Издание на уеб браузъра Chrome 131

Компания Google пусна версия 131 на уеб браузъра Chrome. Паралелно, е налично стабилно издание на свободния проект Chromium, който е основата на Chrome. Браузърът Chrome се различава от Chromium с използването на логотипите на Google, наличието на система за изпращане на уведомления при срив, модули за възпроизвеждане на защитено съдържание (DRM), система за автоматична инсталация на обновления, постоянно включена Sandbox изолация, доставяне на ключове за Google API и предаването на RLZ параметри при търсене. За тези, които имат нужда от повече време за обновление, отделно се поддържа клон Extended Stable, който е със срок от 8 седмици. Следващото издание на Chrome 132 е планирано за 14 януари.

Основни промени в Chrome 131:

• Вграденият PDF четец е разширил възможността за разпознаване на текст в сканирани PDF документи, където текстът е разположен под формата на изображение. Текстът се разпознава на локалната система с помощта на вградения оптичен разпознавателен двигател (OCR), базиран на машинното обучение. В отличие от предишните версии, сканираните документи сега автоматично се преобразуват в текстово представяне, за което са налични функции за маркиране, търсене и копиране в клипборда.
• Предоставена е възможност за включване на разширени проверки в системата за разпределение на паметта PartitionAlloc, които позволяват блокиране на уязвимости, причинени от достъп до вече освободени области на паметта (use-after-free). По подразбиране тези проверки са деактивирани поради възможно негативно влияние върху производителността. Въпреки това, за внедрявания, при които сигурността е по-важна от производителността, сега се предоставят отделни корпоративни политики за активиране на допълнителна защита.
• В интегрираното хранилище на коренови сертификати (Chrome Root Store) е прекратено доверието към удостоверяващия център Entrust поради множество нарушения на изискванията към удостоверяващите центрове, непокриване на сроковете за реакция на проблемни сертификати, забавяне на отлагането на сертификати, ненадлежно оформяне на доклади за инциденти и неспазване на правилата при издаване. TLS-сертификати EV (Разширена валидизация) нива, изискващи проверка на документи за собственост на домейна и потвърждение на собственика на ресурса. Поради отсъствието на действия за отстраняване на установените недостатъци, TLS сертификатите, издадени от Entrust след 11 ноември 2024 г., ще се считат за недоверителни в Chrome. Сертификатите, издадени преди 11 ноември, продължават да се приемат за нормални.
• Версията за Android включва възможност за свързване на външни доставчици за автоматично попълване на формуляри и запазване на пароли, без да е привързана към API Accessibility.
• В версията за Android е опростено свързването с акаунта в Google и управлението на синхронизацията на данни между различните браузъри. Синхронизацията вече не се представя като отделна функция в настройките, а е обединена с функцията за свързване с акаунта в Google, което позволява използването и запазването на информация в Google Account, такава като пароли и отметки.
• Започна постепенно активиране сред потребителите на нов режим за икономия на електрическата енергия (Energy saver), при който автоматично се замразяват раздели, консумиращи много ресурси на CPU, но при това не възпроизвеждащи звук и скрити повече от 5 минути. Изключение се прави само за раздели, свързани с управление на външни устройства или провеждане на видео и аудио конференции (такива раздели се определят на основата на достъпа до API за работа с USB, Bluetooth, камера, устройства за въвеждане и микрофон, а също и организация на комуникационен канал с използване на RTCDataChannel или MediaStreamTrack). За управление на включването на автоматичното замразяване може да се използва настройка „chrome://flags/#freezing-on-energy-saver“.
• Добавени са експериментални режими за икономия на памет (Memory saver) — Moderate, Balanced и Maximum, позволяващи избор на метод за освобождаване на памет от неактивни раздели. В режим Moderate паметта на разделите се деактивира само при недостиг на памет в системата, в режим Maximum разделите се деактивират след кратко време след като станат неактивни, а в режим Balanced неактивните раздели се деактивират в зависимост от свободната памет в системата.
• Добавени са допълнителни настройки, свързани с производителността, като например възможността да се зададат сайтове, които постоянно остават активни (без да забавят работата на фона), избор на начин за визуална индикация на деактивираните табове и показване на потреблението на памет в спадащи миниизображения на табовете.
• Добавен е инструментът „Performance Detection“, който открива потенциални проблеми с производителността на разглежданите страници и показва уведомление с препоръки за решаване на проблема с едно кликване. Например, за да ускори текущия таб, браузърът може да предложи деактивиране на други табове, които консумират много ресурси.
• В TLS 1.3 и QUIC алгоритъмът за инкапсулация на ключове (KEM, Key Encapsulation Mechanism) «X25519Kyber768», устойчив на подбора на квантови компютри, е преминал към използване на финалната спецификация ML-KEM (CRYSTALS-Kyber), стандартизирана от Националния институт по стандарти и технологии на САЩ (NIST). X25519Kyber768 представлява комбинация от X25519 ECDH и алгоритъма ML-KEM, който използва криптографски методи, основани на решаване на задачи от теорията на решетките, времето за решаване на които не се различава на обикновени и квантови компютри.
• В функцията за търсене по изображение с помощта на услугата Google Lens, достъпна чрез контекстното меню, е добавена поддръжка за наслагване на превод на друг език (преведеният текст се показва върху оригиналния текст на изображението).
• Добавен е API Direct Sockets, който позволява установяване на директни TCP и UDP връзки с външни системи, както и създаване на слушащи сокети за приемане на връзки. При първия опит за свързване с нов хост на потребителя му се извежда заявка за потвърждение на операцията. Необходимостта от добавяне на нов API се обяснява с предоставянето на възможност за взаимодействие с мрежови устройства, които използват собствени протоколи, работещи над TCP и UDP, и не поддържат взаимодействие чрез HTTPS или WebSockets.
• В режима „Origin trials“ е реализиран API Summarizer за резюмиране на текст (кратко изложение на същността), използвайки голяма езикова модел.
• В режима „Origin trials“ е добавен API Playout Statistics, който определя интерфейса AudioContext.playoutStats за получаване на статистика за качеството и закъсненията при възпроизвеждане на звук чрез API WebAudio.
• За защита от злоупотребления е добавено изискването за потвърдителна заявка за правомощия при използване на API Keyboard Lock и Pointer Lock на сайта, които предоставят допълнителен контрол над клавиатурата и мишката (например, можете да скриете стандартния курсор на мишката и да осигурите собствено управление на движението на мишката). Проверете статуса на предоставените правомощия чрез API Permissions.
• Позволено задаване на допълнителни тагове в HTML елемента «<select>», освен стандартните тагове «<option>», «<optgroup>» и „<hr>». Промяната е направена като подготовка за внедряване в бъдещи версии на настраиваемия вариант «<select>», разширяващ възможностите за оформление на менюто.
• В CSS свойствата "clip-path", "fill", "stroke" и "marker-*" е добавена поддръжка за указване на външни SVG ресурси. Например, сега можете да зададете ‘clip-path: url("resources.svg#myPath")’.
• Променен е моделът на наследяване на свойствата на стиловете за избор на текст, определени чрез псевдокласите «::selection» и «::target-text», който сега е приведен към модела на наследяване на псевдокласите «::highlight», «::spelling-error» и «::grammar-error», и вече зависи не от структурата на документа (вериги от HTML елементи), а от начина, по който се избира текстът (вериги от избор). В примера по-долу цветът на вложените елементи с текст в параграфа «<p class="»blue»">» сега ще бъде избран в съответствие със стила на псевдокласа «::selection», а не със стила на цвета, посочен за параграфа. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Това е <em>подчертано</em> текст. </p>
• Премахнати са ограниченията, които не позволяваха задаването на CSS свойства "display" за HTML елементи "
  " и "

