Релиз на Chrome 93

Компания Google представи версия на уеб браузера Chrome 93. Паралелно е налична и стабилната версия на отворения проект Chromium, който е основата на Chrome. Браузерът Chrome се отличава с използването на логата на Google, наличието на система за уведомления при срив, модули за възпроизвеждане на защитено видео съдържание (DRM), автоматична инсталация на актуализации и предаване на RLZ параметрите при търсене. Следващата версия на Chrome 94 е планирана за 21 септември (разработката е преместена на четириседмичен цикъл за издания).

Основни промени в Chrome 93:

• Извършено е обновление на оформлението на блока с информация за страницата (page info), в който е реализирана поддръжка на вложени блокове, а падащите менюта с права на достъп са заменени с превключватели. В списъците е осигурен приоритетен показ на най-важната информация. Промяната не е активирана за всички потребители; за активация може да се използва настройката «chrome://flags/#page-info-version-2-desktop».
• За малък процент потребители, като експеримент, индикаторът за защитена връзка в адресната лента е заменен с по-неутрален символ, който не предизвиква двусмисленост (катинарът е заменен със знак «V»). За връзките, установени без криптиране, продължава да се показва индикаторът «не е защитено». Причината за замяната на индикатора е, че много потребители асоциират индикатора на катинара с това, че съдържанието на сайта може да бъде доверено, а не възприемат него като признак за криптиране на връзката. Според проучване на Google само 11% от потребителите разбират смисъла на пиктограмата с катинара.
• В списъка с наскоро затворени табове е осигурено показване на съдържанието на затворените групи табове (преди в списъка се показваше само името на групата без детайли за съдържанието) с възможност да се възстанови както цялата група, така и отделни табове от групата. Възможността не е активирана за всички потребители, затова за включване може да се наложи промяна на настройката «chrome://flags/#tab-restore-sub-menus».
• За предприятията са реализирани нови настройки DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites и JavaScriptJitBlockedForSites, които позволяват управление на режима JIT-less, деактивиращ приложението на JIT-компилацията при изпълнение на JavaScript (използва се само интерпретаторът Ignition) и забраняващ заделянето на изпълнима памет по време на изпълнението на кода. Деактивацията на JIT може да е полезна за повишаване на сигурността при работа с потенциално опасни уеб приложения, на цена на намаляване на производителността на JavaScript с приблизително 17%. Интересно е, че компанията Microsoft е отишла и по-далеч, реализирайки в браузъра Edge експериментален режим „Super Duper Secure“, позволяващ на потребителя да деактивира JIT и да активира несъвместими с JIT хардуерни механизми за защита CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) и CFG (Control Flow Guard) за процеси, извършващи обработка на уеб съдържание. Ако експериментът се окаже успешен, могат да се очакват пренос в основната версия на Chrome.
• На страницата на новия раздел е осигурен списък на най-търсените документи, запазени в Google Drive. Съдържанието на списъка отговаря на раздела Priority в drive.google.com. За управление на показването на съдържанието на Google Drive могат да се използват настройките „chrome://flags/#ntp-modules“ и „chrome://flags/#ntp-drive-module“.
• За страницата на новия раздел са предложени нови информационни карти, които помагат за намиране на наскоро преглеждано съдържание и свързана с него информация. Картите са предназначени да улеснят продължаването на работата с информация, която е била прекъсната, например, картите ще помогнат да се намери рецепта, която е била намерена онлайн, но е загубена след затварянето на страницата, или да се продължат избора на покупки в магазините. Като експеримент на потребителите са предложени две нови карти: „Рецепти“ (chrome://flags/#ntp-recipe-tasks-module) за търсене на кулинарни рецепти и показване на наскоро прегледани рецепти; „Покупки“ (chrome://flags/#ntp-chrome-cart-module) за напомняния за избраните стоки в интернет магазините.
• В версията за платформата Android е добавена опционална поддръжка на панела за непрекъснато търсене (chrome://flags/#continuous-search), позволяваща да се виждат последните резултати от търсене в Google (панелът продължава да показва резултати след преминаване на други страници).
• В эксперименталната версия за платформата Android е добавен режим за обмен на цитати (chrome://flags/#webnotes-stylize), който позволява запазването на избран фрагмент от страницата под формата на цитат и споделянето му с други потребители.
• При публикуване на нови добавки или актуализации на версиите в Chrome Web Store вече е задължително да се прилага двуфакторна верификация за разработчиците.
• За потребителите на Google Account е предоставена опция за запазване на информацията за плащания в своята сметка в Google.
• В режим на инкогнито, при активиране на опцията за почистване на навигационни данни, е реализиран нов диалог за потвърждение на операцията, който обяснява, че почистването на данни ще доведе до затваряне на прозореца и приключване на всички сесии в режим на инкогнито.
• Поради установени несъвместимости с фърмуерите на някои устройства временно е деактивирана поддръжката на новия метод за съгласуване на ключове, въведен в Chrome 91, устойчив на атаки от квантови компютри, основан на използването на разширението CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) в TLSv1.3, комбиниращо класическия механизъм за обмен на ключове X25519 със схемата HRSS, базирана на алгоритъма NTRU Prime, разработен за постквантови криптосистеми.
• В списъка на забранените мрежови портове са добавени портовете 989 (ftps-data) и 990 (ftps) с цел блокиране на атаката ALPACA. По-рано, с цел защита от атаката NAT slipstreaming, вече бяха блокирани портовете 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 и 10080.
• В TLS е спряна поддръжката на кодеци на база алгоритъма 3DES. В частност, наборът от кодеци TLS_RSA_WITH_3DES_EDE_CBC_SHA, подложен на атаката Sweet32, е премахнат.
• Поддръжката на дистрибуцията Ubuntu 16.04 е прекратена.
• Предоставена е възможност за използване на API WebOTP между различни устройства, свързани чрез обща сметка в Google. WebOTP позволява на уеб-приложение да чете еднократни кодове за потвърждение, изпратени чрез SMS. Предложената промяна позволява получаване на кода за потвърждение на мобилното устройство с Chrome за Android и използването му на настолна система.
• Разширен е API User-Agent Client Hints, разработван като заместител на заглавката User-Agent. User-Agent Client Hints позволява организиране на селективно предоставяне на данни за конкретни характеристики на браузъра и системата (версия, платформа и т.н.) само след запитване. сървъра.. Потребителят, от своя страна, може да определи каква информация да предостави на собствениците на уебсайтове. При използване на User-Agent Client Hints, идентификаторът на браузъра не се предава без явно запитване, а по подразбиране се посочват само основни параметри, което затруднява провеждането на пасивна идентификация.

