كشفت Google عن إصدار متصفح الويب Chrome 105. وفي الوقت نفسه، يتوفر إصدار مستقر لمشروع Chromium المجاني، والذي يعمل كأساس لمتصفح Chrome. يختلف متصفح Chrome عن Chromium في استخدام شعارات Google، ووجود نظام لإرسال الإشعارات في حالة حدوث عطل، ووحدات تشغيل محتوى فيديو محمي ضد النسخ (DRM)، ونظام تثبيت التحديثات تلقائيًا، وتمكين عزل Sandbox بشكل دائم وتوفير مفاتيح لواجهة برمجة تطبيقات Google وإرسال RLZ- عند البحث عن المعلمات. بالنسبة لأولئك الذين يحتاجون إلى مزيد من الوقت للتحديث، يتم دعم الفرع المستقر الممتد بشكل منفصل، يليه 8 أسابيع. من المقرر إطلاق الإصدار التالي من Chrome 106 في 27 سبتمبر.
التغييرات الرئيسية في Chrome 105:
- تم إيقاف دعم تطبيقات الويب المتخصصة، وتم استبدال Chrome Apps بتطبيقات ويب مستقلة تعتمد على تقنية تطبيقات الويب التقدمية (PWA) وواجهات برمجة تطبيقات الويب القياسية. أعلنت شركة جوجل في البداية عن نيتها التخلي عن تطبيقات Chrome في عام 2016 وخططت للتوقف عن دعمها حتى عام 2018، لكنها قامت بعد ذلك بتأجيل هذه الخطة. في Chrome 105، عندما تحاول تثبيت تطبيقات Chrome، ستتلقى تحذيرًا بأنها لن تكون مدعومة بعد الآن، ولكن التطبيقات ستستمر في التشغيل. في Chrome 109، سيتم تعطيل القدرة على تشغيل تطبيقات Chrome.
- تم توفير عزل إضافي لعملية العرض، المسؤولة عن العرض. يتم تنفيذ هذه العملية الآن في حاوية إضافية (App Container)، يتم تنفيذها أعلى نظام عزل وضع الحماية الحالي. إذا تم استغلال ثغرة أمنية في كود العرض، فإن القيود المضافة ستمنع المهاجم من الوصول إلى الشبكة عن طريق منع الوصول إلى مكالمات النظام المتعلقة بقدرات الشبكة.
- تم تنفيذ التخزين الموحد الخاص بها للشهادات الجذرية لسلطات التصديق (Chrome Root Store). لم يتم تمكين المتجر الجديد افتراضيًا بعد، وحتى اكتمال التنفيذ، سيستمر التحقق من الشهادات باستخدام متجر خاص بكل نظام تشغيل. يذكرنا الحل الذي يتم اختباره بنهج موزيلا، الذي يحتفظ بمخزن شهادات جذر مستقل منفصل لمتصفح فايرفوكس، يستخدم كرابط أول للتحقق من سلسلة الثقة بالشهادة عند فتح المواقع عبر HTTPS.
- بدأت الاستعدادات لإهمال واجهة برمجة تطبيقات Web SQL، وهي غير قياسية وغير مستخدمة إلى حد كبير، وتتطلب إعادة تصميم لتلبية متطلبات الأمان الحديثة. يمنع Chrome 105 الوصول إلى Web SQL من التعليمات البرمجية التي تم تحميلها دون استخدام HTTPS، ويضيف أيضًا تحذيرًا بالإهمال إلى DevTools. من المقرر إزالة Web SQL API في عام 2023. بالنسبة للمطورين الذين يحتاجون إلى مثل هذه الوظيفة، سيتم إعداد بديل يعتمد على WebAssembly.
- لم تعد مزامنة Chrome تدعم المزامنة مع Chrome 73 والإصدارات السابقة.
- بالنسبة لنظامي التشغيل macOS وWindows، يتم تنشيط عارض الشهادات المدمج، والذي يحل محل استدعاء الواجهة التي يوفرها نظام التشغيل. في السابق، كان العارض المدمج يُستخدم فقط في إصدارات Linux وChromeOS.
- يضيف إصدار Android إعدادات لإدارة واجهة برمجة تطبيقات Topics & Interest Group، التي يتم الترويج لها كجزء من مبادرة Privacy Sandbox، والتي تتيح لك تحديد فئات اهتمامات المستخدم واستخدامها بدلاً من تتبع ملفات تعريف الارتباط لتحديد مجموعات من المستخدمين ذوي الاهتمامات المماثلة دون تحديد هوية الأفراد. المستخدمين. في الإصدار الأخير، تمت إضافة إعدادات مماثلة إلى إصدارات Linux وChromeOS وmacOS وWindows.
