Chrome версия 104

Google представи версията на уеб браузъра Chrome 104. В същото време е налична стабилна версия на безплатния проект Chromium, който служи като основа на Chrome. Браузърът Chrome се различава от Chromium в използването на лога на Google, наличието на система за изпращане на известия в случай на срив, модули за възпроизвеждане на защитено от копиране видео съдържание (DRM), система за автоматично инсталиране на актуализации, постоянно активиране на изолацията на Sandbox , доставяйки ключове към Google API и предавайки RLZ- при търсене параметри. За тези, които се нуждаят от повече време за актуализиране, отделно се поддържа клонът Extended Stable, последван от 8 седмици. Следващото издание на Chrome 105 е насрочено за 30 август.

Ключови промени в Chrome 104:

• Въведено е ограничение за живота на бисквитките - всички нови или актуализирани бисквитки ще бъдат автоматично изтрити след 400 дни на съществуване, дори ако времето на изтичане, зададено чрез атрибутите Expires и Max-Age, надвишава 400 дни (за такива бисквитки животът ще бъде намален до 400 дни). Бисквитките, създадени преди прилагането на ограничението, ще запазят живота си, дори ако той надвишава 400 дни, но ще бъдат ограничени, ако се актуализират. Промяната отразява новите изисквания, отбелязани в проекта на новата спецификация.
• Активирано блокиране на URL адреси на iframe, препращащи към локалната файлова система („filesystem://“).
• За да се ускори зареждането на страницата, е добавена нова оптимизация, която гарантира, че връзката с целевия хост се установява в момента, в който щракнете върху връзка, без да чакате да пуснете бутона или да махнете пръста си от сензорния екран.
• Добавени са настройки за управление на API „Теми и групи по интереси“, популяризиран като част от инициативата Privacy Sandbox, който ви позволява да дефинирате категории потребителски интереси и да ги използвате вместо проследяване на бисквитки за идентифициране на групи от потребители с подобни интереси, без да идентифицирате отделни потребители . Освен това са добавени информационни диалогови прозорци, които се показват веднъж, обяснявайки на потребителя същността на технологията и предлагайки да активира нейната поддръжка в настройките.
• Повишени прагове за ограничаване на вложените извиквания до таймери setTimeout и setInterval, работещи с интервал по-малък от 4 ms ("setTimeout(..., <4ms)"). Общият лимит за такива обаждания е увеличен от 5 на 100, което дава възможност да не се намаляват агресивно отделните обаждания, но в същото време да се предотврати злоупотреба, която може да повлияе на работата на браузъра.
• Enabled изпраща заявка за потвърждение на CORS (Cross-Origin Resource Sharing) до основния сървър на сайта със заглавката „Access-Control-Request-Private-Network: true“, когато страница има достъп до подресурс във вътрешната мрежа (192.168.xx , 10. xxx, 172.16-31.xx) или към localhost (127.xxx). Когато потвърждава операцията в отговор на тази заявка, сървърът трябва да върне заглавката „Access-Control-Allow-Private-Network: true“. В Chrome версия 104 резултатът от потвърждението все още не засяга обработката на заявката - ако няма потвърждение, в уеб конзолата се показва предупреждение, но самата заявка за подресурс не се блокира. Активирането на блокиране без потвърждение не се очаква до Chrome 107. За да активирате блокирането в по-ранни версии, можете да активирате настройката „chrome://flags/#private-network-access-respect-preflight-results“.

  Проверката на правомощията от сървъра беше въведена, за да се засили защитата срещу атаки, свързани с достъп до ресурси в локалната мрежа или на компютъра на потребителя (localhost) от скриптове, заредени при отваряне на сайт. Такива заявки се използват от нападателите за извършване на CSRF атаки срещу рутери, точки за достъп, принтери, корпоративни уеб интерфейси и други устройства и услуги, които приемат заявки само от локалната мрежа. За да се предпази от подобни атаки, ако има достъп до подресурси във вътрешната мрежа, браузърът ще изпрати изрична заявка за разрешение за зареждане на тези подресурси.

