Релиз на Chrome 119

Компания Google публикува нова версия на уеб браузъра Chrome 119. Паралелно е достъпен и стабилен релиз на свободния проект Chromium, който служи като основа за Chrome. Браузърът Chrome се отличава от Chromium с логотипите на Google, наличието на система за известяване при срив, модули за възпроизвеждане на защитено съдържание (DRM), автоматични актуализации, постоянно активирана Sandbox изолация, както и предоставяне на ключове за Google API и предаване на RLZ параметри при търсене. За тези, които имат нужда от повече време за актуализация, отделно се поддържа версия с удължено стабилно издание, която се обновява на всеки 8 седмици. Следващото издание на Chrome 120 е планирано за 5 декември.

Основни промени в Chrome 119:

• Скратен е цикълът за създаване на версии, в който е намалено времето между създаването на нова клонка и началото на бета-тестовете — бета-версията сега се формира два дни след създаването на клонката, а не след 8 дни. Стабилизацията на бета-версии остава 4 седмици. Така цикълът за подготовка на нови версии е намален с една седмица.
• Предоставена е възможност за запазване на групи от раздели. Потребителят може да запази група и да затвори включените в нея раздели, за да не заемат ресурси. По-късно, при нужда, разделите от запазената група могат да бъдат възстановени и отворени на други устройства, участващи в синхронизацията на разделите. Възможността е включена за част от потребителите, а за принудителното включване е предвидена настройката «chrome://flags/#tab-groups-save».
• В интерфейса са променени формулировките на операциите и настройките, свързани с изтриването и загубата на данни. Вместо термина «очистка» (Clear) в подобни операции сега се използва думата «изтриване» (Delete), тъй като терминът «очистка» не се възприемаше от отделни потребители като признак за необратима загуба на данни.
• При автодовършването на URL адреса сега се взема предвид всяко ключово слово, използвано преди за търсене на сайт, а не само думи, съвпадащи с началото на адреса. Например, автодовършването на адреса «https://www.google.com/travel/flights» ще сработи не само при въвеждане на думата «google», но и при въвеждане на «flights».
• Реализирана е автоматична корекция на печатни грешки при въвеждане на адрес на сайт и е осигурен показ на релевантни подсказки, при формирането на които се вземат предвид сайтовете, отворени преди от текущия потребител. Например, при въвеждане на «youutube» ще бъде предложено да се отвори YouTube.com.
• Предоставена е възможност за търсене в разделите на отметките чрез адресната лента. Например, можете да добавите името на раздела на отметките при въвеждане и Chrome ще предложи връзки от този раздел, съответстващи на въведеното ключово слово. Например, при въвеждане на «пътувания 2023 Ню» ще бъдат предложени връзки от раздела на отметките «пътувания 2023», свързани с Ню Йорк.
• Реализирано е извеждането на препоръки за популярни сайтове, дори ако потребителят не е посещавал тези сайтове преди или е допуснал грешка при въвеждане на URL адрес. Например, когато следваща нечия препоръка да отвори Google Earth, потребителят започва да въвежда 'googleear', без да знае точния адрес, браузърът ще предложи да премине на сайта earth.google.com.
• В Chrome за настолни системи е подобрена четимостта на информацията в адресната лента и е повишена отзивчивостта на интерфейса — резултатите сега се извеждат веднага след започване на въвеждането в адресната лента.
• В съответствие с промяната в спецификацията на API Fetch, е осигурено премахване на HTTP-заглавието Authorization при пренасочване към друг домейн (cross origin).
• В настройките за уведомления и определяне на местоположение е добавена опция за включване на услугата за автоматичен отказ на заявки за потвърждение на права (Permission Suggestions Service). Предложени са следните режими:
  • винаги да се показват заявки за получаване на права за изходящи уведомления и достъп до местоположението;
  • автоматично да се игнорират спам-заявки за права, използвайки механизма на Permission Suggestions Service;
  • винаги да се игнорират всички заявки за изходящи уведомления;
  • винаги да се блокират всички заявки за получаване на права за изходящи уведомления и достъп до местоположението.
• В сборките за платформата Android, при включване на стандартната защита на браузъра (Safe Browsing > Standard protection) в реално време се реализира проверка за сигурност на отворените URL адреси, извършвана на база предаване на сървъри Google частични хешове от отворените от потребителя URL адреси. За изключване на сопоставянето IP адреси потребителя и хеша, данните се предават чрез междинен прокси. По-рано проверката се извършваше чрез качване на локална версия на списъка с несигурни URL на системата на потребителя. Новата схема позволява по-бързо блокиране на злонамерени URL. За настолни системи подобен режим беше включен в предишната версия.
• Экранирование небуквенных символов в имени хоста при вызове функции URL приведено к соответствию с обновлённой спецификацией. Например, вызов функции ‘URL(«http://exa(mple.com;»)’ ранее возвращал ‘http://exa%28mple.com/’, а теперь будет приводить к выводу ошибки » Invalid URL».
• На всички преди това запазени Cookie е приложено ограничение за времето им на живот, подобно на това, което се прилага от версия Chrome 104 за нови и обновени Cookie. За съществуващите Cookie времето на живот ще бъде намалено до 400 дни от публикуването на версия Chrome 119.