  В новата версия е реализирана поддръжка на параметъра Sec-CH-UA-Bitness за връщане на информация относно битността на платформата, което може да се използва за предоставяне на оптимизирани бинарни файлове. По подразбиране е осигурена изпращането на параметъра Sec-CH-UA-Platform с общи данни за платформата. В стойността UADataValues, която се връща при извикване на getHighEntropyValues(), по подразбиране се предоставят обобщени параметри, ако не е възможно да се върне детайлен вариант. В обекта NavigatorUAData е добавен методът toJSON, което позволява използването на конструкции от типа JSON.stringify(navigator.userAgentData).

• Стабилизирана е и по подразбиране е предложена възможността за опаковане на ресурси в пакети в формата Web Bundle, подходящи за организиране на по-ефективно зареждане на голям брой съпътстващи файлове (CSS-стили, JavaScript, изображения, iframe). Сред недостатъците в съществуващата поддръжка на пакети за JavaScript файлове (webpack), които се опитват да отстранят в Web Bundle: в HTTP кеша може да оседне самият пакет, но не и неговите съставни части; компилация и изпълнение може да започнат само след пълното зареждане на пакета; допълнителните ресурси, като CSS и изображения, трябва да бъдат кодирани под формата на JavaScript низове, което води до увеличаване на размера и извършване на още една стъпка на анализ.
• Включен е API за откриване на равнини WebXR, предоставящ информация за равни повърхности в виртуалната 3D среда. Указаният API позволява да се избегне ресурсоемката обработка на данни, получени чрез извикване на MediaDevices.getUserMedia(), с използване на собствени реализации на алгоритми за машинно зрение. Напомняме, че API WebXR позволява унификация на работата с различни класове устройства за виртуална реалност, от стационарни 3D шлемове до решения на базата на мобилни устройства.
• В режим на Origin Trials (експериментални функции, изискващи специално активиране) бяха добавени няколко нови API. Origin Trial означава възможност за работа с посочения API от приложения, натоварени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който действа за ограничен период на конкретен сайт.
  • Предложен е API за многопластово разпределение на прозорци, позволяващ разполагане на прозорци на всеки дисплей, свързан с текущата система, както и запазване на позицията на прозореца и при необходимост разширяване на прозореца на цял екран. Например, чрез този API уеб приложението за показване на презентация може да организира изведението на слайдове на един екран, а да показва бележка за докладчика на друг.
  • В заглавието Cross-Origin-Embedder-Policy, което управлява режима на изолация Cross-Origin и позволява определяне на правила за безопасна употреба на страницата при привилегировани операции, е добавена поддръжка на параметъра «credentialless» за деактивиране на предаването на информация, свързана с удостоверяване, като бисквитки и клиентски сертификати.
  • За самостоятелно инсталираните уеб приложения (PWA, Progressive Web Apps), които управляват визуализацията на съдържанието на прозореца и обработката на входа, е предоставен интерфейс с елементи за управление на прозореца, включително заглавна област и бутони за разширяване/свиване. Интерфейсът разширява наличната за промяна област на целия прозорец и позволява добавяне на собствени елементи в заглавната област.
  • Добавена е възможност за създаване на PWA-приложения, които могат да се използват като обработчици на URL. Например, приложението music.example.com може да се регистрира като обработчик на URL https://*.music.example.com и всички преходи от външни приложения на тези линкове, например от месинджъри и имейл клиенти, ще отварят това PWA-приложение, а не нова табула в браузъра.
