Кампанія Google прадставіла рэліз web-браўзэра Chrome 100. Адначасова даступны стабільны выпуск вольнага праекта Chromium, які выступае асновай Chrome. Браўзэр Chrome адрозніваецца выкарыстаннем лагатыпаў Google, наяўнасцю сістэмы адпраўкі апавяшчэнняў у выпадку краху, модулямі для прайгравання абароненага ад капіявання відэакантэнту (DRM), сістэмай аўтаматычнай усталёўкі абнаўленняў і перадачай пры пошуку RLZ-параметраў. Наступны выпуск Chrome 101 запланаваны на 26 красавіка.
Асноўныя змены ў Chrome 100:
- У сувязі з дасягненнем браўзэрам нумара версіі 100, якая складаецца з трох лічбаў замест дзвюх, не выключаны парушэнні ў рабоце некаторых сайтаў, якія выкарыстоўваюць некарэктныя бібліятэкі для разбору значэння User-Agent. На выпадак узнікнення праблем прадугледжана настройка "chrome://flags##force-major-version-to-minor", якая дазваляе вярнуць выснову ў загалоўку User-Agent версіі 99 пры фактычным выкарыстанні версіі 100.
- Chrome 100 адзначаны як апошняя версія з паўнавартаснымі зместам User-Agent. У наступным выпуску пачнецца зразанне інфармацыі ў HTTP-загалоўку User-Agent і JavaScript параметрах navigator.userAgent, navigator.appVersion і navigator.platform. У загалоўку будуць пакінуты толькі звесткі аб назве браўзэра, значнай версіі браўзэра, платформе і тыпе прылады (мабільны тэлефон, ПК, планшэт). Для атрымання дадатковых дадзеных, такіх як дакладная версія і пашыраныя дадзеныя аб платформе, неабходна будзе выкарыстоўваць API User Agent Client Hints. Для сайтаў, якім новай інфармацыі недастаткова і якія яшчэ не гатовы перайсці на User Agent Client Hints, да мая 2023 прадастаўлена магчымасць вяртання поўнага User-Agent.
- Дададзена эксперыментальная магчымасць паказу ў панэлі з адрасным радком індыкатара загрузак, пры кліку на які паказваецца стан загружаных і загружаных файлаў па аналогіі са старонкай chrome://downloads. Для актывацыі індыкатара прадугледжана настройка "chrome://flags#download-bubble".
- Вернута магчымасць адключэння гуку пры кліку на індыкатар прайгравання, які паказваецца на кнопцы ўкладкі (раней гук можна было адключыць праз выклік кантэкстнага меню). Для ўключэння дадзенай магчымасці дададзена настройка "chrome://flags#enable-tab-audio-muting".
- Дададзена настройка "chrome://flags/#enable-lens-standalone" для адключэння прымянення сэрвісу Google Lens для пошуку па выяве (пункт "Знайсці малюнак" у кантэкстным меню).
- Пры прадастаўленні сумеснага доступу да ўкладкі (tab-sharing) сіняй рамкай зараз вылучаецца не ўся ўкладка, а толькі частка з трансляваным іншаму карыстачу змесцівам.
- Зменены лагатып браўзэра. Ад варыянту 2014 года новы лагатып адрозніваецца крыху большым колам у сярэдзіне, больш яркімі кветкамі і адсутнасцю ценяў на межах паміж кветкамі.
- Змены ў версіі для Android:
- Спынена падтрымка рэжыму эканоміі трафіку «Lite», пры якім змяншаўся бітрэйт пры загрузцы відэа і ўжываўся дадатковы сціск малюнкаў. Адзначаецца, што рэжым выдалены з прычыны зніжэння кошту тарыфаў у мабільных сетках і развіцця іншых метадаў памяншэння трафіку.
