Релиз Chrome 98

Компания Google представи релиза на уеб браузъра Chrome 98. В същото време е налична стабилна версия на свободния проект Chromium, който е основата на Chrome. Браузърът Chrome се отличава с използването на логотипите на Google, наличието на система за изпращане на уведомления при срив, модули за възпроизвеждане на защитено съдържание (DRM), система за автоматична инсталация на актуализации и предаване на RLZ параметри при търсене. Следващото издание на Chrome 99 е планирано за 1 март.

Основни промени в Chrome 98:

• Браузърът включва собствено хранилище на коренови сертификати на удостоверяващи центрове (Chrome Root Store), което ще се използва вместо външни хранилища, специфични за всяка операционна система. Хранилището е реализирано по аналогия с независимото хранилище на коренови сертификати в Firefox, използвано като първа свързваща точка за проверка на веригата на доверие на сертификати при отваряне на сайтове по HTTPS. Новото хранилище в момента не се използва по подразбиране. За опростяване на транслацията на конфигурации, свързани със системните хранилища и за осигуряване на преносимост, известно време ще има преходен период, в който в Chrome Root Store ще бъде включена пълната подборка от сертификати, одобрени на повечето поддържани платформи.
• Продължава реализирането на плана за засилване на защитата от атаки, свързани с достъпа до ресурси в локалната мрежа или на компютъра на потребителя (localhost) от скриптове, зареждани при отваряне на сайта. Подобни заявки се използват от злонамерени потребители за извършване на CSRF атаки на рутери, точки за достъп, принтери, корпоративни уеб интерфейси и други устройства и услуги, приемащи заявки само от локалната мрежа.

  За защита срещу подобни атаки, в случай на достъп до всякакви субресурси във вътрешната мрежа, браузърът ще започне да изпраща явен заявка за разрешение за зареждане на такива субресурси. Заявката за разрешение се осъществява чрез изпращане на сървър основния сайт за CORS (Cross-Origin Resource Sharing) с хедър «Access-Control-Request-Private-Network: true», преди да се свърже с вътрешната мрежа или с localhost. При потвърждаване на операцията в отговор на тази заявка, сървърът трябва да върне хедър «Access-Control-Allow-Private-Network: true». В Chrome 98 проверката е реализирана в тестов режим и при липса на потвърждение в уеб конзолата се показва предупреждение, но самата заявка за подресурс не е блокирана. Блокирането се планира да бъде включено не по-рано от версия Chrome 101.

