يوفر مُنشئ PaymentRequest() العلامة "showOptOut: true".
- تمت إضافة واجهة برمجة تطبيقات Shared Element Transitions، التي تسمح لك بتنظيم انتقال سلس بين طرق عرض المحتوى المختلفة في تطبيقات الويب ذات الصفحة الواحدة.
- تم تثبيت دعم قواعد المضاربة، مما يسمح لمؤلفي مواقع الويب بتزويد المتصفح بمعلومات حول الصفحات الأكثر احتمالية التي يمكن للمستخدم الانتقال إليها. يستخدم المتصفح هذه المعلومات لتحميل محتوى الصفحة وعرضه بشكل استباقي.
- تم تثبيت آلية تجميع الموارد الفرعية في حزم بتنسيق Web Bundle، مما يسمح بزيادة كفاءة تحميل عدد كبير من الملفات المصاحبة (أنماط CSS، وJavaScript، والصور، وiframes). على عكس الحزم بتنسيق Webpack، يتمتع تنسيق Web Bundle بالمزايا التالية: ليست الحزمة نفسها هي التي يتم تخزينها في ذاكرة التخزين المؤقت HTTP، ولكن الأجزاء المكونة لها؛ يبدأ تجميع JavaScript وتنفيذه دون انتظار تنزيل الحزمة بالكامل؛ يُسمح بتضمين موارد إضافية مثل CSS والصور، والتي يجب ترميزها في حزمة الويب في شكل سلاسل JavaScript.
- تمت إضافة خاصية object-view-box في CSS، والتي تتيح لك تحديد جزء من الصورة التي سيتم عرضها في المنطقة بدلاً من عنصر معين، والذي يمكن استخدامه، على سبيل المثال، لإضافة حد أو ظل.
- تمت إضافة واجهة برمجة التطبيقات (API) لتفويض قدرة ملء الشاشة، مما يسمح لكائن نافذة واحد بتفويض كائن نافذة آخر بالحق في استدعاء requestFullscreen().
- تمت إضافة واجهة برمجة تطبيقات النافذة المصاحبة لملء الشاشة، مما يسمح بوضع محتوى ملء الشاشة والنوافذ المنبثقة على شاشة أخرى بعد تلقي التأكيد من المستخدم.
- تمت إضافة سمة visual-box إلى خاصية CSS overflow-clip-margin، والتي تحدد مكان بدء قطع المحتوى الذي يتجاوز حدود المنطقة (يمكن أن تأخذ القيم content-box وpadding-box و border- صندوق).
- أضافت Async Clipboard API القدرة على تحديد التنسيقات المتخصصة للبيانات المنقولة عبر الحافظة، بخلاف النص والصور والنص مع العلامات.
- يوفر WebGL الدعم لتحديد مساحة اللون للمخزن المؤقت للعرض والتحويل عند الاستيراد من مادة.
- تم إيقاف دعم الأنظمة الأساسية OS X 10.11 وmacOS 10.12.
- تم إيقاف واجهة برمجة تطبيقات U2F (Cryptotoken)، التي تم إهمالها وتعطيلها مسبقًا بشكل افتراضي. تم استبدال واجهة برمجة تطبيقات U2F بواجهة برمجة تطبيقات مصادقة الويب.
- تم إجراء تحسينات على الأدوات لمطوري الويب. يتمتع مصحح الأخطاء الآن بالقدرة على إعادة تشغيل التعليمات البرمجية من بداية الوظيفة بعد الوصول إلى نقطة توقف في مكان ما في نص الوظيفة. تمت إضافة دعم لتطوير الوظائف الإضافية للوحة المسجل. تمت إضافة دعم لتصور العلامات المحددة في تطبيق ويب من خلال استدعاء طريقة Performance.measure() إلى لوحة تحليل الأداء. توصيات محسنة للإكمال التلقائي لخصائص كائن JavaScript. عند الإكمال التلقائي لمتغيرات CSS، يتم توفير معاينات للقيم غير المرتبطة بالألوان.
بالإضافة إلى الابتكارات وإصلاحات الأخطاء، يزيل الإصدار الجديد 27 نقطة ضعف. تم التعرف على العديد من نقاط الضعف نتيجة للاختبار الآلي باستخدام أدوات AddressSanitizer وMemorySanitizer وControl Flow Integrity وLibFuzzer وAFL. لم يتم تحديد أي مشكلات حرجة من شأنها أن تسمح بتجاوز جميع مستويات حماية المتصفح وتنفيذ التعليمات البرمجية على النظام خارج بيئة وضع الحماية. كجزء من برنامج المكافآت النقدية لاكتشاف الثغرات الأمنية للإصدار الحالي، دفعت جوجل 22 جائزة بقيمة 84 ألف دولار (جائزة واحدة بقيمة 15000 دولار، جائزة واحدة بقيمة 10000 دولار، جائزة واحدة بقيمة 8000 دولار، جائزة واحدة بقيمة 7000 دولار، أربع جوائز بقيمة 5000 دولار، جائزة واحدة بقيمة 4000 دولار، ثلاث جوائز بقيمة 3000 دولار وأربع جوائز بقيمة 2000 دولار أمريكي وثلاث جوائز بقيمة 1000 دولار أمريكي). ولم يتم تحديد حجم المكافأة الواحدة بعد.
المصدر: opennet.ru