Издание Chrome 97

Компания Google представи версия на уеб браузъра Chrome 97. В същото време е наличен стабилен релиз на свободния проект Chromium, който служи като основа за Chrome. Браузерът Chrome се отличава с употребата на логотипите на Google, система за известяване при срив, модули за възпроизвеждане на защитен от копиране видео съдържание (DRM), система за автоматично инсталиране на актуализации и предаване на RLZ параметри при търсене. За хората, на които им трябва повече време за обновяване, се поддържа отделна версия Extended Stable, която продължава 8 седмици и която включва актуализация за предишния релиз Chrome 96. Следващият релиз на Chrome 98 е планиран за 1 февруари.

Основни промени в Chrome 97:

• За част от потребителите в конфигуратора е активиран нов интерфейс за управление на данни, съхранявани на страната на браузъра ("chrome://settings/content/all"). Ключовото отличие на новия интерфейс е насочено към настройки на правомощията и еднократно изчистване на всички бисквитки на сайта, без възможност за преглед на детайлната информация за отделни бисквитки и селективно изтриване на бисквитки. Според Google, достъпът до управлението на отделни бисквитки за обикновения потребител, който не разбира от уеб разработка, може да доведе до непредсказуеми проблеми в работата на сайтовете поради необмисленото изменение на отделни параметри, както и до случайно деактивиране на механизми за защита на конфиденциалността, активирани чрез бисквитки. За тези, на които им трябват манипулации с отделни бисквитки, се препоръчва използването на секцията за управление на хранилището в инструментите за уеб разработчици (Application/Storage/Cookie).
• В блока с информация за сайта е реализиран изход за кратко описание на сайта (например, описание от Wikipedia), ако в настройките е активиран режимът на оптимизация на търсене и навигация (опция "Make searches and browsing better").
• Подобрена е поддръжката на автоматично попълване на полета в уеб формуляри. Препоръките с варианти за автозапълване сега се изписват с малък отстъп и са придружени от информационни пиктограми за по-удобен предварителен преглед и визуално определяне на връзката с попълваното поле. Например, пиктограмата за профил показва, че предлаганото автозапълване засяга полета, свързани с адреса и контактната информация.
• Осигурено е премахването от паметта на обработчиците на потребителски профили след затваряне на свързаните с тях прозорци на браузъра. Порано профилите оставаха в паметта и продължаваха да изпълняват задачи, свързани със синхронизирането и изпълнението на фонови скриптове на разширения, което водеше до неоправдана загуба на ресурси на системите, в които се използват няколко профила едновременно (например, гост профил и свързване към акаунт в Google). Освен това, е осигурено по-внимателно почистване на данните, които остават в процеса на работа с профила.
• Подобрена е страницата с настройките за търсещи системи ("Настройки>Управление на търсещи машини"). Автоматичната активация на двигатели, информацията за които се предоставя при отваряне на сайта през скрипта OpenSearch, е деактивирана — новите двигатели за обработка на търсения от адресната лента сега трябва да бъдат активирани в настройките ръчно (по-рано автоматично активираните двигатели ще продължат да работят без изменения).
• От 17 януари каталогът Chrome Web Store няма да приема разширения, използващи втора версия на манифеста на Chrome, но разработчиците на по-рано добавени разширения все още ще могат да публикуват актуализации.
• Добавена е експериментална поддръжка на спецификацията WebTransport, която определя протокол и свързващ JavaScript API за изпращане и приемане на данни между браузъра и сървъра.. Каналът за връзка се организира над HTTP/3, използвайки протокола QUIC като транспорт. WebTransport може да се използва вместо механизма WebSockets, предлагащ допълнителни възможности като организиране на предаване в множество потоци, еднопосочни потоци, доставка без спазване на реда на изпращане на пакети (out-of-order), надеждни и ненадеждни режими на доставка. Освен това, WebTransport може да се прилага вместо механизма Server Push, от който Google се отказа в Chrome.
• В JavaScript-обектите Array и TypedArrays са добавени методите findLast и findLastIndex, които позволяват търсене на елементи с извеждане на резултата спрямо края на масива. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (последният четен елемент)
• Затворените (без атрибута „open“) HTML-елементи <details>, сега са достъпни за търсене и линкове и автоматично се разкриват при използване на търсенето по страницата и навигацията по фрагменти (ScrollToTextFragment).
• Ограничения на Content Security Policy (CSP) в заглавията на отговорите сървър сега се прилагат и към отделни worker-и, които преди това се тълкуваха като отделни документи.
• Осигурен е явен запрос за разрешение за зареждане на всякакви субресурси от вътрешната мрежа — преди да се обърне към вътрешната мрежа или към localhost на основния сайт, сега се изпраща CORS (Cross-Origin Resource Sharing) запрос с заглавие «Access-Control-Request-Private-Network: true», изискващ потвърждение на операцията чрез връщането на заглавие «Access-Control-Allow-Private-Network: true».
• Добавено е CSS свойство font-synthesis, което позволява управление на възможността за синтезиране от браузъра на липсващи начертания на шрифтове (oblique, bold и small-cap), които не са налични в избраното шрифтово семейство.
• За CSS трансформации в функцията perspective() е реализиран параметър ‘none’, който се обработва като безкрайно значение при организиране на анимации.
• В HTTP заглавието Permissions-Policy (Feature Policy), прилагано за делегиране на разрешения и включване на разширени възможности, е добавена поддръжка на стойността keyboard-map, разрешаваща използването на API Keyboard. Реализиран е методът Keyboard.getLayoutMap(), който позволява определяне на коя клавиша е натисната с оглед на различни разположения на клавиатурата (например, натисната клавиша при руска или английска разложка).
• Добавен е методът HTMLScriptElement.supports(), унифициращ определението на новите възможности, налични в елемента «script», например, можете да разберете списък на поддържаните стойности за атрибута «type».
• Процесът на нормализиране на новите редове при изпращане на уеб формуляр е приведен в съответствие с браузърните двигатели Gecko и WebKit. Нормализирането на символи за нов ред и връщане на каретката (замяна на /r и /n с \r\n) в Chrome сега се извършва на финалния етап, а не в началото на обработката на изпращането на формуляра (т.е. междинни обработчици, използващи обекта FormData, ще виждат данните така, както ги е добавил потребителят, а не в нормализиран вид).
• Стандартизирано е наименованието на имена на свойства за API Client Hints, които се развиват като замяна на заглавието User-Agent и позволяват селективно предоставяне на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) само след запитване от сървъра. Свойствата сега се задават с префикс «sec-ch-«, например sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink и sec-ch-ect.
• Прилагането на втората фаза на прекратяване на поддръжката на API WebSQL, достъпът до който от външни скриптове вече ще бъде блокиран. В бъдеще е предвидено постепенно да се прекрати напълно поддръжката на WebSQL, независимо от контекста на използване. Обработчикът на WebSQL е базиран на кода на SQLite и може да е бил използван от злонамерени лица за експлоатация на уязвимости в SQLite.
• За платформата Windows е включена сборка с проверки за целостта на потока на изпълнение (CFG, Control Flow Guard), които блокират опитите за подмяна на кода в процеса Chrome. Освен това, за мрежовите услуги, изпълнявани в отделни процеси, сега се прилага изолация от песен, която ограничава възможностите на кода в тези процеси.
• В Chrome за Android е включен механизъм за динамично обновяване на логовете на издадените и отзовани сертификати (Certificate Transparency), който преди това беше активиран в сборовете за настолни системи.
• Внесени са подобрения в инструментите за уеб разработчици. Реализирана е експериментална поддръжка за синхронизиране на настройките на DevTools между различни устройства. Добавена е нова панел Recorder, с помощта на която може да се записва, възпроизвежда и анализира действията на потребителя на страницата.