• В настройките на акаунта са интегрирани средства за управление на активирането на разширен режим на защита от опасни сайтове (Enhanced Safe Browsing), в който се активират допълнителни проверки за защита от фишинг, зловредна активност и други заплахи в Web. При активиране на режима в акаунта Google сега ще се появява предложение за активиране на режима и в Chrome.
• Добавена е модел за откриване на опити за фишинг от страната на клиента, реализиран с помощта на платформата за машинно обучение TFLite (TensorFlow Lite) и не изисква изпращане на данни за изпълнение на проверката от страна на Google (в този случай се изпраща телеметрия с информация за версията на модела и изчислените теглови коефициенти за всяка категория). При откритие на опит за фишинг на потребителя ще бъде показана страница с предупреждение преди отварянето на подозрителен сайт.
• В API Client Hints, разработвано като замяна на заглавието User-Agent и позволяващо селективно предаване на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) само след заявка. сървър, реализирана е възможност за подмяна в списъка с идентификатори на браузъра с фалшиви названия, по аналогия с механизма GREASE (Generate Random Extensions And Sustain Extensibility) използван в TLS. Например, освен ‘»Chrome»; v=»98″‘ и ‘»Chromium»; v=»98″‘ в списъка може да бъде добавен случаен идентификатор на несъществуващ браузър ‘»(Not;Browser»; v=»12″‘. Подобно подменяне ще позволи откриване на проблеми с обработката на идентификатори на неизвестни браузъри, които водят до необходимост альтернативните браузъри да се правят на други популярни браузъри, за да заобиколят проверките по списъците с допустими браузъри.
• От 17 януари в каталога Chrome Web Store вече не се приемат разширения, използващи втората версия на манифеста Chrome. Нови разширения сега ще се приемат само с третата версия на манифеста. Разработчиците на предишни разширения, както и преди, ще могат да публикуват актуализации с втората версия на манифеста. Пълното прекратяване на поддръжката на втората версия на манифеста е планирано за януари 2023 година.
• Добавена е поддръжка за цветни векторни шрифтове в формат COLRv1 (подмножество на OpenType шрифтове, съдържащо освен векторни глифове и слой с информация за цветове), които могат да се използват, например, за създаване на многоцветни емоджита. За разлика от преди поддържания формат COLRv0, в COLRv1 е добавена възможност за употреба на градиенти, наложени изображения и трансформации. Форматът също така предоставя компактна форма на съхранение, осигурява ефективно компресиране и допуска повторно използване на контури, което позволява значително намаляване на размера на шрифта. Например, шрифтът Noto Color Emoji в растерен формат заема 9MB, а във векторен формат COLRv1 — 1.85MB.
• В режима Origin Trials (експериментални възможности, изискващи отделно активиране) е реализиран API Region Capture, позволяващ кадриране на записвано видео. Например, кадрирането може да е необходимо в уеб приложения, които записват видео от съдържанието на своята раздела, за да се изреже определено съдържание преди изпращане. Origin Trial предполага възможността за работа с посочения API от приложения, заредени от localhost или 127.0.0.1, или след преминаване на регистрация и получаване на специален токен, който действа ограничено време за конкретен сайт.
• В CSS свойството «contain-intrinsic-size» е добавена поддръжка за стойността «auto», при указването на която ще се използва последният запомнен размер на елемента (при употреба заедно с «content-visibility: auto», разработчикът не трябва да гадае изрисувания размер на елемента).
• Добавено е свойството AudioContext.outputLatency, чрез което може да се получат сведения за прогнозираното забавяне преди извеждане на звук (забавяне между искането на звук и началото на обработка на получените данни от устройството за извеждане на звук).
• CSS свойството color-scheme, позволяващо определяне на в кои цветови схеми може да бъде коректно показан елемент („светла“, „тъмна“, „ден“ и „нощна“), добавя параметър „only“, позволяващ изключване на принудителната промяна на цветовата схема за определени HTML елементи. Например, ако укажете „div { color-scheme: only light }“, то за елемента div ще бъде използвана само светла тема, дори ако в браузъра е принудително включено тъмно оформление.
• В CSS е добавена подкрепа за media запитванията ‘dynamic-range’ и ‘video-dynamic-range’ за определяне наличието на екран, поддържащ HDR (High Dynamic Range).
• В функцията window.open() е добавена възможност за избор на отваряне на връзка в нов раздел, нов прозорец или изскачащ прозорец. Освен това, свойството window.statusbar.visible вече връща „false“ за изскачащи прозорци и „true“ за раздели и прозорци. const popup = window.open(‘_blank’,»,’popup=1′); // Отваряне в изскачащ прозорец const tab = window.open(‘_blank’,’,’popup=0′); // Отваряне в раздел
• За прозорци и worker-и е реализиран метод structuredClone(), позволяващ създаване на рекурсивни копия на обекти, включващи свойства не само на посочения обект, но и на всички други обекти, на които се позовава текущият обект.
• В Web Authentication API е добавена подкрепа за разширение на спецификацията FIDO CTAP2, позволяващо задаване на минимален допустим размер на PIN-кода (minPinLength).
• За инсталираните отделни уеб-приложения е добавен компонент Window Controls Overlay, разширяващ екранната област на приложението на цялото прозорец, включително областта на заглавието, върху която се налагат стандартните бутони за управление на прозореца (затваряне, минимизиране, максимизиране). Уеб-приложението може да управлява визуализацията и обработката на входа в цялото прозорец, с изключение на наложения блок с бутони за управление на прозореца.
• В WritableStreamDefaultController е добавено свойство за обработка на сигнали, връщащо обект AbortSignal, с помощта на който може веднага да се спират операции за запис във WritableStream, без да се чака тяхното завършване.
• В WebRTC е премахната подкрепата для механизма за съгласуване на ключове SDES, който през 2013 година беше обявен от организацията IETF за излязъл от употреба поради проблеми с безопасността.
• По подразбиране е деактивиран API U2F (Cryptotoken), който по-рано беше обявен за излязъл от употреба и на него му е заместил API Web Authentication. API U2F ще бъде напълно премахнат в Chrome 104.
• В API Directory е обявено остарялото поле installed_browser_version, вместо което е предложено новото поле pending_browser_version, което съдържа информация за версията на браузъра, отчитайки изтеглените, но неизползвани актуализации (т.е. версията, която ще действа след рестартиране на браузъра).
• Премахнати са параметрите, позволяващи възстановяване на поддръжката на TLS 1.0 и 1.1.
• Направени са подобрения в инструментите за web-разработчици. Добавена е раздел за оценка на работата на кеша "Back-forward cache", осигуряващ мигновен преход при използване на бутоните "Назад" и "Напред". Добавена е възможност за еймулиране на медиа заявки forced-colors. В редактора Flexbox са добавени бутони за поддръжка на свойствата row-reverse и column-reverse. В раздела "Changes" е осигурено показване на промените след форматиране на кода, което улеснява разборът на минифицирани страници.

  Реализацията на панела за преглед на кода е обновена до версията на редактора на код CodeMirror 6, в която е значително подобрена производителността при работа с много големи файлове (WASM, JavaScript), решени са проблемите с произволни отклонения при навигация и са подобрени препоръките на системата за автоматично допълнение при редактиране на код. В панела с CSS свойства е добавена възможност за филтриране на изхода по име или стойност на свойството.

  

В допълнение към нововъведенията и корекциите на грешки, новата версия премахва 27 уязвимости. Много от уязвимостите са установени в резултат на автоматизирано тестване с инструменти AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Критични проблеми, които да позволят обикаляне на всички нива на защита на браузъра и изпълнение на код в системата извън sandbox среда, не са установени. В рамките на програмата за изплащане на парични награди за откриване на уязвимости, за текущия релиз компания Google е изплатила 19 награди на обща стойност 88 хиляди долара (две награди от $20000, една награда от $12000, две награди от $7500, четири награди от $1000 и по една награда от $7000, $5000, $3000 и $2000.

Източник: opennet.ru