• Предоставена е възможност за зареждане на CSS файлове с помощта на израза «import», подобно на зареждането на JavaScript модули, което улеснява създаването на собствените елементи и позволява избягване на задаването на стилове с JavaScript. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Представен е нов статичен метод AbortSignal.abort(), който връща обект AbortSignal, който вече е в състояние aborted. Вместо няколко реда код за създаване на обект AbortSignal в състояние aborted, сега може да се използва един ред «return AbortSignal.abort()».
• В елемента Flexbox е добавена поддръжка на ключови думи start, end, self-start, self-end, left и right, допълващи ключовите думи center, flex-start и flex-end с инструменти за опростяване на подравняването на позицията на flex-елементите.
• В конструктора Error() е реализирано ново незадължително свойство «cause», с помощта на което лесно може да се свързват грешки помежду си. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• К свойству HTMLMediaElement.controlsList добавена поддержка режима noplaybackrate, позволяющего отключить элементы интерфейса браузера, предназначенные для изменения скорости воспроизведения мультимедийного контента.
• Добавлен заголовок Sec-CH-Prefers-Color-Scheme, который позволяет на этапе отправки запроса передать информацию о выбранной пользователем цветовой схеме. Это использование медиазапросов «prefers-color-scheme» позволит сайту оптимизировать загрузку CSS, соответствующего выбранной схеме, и избежать видимых переключений с других схем.
• Добавлено свойство Object.hasOwn, представляющее собой упрощённый аналог Object.prototype.hasOwnProperty, реализованный в виде статического метода. Object.hasOwn({ prop: 42 }, 'prop') // → true
• В JIT-компилятор Sparkplug, предназначенный для быстрого выполнения компиляции, добавлен режим пакетного выполнения операций. Этот режим позволяет снизить накладные расходы на переключение страниц памяти между режимами записи и исполнения, так как Sparkplug теперь компилирует несколько функций за один раз и вызывает mprotect единожды для изменения прав доступа всей группы. Это значительно сокращает время компиляции (до 44%) без негативного влияния на производительность выполнения JavaScript.
• В версии для Android отключены встроенные в V8 механизмы защиты от атак по сторонним каналам, таких как Spectre, поскольку они признаны менее эффективными по сравнению с изоляцией сайтов в отдельных процессах. В настольной версии эти механизмы были отключены ещё в релизе Chrome 70. Удаление лишних проверок обеспечило увеличение производительности на 2-15%.
• Внесены улучшения в инструменты для веб-разработчиков. В режиме инспекции таблиц стилей появилась возможность редактирования запросов, сформированных с помощью выражения @container. В режиме инспекции сети реализован предпросмотр ресурсов в формате Web bundle. В веб-консоли добавлены опции для копирования строк в формате JavaScript или JSON. Упрощена отладка ошибок, связанных с CORS (Cross-Origin Resource Sharing).

Освен новите функции и корекции на грешки, в новата версия са отстранени 27 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструменти като AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Критични проблеми, които позволяват заобикаляне на всички нива на защита на браузъра и изпълнение на код в системата извън средата на песен, не са открити. В рамките на програмата за изплащане на парични награди за откритие на уязвимости за текущото издание компанията Google е изплатила 19 награди на обща стойност 136500 долара (три награди от 20000 долара, една награда от 15000 долара, три награди от 10000 долара, една награда от 7500 долара, три награди от 5000 долара и три награди от 3000 долара). Размерът на 5 награди все още не е определен.

Източник: opennet.ru