  При извеждане на грешки в уеб конзолата е осигурено показването на свързаните с проблема номера на колоните, което е удобно за отстраняване на проблеми в минифицирания JavaScript код. Обновен е списъкът на устройствата, които може да се симулират за оценка на визуализацията на страницата на мобилни устройства. В интерфейса за редактиране на HTML блокове (Edit as HTML) е добавена поддръжка на синтаксис и възможност за автоматично окончаване на въвеждането.

  

Освен нововъведенията и корекциите на грешки в новата версия са отстранени 37 уязвимости. Много от уязвимостите са установени в резултат на автоматизирано тестване с инструменти като AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Една от уязвимостите е определена като критична, което позволява заобикаляне на всички нива на защита на браузъра и изпълнение на код в системата, извън средата на песен. Подробности за критичната уязвимост (CVE-2022-0096) все още не са разкрити, известно е само, че тя е свързана с достъпа до вече освободена област от паметта в кода за работа с вътрешни хранилища (API Storage).

В рамките на програмата за плащане на парични възнаграждения за откритие на уязвимости за текущото издание, компанията Google изплати 24 премии на обща стойност 54 хиляди долара САЩ (три премии от $10000, две премии от $5000, една премия от $4000, три премии от $3000 и една премия от $1000). Размерът на 14 от премиите все още не е определен.

Източник: opennet.ru