- عندما تقوم بتمكين الحماية المحسنة للمتصفح (التصفح الآمن > الحماية المحسنة)، يتم جمع بيانات القياس عن بعد حول الوظائف الإضافية المثبتة، والوصول إلى واجهة برمجة التطبيقات (API)، والاتصالات بالمواقع الخارجية. يتم استخدام هذه البيانات على خوادم Google لاكتشاف الأنشطة الضارة وانتهاك القواعد عن طريق الوظائف الإضافية للمتصفح.
- تم إهماله وسيتم حظر استخدام الأحرف غير ASCII في النطاقات المحددة في رأس ملف تعريف الارتباط في Chrome 106 (بالنسبة لنطاقات IDN، يجب أن تكون النطاقات بتنسيق punycode). سيؤدي هذا التغيير إلى جعل المتصفح متوافقًا مع RFC 6265bis والسلوك المطبق في Firefox.
- تم اقتراح واجهة برمجة تطبيقات Custom Highlight، وهي مصممة لتغيير نمط المناطق المحددة من النص بشكل تعسفي وتسمح لك بعدم التقيد بالنمط الثابت الذي يوفره المتصفح للمناطق المميزة (::selection، ::inactive-selection) والتمييز من الأخطاء النحوية (::خطأ إملائي، ::خطأ نحوي-). قدم الإصدار الأول من واجهة برمجة التطبيقات (API) دعمًا لتغيير ألوان النص والخلفية باستخدام العناصر الزائفة للون ولون الخلفية، ولكن سيتم إضافة خيارات تصميم أخرى في المستقبل.
وكمثال على المهام التي يمكن حلها باستخدام واجهة برمجة التطبيقات الجديدة، تمت الإشارة إلى الإضافة إلى أطر الويب التي توفر أدوات لتحرير النص، وآليات اختيار النص الخاصة بها، وإبراز مختلف للتحرير المشترك المتزامن من قبل العديد من المستخدمين، والبحث في المستندات الافتراضية ووضع علامة على الأخطاء عند التدقيق الإملائي . إذا كان إنشاء تمييز غير قياسي يتطلب في السابق عمليات معالجة معقدة باستخدام شجرة DOM، فإن Custom Highlight API توفر عمليات جاهزة لإضافة وإزالة التمييز الذي لا يؤثر على بنية DOM وتطبيق الأنماط فيما يتعلق بكائنات النطاق.
- تمت إضافة استعلام "@container" إلى CSS، مما يسمح بتصميم العناصر بناءً على حجم العنصر الأصلي. يشبه "@container" استعلامات "@media"، ولكن لا يتم تطبيقه على حجم المنطقة المرئية بأكملها، ولكن على حجم الكتلة (الحاوية) التي تم وضع العنصر فيها، مما يسمح لك بتعيين الخاص بك منطق اختيار النمط للعناصر الفرعية، بغض النظر عن مكان وضع العنصر بالضبط في الصفحة.
- تمت إضافة فئة زائفة لـ CSS ":has()" للتحقق من وجود عنصر فرعي في العنصر الأصلي. على سبيل المثال، "p:has(span)" يمتد عبر العناصر ، بداخله يوجد عنصر .
- تمت إضافة HTML Sanitizer API، الذي يسمح لك بقطع العناصر من المحتوى التي تؤثر على العرض والتنفيذ أثناء الإخراج عبر طريقة setHTML(). يمكن أن تكون واجهة برمجة التطبيقات (API) مفيدة لتنظيف البيانات الخارجية لإزالة علامات HTML التي يمكن استخدامها لتنفيذ هجمات XSS.
- من الممكن استخدام Streams API (ReadableStream) لإرسال طلبات الجلب قبل تحميل نص الاستجابة، أي. يمكنك البدء في إرسال البيانات دون انتظار اكتمال إنشاء الصفحة.
- بالنسبة لتطبيقات الويب المستقلة المثبتة (PWA، تطبيق الويب التقدمي)، من الممكن تغيير تصميم منطقة عنوان النافذة باستخدام مكونات Window Controls Overlay، التي تعمل على توسيع منطقة شاشة تطبيق الويب لتشمل النافذة بأكملها و جعل من الممكن إعطاء تطبيق الويب مظهر تطبيق سطح المكتب العادي. يمكن لتطبيق الويب التحكم في عرض ومعالجة المدخلات في النافذة بأكملها، باستثناء كتلة التراكب باستخدام أزرار التحكم القياسية في النافذة (إغلاق، تصغير، تكبير).