- Дададзена магчымасць выканання дзеянняў з браўзэрам з адраснага радка. Напрыклад, можна набраць "выдаліць гісторыю" і браўзэр прапануе перайсці да формы ачысткі гісторыі перасоўванняў ці "рэдагаваць паролі" і браўзэр адкрые мэнэджар пароляў. Для настольных сістэм паказаная магчымасць была рэалізаваная ў версіі Chrome 87.
- Рэалізаваная падтрымка ўваходу ва ўліковы запіс Google праз сканаванне QR-кода, паказанага на экране іншай прылады.
- Забяспечаны вывад дыялогу пацверджання аперацыі пры спробе закрыцця зараз усіх укладак.
- На старонцы адкрыцця новай укладкі з'явіўся перамыкач паміж праглядам RSS-падпісак (Following) і рэкамендуемым кантэнтам (Discover).
- Спынена магчымасць выкарыстання пратаколаў TLS 1.0/1.1 у кампаненце Android WebView. У самім браўзэры падтрымка TLS 1.0/1.1 была выдаленая ў выпуску Chrome 98. У цяперашняй версіі аналагічная змена ўжыта да мабільных прыкладанняў, выкарыстоўвалым кампанент WebView, якія зараз не змогуць злучыцца з серверам, не падтрымным TLS 1.2 або TLS 1.3.
- Пры праверцы сертыфікатаў з выкарыстаннем механізму Certificate Transparency для пацверджання сертыфіката зараз патрабуецца наяўнасць падпісаных SCT-запісаў (signed certificate timestamp) у любых двух логах, якія падтрымліваюцца рознымі аператарамі (раней патрабавалася запіс у логу Google і логу любога іншага аператара). Certificate Transparency забяспечвае вядзенне незалежных публічных логаў усіх выдадзеных і адкліканых сертыфікатаў, якія даюць магчымасць праводзіць незалежны аўдыт усіх змен і дзеянняў якія сведчаць цэнтраў, і дазваляюць адсочваць любыя спробы ўтоенага стварэння падробленых запісаў.
Для карыстачоў, якія ўлучылі рэжым Safe Browsing, па змаўчанні актываваны аўдыт запісаў SCT, выкарыстоўваных у логах Certificate Transparency. Дадзеная змена прывядзе да адпраўкі дадатковых запытаў да Google для пацверджання карэктнасці працы лога. Праверачныя запыты адпраўляюцца вельмі рэдка, прыкладна раз на 10000 TLS-злучэнняў. У выпадку выяўлення праблем у Google будуць перададзены дадзеныя аб праблемным ланцужку сертыфікатаў і SCT (перадаюцца толькі ўжо публічна якія распаўсюджваюцца дадзеныя аб сертыфікатах і SCT).
- Пры ўключэнні пашыранага рэжыму абароны ад небяспечных сайтаў (Enhanced Safe Browsing) і ўваходзе ў уліковы запіс Google, у адпраўляюцца на серверы Google дадзеныя аб інцыдэнтах зараз уключаюцца токены, прывязаныя да ўліковага запісу ў Google, што дазваляе ўзмацніць абарону ад фішынгу, шкоднаснай актыўнасці і іншых пагроз у Web. Для сеансаў у рэжыме інкогніта падобныя дадзеныя не перадаюцца.
- У версіі Chrome для працоўнага стала прадстаўлена магчымасць адхілення папярэджанняў аб выкарыстанні скампраметаваных пароляў.
- Дададзены API Multi-Screen Window Placement, праз які можна атрымаць інфармацыю аб падлучаных да кампутара маніторах і арганізаваць размяшчэння вокнаў на зададзеных экранах. Пры дапамозе новага API таксама можна сапраўды выбіраць пазіцыю выводных вокнаў і вызначаць пераход у поўнаэкранны рэжым, ініцыяваны пры дапамозе метаду Element.requestFullscreen(). У якасці прыкладаў выкарыстання новага API згадваюцца прыкладанні для паказу прэзентацый (выснова на праектар і паказ нататак на экране наўтбука), фінансавыя прыкладанні і сістэмы маніторынгу (размяшчэнне графікаў на розных экранах), медыцынскія прыкладанні (паказ малюнкаў на асобных экранах з высокім дазволам), гульні , графічныя рэдактары і іншыя тыпы шматваконных прыкладанняў.
