Издание на Chrome 92

Компания Google представи версия на уеб браузъра Chrome 92. В същото време е налична стабилна версия на свободния проект Chromium, който е основата на Chrome. Браузърът Chrome се характеризира с използването на логотипите на Google, наличието на система за изпращане на известия при срив, модули за възпроизвеждане на защитено видеосъдържание (DRM), система за автоматична инсталация на актуализации и предаване на RLZ параметри при търсене. Следващото издание на Chrome 93 е планирано за 31 август.

Основни промени в Chrome 92:

• В настройките са добавени средства за управление на включването на компоненти от Privacy Sandbox. Потребителят получава възможност да деактивира технологията FLoC (Federated Learning of Cohorts), разработвана от Google за замяна на проследяващите cookies с "когорти", които позволяват идентифициране на потребители със сходни интереси, без да се идентифицират конкретни лица. Когортите се изчисляват на страната на браузъра чрез прилагане на алгоритми за машинно обучение върху данните от историята на посещенията и съдържанието, което се отваря в браузъра.
• За потребителите на десктоп системи, по подразбиране е включен кеш за навигация (Back-forward cache), който осигурява мигновен преход при използване на бутоните "Назад" и "Напред" или при навигация по предишно посетени страници на текущия сайт. По-рано кешът за навигация беше наличен само в сборки за платформата Android.
• Подсилена е изолацията на сайтовете и добавките в различни процеси. Ако преди механизмът Site Isolation осигуряваше изолация на сайтовете помежду им в различни процеси, както и отделяше всички добавки в отделен процес, то в новото издание е реализирано разделение между браузърните добавки, като всяка добавка е преместена в отделен процес, което е създало още една бариера за защита от злонамерени добавки.
• Значително увеличена е производителността и ефективността при разпознаването на фишинг. Скоростта на разпознаване на фишинг на базата на локален анализ на изображения е нараснала в половината случаи до 50 пъти, а в 99% от случаите е била по-бърза поне 2.5 пъти. Средното време за класификация на фишинг по изображения е намалено от 1.8 секунди на 100 мс. В общото натоварване на CPU, генерирано от всички процеси на рендериране, намалението е с 1.2%.
• Добавени са портовете 989 (ftps-data) и 990 (ftps). По-рано вече бяха блокирани портовете 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 и 10080. За портовете в черния списък се блокират HTTP, HTTPS и FTP заявки с цел защита от атаки на NAT slipstreaming, позволяващи при отваряне на специално подготвена наеб страница в браузъра да се установи мрежова връзка от сървъра на нападателя към произволен UDP или TCP порт на системата на потребителя, независимо от използването на вътрешен адресен диапазон (192.168.x.x, 10.x.x.x).
• Въведено е изискване за прилагане на двуфакторна верификация за разработчици при публикуване на нови добавки или актуализации в Chrome Web Store.
• Осигурено е изключване в браузъра на вече инсталирани добавки, ако те са изтрити от каталога на Chrome Web Store поради нарушение на правилата.
• При изпращане на DNS запитвания, в случай на използване на класически DNS сървъри, освен записите 'A' и 'AAAA' за определяне IP адреси сега също се запитва DNS запис 'HTTPS', чрез който се предават параметри, позволяващи ускоряване на установяването на HTTPS връзки, като настройки на протокола, ключове за шифроване TLS ClientHello и списък с поддомейни-алиаси.
• От iframe блокове, зареждани от домейни, различни от домейна на текущата страница, е забранен извикването на JavaScript диалози window.alert, window.confirm и window.prompt. Промяната ще защити потребителите от злоупотреби, свързани с опити за представяне на външно уведомление като искане от основния сайт.
• На страницата на новия раздел е осигурено извеждането на списък с най-търсените документи, запазени в Google Drive.
• Предоставена е възможност за промяна на името и иконата за приложения PWA (Progressive Web Apps).
• За малък произволен брой уеб форми, свързани с въвеждане на адрес или номер на кредитна карта, като експеримент ще бъде изключено извеждането на препоръки за автоматично попълване.
• В версията за настолни системи опцията за търсене по изображение (пункт 'Найди изображение' в контекстното меню) е пренасочена да използва услугата Google Lens вместо обикновения търсач Google. При натискане на съответния бутон в контекстното меню потребителят ще бъде пренасочен към отделно уеб приложение.
• В интерфейса на режим «инкогнито» не се показват линкове към историята на посещенията (линковете са безполезни, тъй като водят до отворена страница с информация, че историята не се запазва).
• Добавени са нови команди, които се разпознават при въвеждане в адресната лента. Например, за да се появи бутон за бърз достъп до страницата за проверка на безопасността на паролите и добавките, е достатъчно да се напише «safety check», а за преминаване към настройките за безопасност и синхронизация — «manage security settings» и «manage sync».
• Специфични промени в версията на Chrome за Android:
  • В панела е реализиран нов настраиваем бутон «Magic Toolbar», който показва различни прякори, избирани в зависимост от текущата активност на потребителя и включващи линкове, които вероятно могат да са необходими в момента.
  • Обновена е реализацията на модела на машинното обучение, който се изпълнява на устройството за откриване на опити за фишинг. При откриване на опити за фишинг, освен показването на страницата с предупреждение, браузърът сега ще изпраща на външната услуга Safe Browsing информация за версията на модела на машинното обучение, изчисленото тегло за всяка категория и флага за прилагане на новия модел.