- تم تثبيت القدرة على الوصول إلى ملحقات مصدر الوسائط من العاملين المخصصين (في سياق DedicatedWorker)، والتي يمكن استخدامها، على سبيل المثال، لتحسين أداء التشغيل المخزن مؤقتًا لبيانات الوسائط المتعددة عن طريق إنشاء كائن MediaSource في عامل منفصل وبث نتائج عملها إلى HTMLMediaElement في الموضوع الرئيسي .
- في Client Hints API، التي يتم تطويرها لتحل محل رأس User-Agent وتسمح لك بتقديم بيانات بشكل انتقائي حول معلمات متصفح ونظام معينة (الإصدار، النظام الأساسي، وما إلى ذلك) فقط بعد طلب من الخادم، دعم Sec - تمت إضافة خاصية CH-Viewport-Heigh مما يتيح لك الحصول على معلومات حول ارتفاع المنطقة المرئية. تم تغيير تنسيق الترميز لإعداد معلمات تلميحات العميل للموارد الخارجية في علامة "الوصف": سابقًا: أصبح:
- تمت إضافة القدرة على إنشاء معالجات أحداث onbeforeinput عامة (document.documentElement.onbeforeinput)، والتي يمكن لتطبيقات الويب من خلالها تجاوز السلوك عند تحرير النص في الكتل , والعناصر الأخرى التي تحتوي على مجموعة السمات "القابلة للتفاوض"، قبل أن يقوم المتصفح بتغيير محتوى العنصر وشجرة DOM.
- تم توسيع إمكانيات واجهة برمجة تطبيقات التنقل، مما يسمح لتطبيقات الويب باعتراض عمليات التنقل في النافذة، وبدء عملية انتقال وتحليل سجل الإجراءات مع التطبيق. تمت إضافة طرق جديدة اعتراض () لاعتراض الانتقال والتمرير () للتمرير إلى موضع معين.
- تمت إضافة الطريقة الثابتة Response.json()، والتي تسمح لك بإنشاء نص استجابة بناءً على بيانات من نوع JSON.
- تم إجراء تحسينات على الأدوات لمطوري الويب. في مصحح الأخطاء، عند تشغيل نقطة توقف، يُسمح بتحرير الوظائف العليا في المكدس، دون مقاطعة جلسة تصحيح الأخطاء. تدعم لوحة Recorder، التي تسمح لك بتسجيل إجراءات المستخدم وتشغيلها وتحليلها على الصفحة، نقاط التوقف والتشغيل خطوة بخطوة وتسجيل أحداث تمرير الماوس.
تمت إضافة مقاييس LCP (أكبر رسم محتوى) إلى لوحة معلومات الأداء لتحديد التأخيرات عند عرض عناصر كبيرة (مرئية للمستخدم) في المنطقة المرئية، مثل الصور ومقاطع الفيديو وعناصر الكتلة. في لوحة العناصر، يتم تمييز الطبقات العليا المعروضة فوق المحتوى الآخر برمز خاص. يوفر WebAssembly القدرة على تحميل بيانات تصحيح الأخطاء بتنسيق DWARF.
بالإضافة إلى الابتكارات وإصلاحات الأخطاء، يزيل الإصدار الجديد 24 نقطة ضعف. تم التعرف على العديد من نقاط الضعف نتيجة للاختبار الآلي باستخدام أدوات AddressSanitizer وMemorySanitizer وControl Flow Integrity وLibFuzzer وAFL. لم يتم تحديد أي مشكلات حرجة من شأنها أن تسمح بتجاوز جميع مستويات حماية المتصفح وتنفيذ التعليمات البرمجية على النظام خارج بيئة وضع الحماية. كجزء من برنامج دفع مكافآت نقدية لاكتشاف الثغرات الأمنية للإصدار الحالي، دفعت جوجل 21 جائزة بقيمة 60500 دولار أمريكي (جائزة واحدة بقيمة 10000 دولار أمريكي، جائزة واحدة بقيمة 9000 دولار أمريكي، جائزة واحدة بقيمة 7500 دولار أمريكي، جائزة واحدة بقيمة 7000 دولار أمريكي، جائزتين بقيمة 5000 دولار أمريكي، أربع جوائز بقيمة 3000 دولار أمريكي، جائزتين ).2000 دولار ومكافأة واحدة 1000 دولار). ولم يتم تحديد حجم المكافآت السبع بعد.
المصدر: opennet.ru