- У рэжыме Origin Trials (эксперыментальныя магчымасці, патрабавальныя асобнай актывацыі) рэалізаваная падтрымка доступу да Media Source Extensions з вылучаных worker-ов, што можна выкарыстаць, напрыклад, для падвышэння прадукцыйнасці буферызаванага прайгравання мультымедыйных дадзеных праз стварэнне аб'екта MediaSource у асобным worker-е і трансляцыю вынікаў яго працы ў HTMLMediaElement у асноўным патоку. Origin Trial мае на ўвазе магчымасць працы з паказаным API з прыкладанняў, загружаных з localhost або 127.0.0.1, або пасля праходжання рэгістрацыі і атрымання спецыяльнага токена, які дзейнічае абмежаваны час для канкрэтнага сайта.
- Стабілізаваны і прапанаваны ўсім жадаючым API Digital Goods, прызначаны для спрашчэння арганізацыі пакупак з web-прыкладанняў. Забяспечвае звязванне з сэрвісамі распаўсюджвання тавараў, у Android дае абвязку над API Android Play Billing.
- Дададзены метад AbortSignal.throwIfAborted(), які дазваляе апрацаваць перапыненне выканання сігналу з улікам стану сігналу і чыннікі яго перапынення.
- У аб'ект HIDDevice дададзены метад forget(), які дазваляе адклікаць прадстаўленыя карыстачом паўнамоцтвы доступу да прылады ўводу.
- У CSS-уласцівасць mix-blend-mode, якое вызначае метад змешвання пры накладанні элементаў, дададзена падтрымка значэння "plus-lighter" для падсвятлення скрыжаванняў двух элементаў, якія маюць агульныя пікселі.
- У аб'ект NDEFReader дададзены метад makeReadOnly(), які дазваляе выкарыстоўваць NFC-тэгі ў рэжыме толькі для чытання.
- У API WebTransport прызначаны для адпраўкі і прыёму дадзеных паміж браўзэрам і серверам, дададзена опцыя serverCertificateHashes для аўтэнтыфікацыі падлучэння да сервера пры дапамозе хэша сертыфіката без выкарыстання Web PKI (напрыклад, калі ажыццяўляецца падлучэнне да сервера ці віртуальнай машыне не ў публічнай сетцы).
- Унесены паляпшэнні ў інструменты для web-распрацоўшчыкаў. Пашыраны магчымасці панэлі Recorder, пры дапамозе якой можна запісваць, прайграваць і аналізаваць дзеянні карыстальніка на старонцы. Пры праглядзе кода падчас адладкі забяспечаны выснова значэнняў уласцівасцяў пры навядзенні мышы на класы ці функцыі. У спісе эмуляваных прылад User-Agent для iPhone абноўлены да версіі версіі 13_2_3. У панэлі навігацыі па CSS-стылях рэалізаваная магчымасць прагляду і рэдагаванні правіл @supports.
Акрамя новаўвядзенняў і выпраўленні памылак у новай версіі ўхілена 28 уразлівасцяў. Многія з уразлівасцяў выяўлены ў выніку аўтаматызаванага тэсціравання інструментамі AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Крытычных праблем, якія дазваляюць абыйсці ўсе ўзроўні абароны браўзэра і выканаць код у сістэме за межамі sandbox-акружэнні, не выяўлена. У рамках праграмы па выплаце грашовай узнагароды за выяўленне ўразлівасцяў для бягучага рэлізу кампанія Google выплаціла 20 прэмій на суму 51 тысяча даляраў ЗША (адна прэмія $16000, дзве прэміі $7000, тры прэміі $5000 і па адной прэміі ў $3000, $2000 і $1000 пакуль не вызначаны.
Крыніца: opennet.ru