  • Премахната е настройката «Show suggestions for similar pages when a page can’t be found», която водеше до препоръки за подобни страници на базата на изпращането на запитване в Google, ако страницата не е намерена. Преди това тази настройка вече беше премахната от версията за настолни системи.
  • Разширено е приложението на режима на изолация на сайтове в отделни процеси. С оглед на потреблението на ресурси в отделни процеси досега се извеждаха само избрани големи сайтове. В новата версия изолацията ще започне да се прилага и за сайтове, на които потребителят е влязъл с удостоверяване чрез OAuth (например, свързване чрез Google акаунт) или които задават HTTP заглавката Cross-Origin-Opener-Policy. За желаещите да включат изолацията в отделни процеси за всички сайтове е предоставена настройка «chrome://flags/#enable-site-per-process».
  • Деактивирани са вградени в движка V8 механизми за защита от атаки по странични канали, като Spectre, които се считат за не толкова ефективни, колкото изолацията на сайтове в отделни процеси. В настолната версия съответните механизми бяха деактивирани още в изданието на Chrome 70.
  • Лесният достъп до настройките за разрешения на сайта, като достъп до микрофона, камерата и определяне на местоположението. За да се покаже списъкът с разрешения, просто натиснете символа на ключалката в адресната лента и след това изберете раздела „Разрешения“.
• В режима Origin Trials (експериментални функции, изискващи отделна активация) са добавени няколко нови API. Origin Trial предполага възможността за работа с определен API от приложения, заредени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничен период от време за конкретен сайт.
  • API за обработка на файлове, позволяващ регистрирането на уеб приложения като обработвачи на файлове. Например, уеб приложение, работещо в режим PWA (Прогресивни уеб приложения) с текстов редактор, може да се регистрира като обработвач на файлове „.txt“, след което може да бъде използвано в системния файлов мениджър за отваряне на текстови файлове.
  • API за преходи на споделени елементи, позволяващ използването на предварително зададени ефекти от браузъра, визуализиращи промените на състоянието на интерфейса в едностранични (SPA) и многостранични (MPA) уеб приложения.
• В CSS правилото @font-face е добавен параметър size-adjust, позволяващ мащабиране на размерите на глифа за конкретно начертание на шрифта, без да се променя стойността на CSS свойството font-size (областта под символа остава същата, но размерът на глифа в тази област се променя).
• В JavaScript в обектите Array, String и TypedArray е реализиран метод at(), позволяващ използването на относителен индекс (относителната позиция се задава като индекс на масива), включително с указване на отрицателни стойности спрямо края (например, „arr.at(-1)“ ще върне последния елемент на масива).
• В конструктора на JavaScript Intl.DateTimeFormat е добавено свойство dayPeriod, позволяващо извеждане на приблизителен период от деня (сутрин, вечер, следобед, през нощта).
• При използването на обекти SharedArrayBuffers, позволяващи създаването на масиви в споделена памет, вече е необходимо определение на HTTP заглавията Cross-Origin-Opener-Policy и Cross-Origin-Embedder-Policy, без които заявката ще бъде блокирана.
• В API Media Session са добавени действия „togglemicrophone“, „togglecamera“ и „hangup“, позволяващи на сайтове, реализиращи системи за видеоконференции, да прикачват свои собствени обработвачи за показаните в интерфейса бутоните picture-in-picture за включване/изключване на микрофона, включване/изключване на камерата и приключване на разговора.
• В API Web Bluetooth е добавена възможност за филтриране на намерените Bluetooth устройства по идентификатори на производителя и продукта. Филтърът се задава чрез параметъра „options.filters“ в метода Bluetooth.requestDevice().
• Реализирана е първата фаза на ограничаването на съдържанието на HTTP заглавката User-Agent: в раздела DevTools Issues сега се показва предупреждение относно остаряването на navigator.userAgent, navigator.appVersion и navigator.platform.
• Внесени са поредица от подобрения в инструментите за уеб разработчици. В уеб консолата е предоставена възможност за презапис на изрази «const». В панела Elements за iframe елементите е предоставена възможност за бърз преглед на детайли чрез контекстното меню, показвано при щракване с десния бутон на мишката върху елемента. Подобрена е отстраняването на грешки с CORS (Cross-origin resource sharing). В панела за инспектиране на мрежовата активност е добавена възможност за филтриране на мрежовите заявки от WebAssembly. Предложеният нов редактор за CSS Grid („display: grid“ и „display: inline-grid“) включва функция за предварителен преглед на промените.

В допълнение към нововъведенията и корекциите на грешки в новата версия са отстранени 35 уязвимости. Много от уязвимостите са идентифицирани чрез автоматизирано тестване с инструменти като AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са открити критични проблеми, които да заобиколят всички нива на защита на браузера и да изпълнят код в системата извън sandbox-окружението. В рамките на програмата за разпределение на парични награди за откриване на уязвимости, Google е изплатила 24 награди на обща стойност 112000 долара (две награди от $15000, четири награди от $10000, една награда от $8500, две награди от $7500, три награди от $5000, една награда от $3000 и една награда от $500). Размерът на 11 награди все още не е определен.

Източник: opennet.ru