• В CSS са предложени нови псевдо-класове ‘:user-valid’ и ‘:user-invalid’, които представят елементи от формуляри, чийто стойности са преминали или не са преминали проверка. За разлика от ‘:valid’ и ‘:invalid’, новите псевдо-класове сработват само след взаимодействие на потребителя с елемента на формуляра.
• При задаване на цветове в CSS е разрешено определянето на стойности, изчислени по отношение на други параметри на цвета. Например, при указване ‘oklab(from magenta calc(l * 0.8) a b)’ ще се получи цвят, който е с 80% по-светъл от пурпурния.
• В CSS свойството clip-path, което позволява ограничаване на видимостта на елемента в определена област, е добавена поддръжка на стойността за задаване на произволна област за изрязване. Освен това е предоставена възможност за използване на функциите xywh() и rect() за опростяване на задаването на правоъгълни или закръглени области.
• Поддръжката на API WebSQL е деактивирана, вместо която се препоръчва да се използва API Web Storage и Indexed Database. Обработчикът WebSQL е базиран на кода на библиотеката SQLite. API WebSQL не се поддържаше в другите браузъри, свързваше се с API на външна библиотека и увеличаваше рисковете от проблеми със сигурността (WebSQL можеше да бъде използван от злонамерени лица за експлоатация на уязвимости в SQLite). Политиката WebSQLAccess, която ще бъде премахната в Chrome 123, остава за възстановяване на поддръжката на WebSQL за корпоративни потребители.
• Временно премахнат API HTML Sanitizer, който позволява изрязване на елементи от съдържанието, влияещи на визуализацията и изпълнението при извеждане чрез метода setHTML(). API-то беше разработено за изрязване на HTML тагове, които могат да се използват за извършване на XSS атаки. Като причина за премахването се посочва незавършеността на спецификацията, която значително се промени от добавянето на Sanitizer в Chrome. API-то ще бъде върнато след готовността на спецификацията.
• Премахнат е нестандартният атрибут shadowRoot, позволяващ на собствените елементи да се свързват със своя отделен корен в Shadow DOM, независимо от състоянието. Вместо shadowRoot в Chrome 111 беше предложен атрибутът shadowRootMode, който е включен в уеб стандарта.
• Улучшена реализация HTML-элемента «<fencedframe>», который напоминает «iframe» и также позволяет встраивать стороннее содержимое на страницу. Отличия сводятся к ограничению взаимодействия встроенного содержимого с содержимым страницы на уровне DOM и атрибутов. Например, страница news.example, в которую при помощи fencedframe встроен блок с рекламой, загружаемый с сайта shoes.example, не может получить доступ к данным shoes.example, а в свою очередь код с сайта shoes.example не может получить данные, связанные с news.example. В новой версии добавлена поддержка появившихся в API Protected Audience макроподстановок размера рекламного блока, например, «https://ad.com?width={/%AD_WIDTH%}&height={/%AD_HEIGHT%}».
• В метода getDisplayMedia() е добавен параметър monitorTypeSurfaces, който може да се използва за забрана на споделянето на целия екран.
• В метода window.open() е добавен експериментален (origin trial) параметър fullscreen, позволяващ отваряне на прозорец веднага в режим на цял екран.
• В API AudioEncoderConfig е добавен флаг ‘bitrateMode’ за избор между постоянен (constant) и променлив (variable) битрейт.
• TLS включва реализиране на механизма за инкапсулация на ключове (KEM, Key Encapsulation Mechanism), използваща хибридния алгоритъм X25519Kyber768, устойчив на атаки с квантови компютри. За създаването на сесийни ключове, използвани за криптиране на данни в TLS-съединения, вече може да се използва комбинация от механизма за обмен на ключове X25519, основан на елиптични криви и в момента използван в TLS, с алгоритъма Kyber-768, който прилага криптографски методи, базирани на решаване на задачи от теорията на решетките, времето за решаване на които не се различава на обикновени и квантови компютри.
• Поддръжката на разширението WasmGC, улесняваща портироването на програми към WebAssembly, написани на езици за програмиране, използващи събирачи на боклука (Kotlin, PHP, Java и т.н.), е включена по подразбиране. WasmGC добавя нови типове структури и масиви, за които може да се прилага нелинейно разпределение на паметта.
• Внесени подобрения в инструментите за уеб разработчици. Добавена е възможността за редактиране на CSS правила "@property" и изкарване на предупреждения при неправилното им определяне. Обновен е списъкът на еймулираните устройства (например, добавени са iPhone 14 и Pixel 7). В уеб конзолата е реализирано автоматично допълване на частни полета. Осигурено е форматирането на JSON данни, разположени в блокове .

Освен нововъведенията и поправките в новата версия, са отстранени 15 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструменти като AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са открити критични проблеми, които да позволят заобикаляне на всички нива на защита на браузера и изпълнение на код в системата извън sandbox среда. В рамките на програмата за изплащане на парични награди за откритие на уязвимости, компания Google е изплатила 13 награди на стойност 40.5 хиляди долара (една награда от $16000, $11000, $2000 и $500, три награди по $3000 и две награди по $1000). Размерът на 4 награди все още не е определен.

Източник: opennet.ru