  ". В CSS е добавен псевдоелементът "::details-content" за настройка на оформлението на сгъваемия и разгръщащ се блок.
• Добавено CSS свойство „font-variant-emoji“ за настройка на стила на показване на Emoji. Например, може да се избере текстово или графично представяне.
• В CSS правилото @page, предназначено за промяна на оформлението на страницата преди печат или експортиране в PDF формат, е добавена възможност за определяне на области за разположение на съдържанието в областта на полетата на страницата, например, за добавяне на собствен заглавие, бележка отстрани или футер.
• Обявено е за остаряло CSS свойството "inset-area", използвано за управление на показването на елементи, свързани с местоположението на други елементи (CSS Anchor Positioning). Според препоръката на работната група за стандартизация на CSS, новото свойство "position-area" е напълно аналогично на "inset-area".
• Разширени са възможностите на инструментите за уеб разработка. В таблото Performance са добавени нови функции за анализ на производителността. Предложена е експериментална панел с AI асистент, където в чат форма можете да получите отговори на въпроси, възникващи по време на отстраняване на грешки, или да уточните аспекти, свързани с CSS.
  

Освен нововеденията и поправките на грешки в новата версия, са отстранени 12 уязвимости. Много от уязвимостите са открити благодарение на автоматизирано тестване с инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. На един от проблемите е присвоен висок риск (проблем в кода за работа с разширения в двигателя Blink). Не са открити критични проблеми, които да заобикалят всички нива на защита на браузъра и да позволяват изпълнението на код в системата извън отвореното за пясъчни среди (sandbox) пространство. В рамките на програмата за изплащане на парична награда за откритите уязвимости, компанията Google е изплатила 8 награди на стойност 1 хиляда долара (една награда $1000). Размерът на 7 награди все още не е определен.

Източник: opennet.ru