• Добавен е механизъм за улавяне на региона, който ви позволява да изрежете ненужно съдържание от видео, генерирано въз основа на заснемане на екрана. Например, използвайки getDisplayMedia API, уеб приложение може да предава поточно видео на съдържанието на раздел, а Region Capture ви позволява да изрежете част от съдържанието, което включва контроли за видеоконференция.
• Добавена е поддръжка за новия синтаксис на медийни заявки, дефиниран в спецификацията Media Queries Level 4, която определя минималния и максималния размер на видимата област (прозорец). Новият синтаксис ви позволява да използвате общи оператори за математическо сравнение и логически оператори като "не", "или" и "и". Например, вместо “@media (min-width: 400px) { … }” вече можете да посочите “@media (width >= 400px) { … }”.
• Няколко нови API бяха добавени към режима Origin Trials (експериментални функции, които изискват отделно активиране). Origin Trial предполага възможност за работа с посочения API от приложения, изтеглени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничено време за конкретен сайт.
  • Добавено е CSS свойство „focusgroup“ за подобряване на навигацията през елементи с помощта на клавишите със стрелки на клавиатурата.
  • API за потвърждение на сигурно плащане предоставя възможност на потребителя да деактивира магазина за настройки на кредитната карта. За да се покаже диалогов прозорец, който ви позволява да откажете да запазите параметрите на кредитната карта, конструкторът PaymentRequest() предоставя флага „showOptOut: true“.
  • Добавен е API за преходи на споделени елементи, който ви позволява да организирате плавен преход между различни изгледи на съдържание в уеб приложения с една страница.
• Поддръжката на правилата за спекулации е стабилизирана, позволявайки на авторите на уебсайтове да предоставят на браузъра информация за най-вероятните страници, на които потребителят може да отиде. Браузърът използва тази информация за проактивно зареждане и изобразяване на съдържанието на страницата.
• Механизмът за опаковане на подресурси в пакети във формат Web Bundle е стабилизиран, което позволява да се повиши ефективността на зареждането на голям брой придружаващи файлове (CSS стилове, JavaScript, изображения, iframes). За разлика от пакетите във формата Webpack, форматът Web Bundle има следните предимства: не самият пакет се съхранява в HTTP кеша, а неговите съставни части; компилирането и изпълнението на JavaScript започва без изчакване на пълното изтегляне на пакета; Разрешено е да се включват допълнителни ресурси като CSS и изображения, които в webpack трябва да бъдат кодирани под формата на JavaScript низове.
• Добавено е CSS свойство object-view-box, което ви позволява да дефинирате част от изображението, която ще се показва в областта вместо даден елемент, който може да се използва, например, за добавяне на рамка или сянка.
• Добавен API за делегиране на възможности за цял екран, позволяващ на един обект Window да делегира на друг обект Window правото да извиква requestFullscreen().
• Добавен API за придружаващ прозорец на цял екран, позволяващ съдържание на цял екран и изскачащи прозорци да бъдат поставени на друг екран след получаване на потвърждение от потребителя.
• Добавен е атрибут на визуална кутия към CSS свойството overflow-clip-margin, което определя къде да започне изрязването на съдържание, което надхвърля границата на областта (може да приема стойностите content-box, padding-box и border- кутия).
• API на Async Clipboard добави възможност за дефиниране на специализирани формати за данни, прехвърлени чрез клипборда, различни от текст, изображения и текст с маркиране.
• WebGL осигурява поддръжка за указване на цветово пространство за буфера за изобразяване и трансформация при импортиране от текстура.
• Поддръжката за платформи OS X 10.11 и macOS 10.12 е преустановена.
• U2F (Cryptotoken) API, който преди това беше отхвърлен и деактивиран по подразбиране, е преустановен. U2F API е заменен от API за уеб удостоверяване.
• Направени са подобрения в инструментите за уеб разработчици. Дебъгерът вече има способността да рестартира кода от началото на функция след достигане на точка на прекъсване някъде в тялото на функцията. Добавена е поддръжка за разработване на добавки за панела Recorder. Към панела за анализ на ефективността е добавена поддръжка за визуализиране на маркировки, зададени в уеб приложение чрез извикване на метода performance.measure(). Подобрени препоръки за автоматично довършване на свойства на JavaScript обект. При автоматично попълване на CSS променливи се предоставят визуализации на стойности, които не са свързани с цветовете.

В допълнение към иновациите и корекциите на грешки, новата версия елиминира 27 уязвимости. Много от уязвимостите бяха идентифицирани в резултат на автоматизирано тестване с помощта на инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са идентифицирани критични проблеми, които биха позволили да се заобиколят всички нива на защита на браузъра и да се изпълни код на системата извън средата на пясъчника. Като част от програмата за парични награди за откриване на уязвимости за текущата версия, Google изплати 22 награди на стойност $84 хиляди (една награда от $15000 10000, една награда от $8000 7000, една награда от $5000 4000, една награда от $3000 2000, четири награди от $1000 XNUMX, една награда от $XNUMX XNUMX, три награди от $XNUMX XNUMX , четири награди от $XNUMX и три $XNUMX награди). Размерът на една награда все още не е определен.

Източник: opennet.ru