Chrome версия 91

Google представи версията на уеб браузъра Chrome 91. В същото време е налична стабилна версия на безплатния проект Chromium, който служи като основа на Chrome. Браузърът Chrome се отличава с използването на лога на Google, наличието на система за изпращане на известия в случай на срив, модули за възпроизвеждане на защитено видео съдържание (DRM), система за автоматично инсталиране на актуализации и предаване на RLZ параметри при търсене. Следващото издание на Chrome 92 е насрочено за 20 юли.

Ключови промени в Chrome 91:

• Внедрена е възможността за спиране на изпълнението на JavaScript в свита група раздели. Chrome 85 въведе поддръжка за организиране на раздели в групи, които могат да бъдат свързани с определен цвят и етикет. Когато щракнете върху етикет на група, разделите, свързани с него, се свиват и вместо това остава един етикет (повторното щракване върху етикета отваря групата). В новата версия, за да се намали натоварването на процесора и да се спести енергия, активността в минимизирани раздели е спряна. Изключение се прави само за раздели, които възпроизвеждат звук, използват Web Locks или IndexedDB API, свързват се към USB устройство или заснемат видео, звук или съдържание на прозорец. Промяната ще бъде въведена постепенно, като се започне с малък процент потребители.
• Включена поддръжка за метод на ключово споразумение, който е устойчив на груба сила на квантовите компютри. Квантовите компютри са радикално по-бързи при решаването на проблема с разлагането на естествено число на прости множители, което е в основата на съвременните алгоритми за асиметрично криптиране и не може да бъде ефективно решено на класически процесори. За използване в TLSv1.3 е предоставен плъгинът CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2), съчетаващ класическия механизъм за обмен на ключ X25519 със схемата HRSS, базирана на алгоритъма NTRU Prime, предназначен за пост-квантови криптосистеми.
• Поддръжката на протоколите TLS 1.0 и TLS 1.1, които бяха обявени за остарели от комитета на IETF (Internet Engineering Task Force), беше напълно преустановена. Включително възможността за връщане на TLS 1.0/1.1 чрез промяна на правилото за SSLVersionMin е премахнато.
• Сглобките за платформата Linux включват използването на режима „DNS през HTTPS“ (DoH, DNS през HTTPS), който преди беше предоставен на потребителите на Windows, macOS, ChromeOS и Android. DNS-over-HTTPS ще се активира автоматично за потребители, чиито настройки посочват DNS доставчици, които поддържат тази технология (за DNS-over-HTTPS се използва същият доставчик като за DNS). Например, ако потребителят има DNS 8.8.8.8, указан в системните настройки, тогава услугата DNS-over-HTTPS на Google („https://dns.google.com/dns-query“) ще бъде активирана в Chrome, ако DNS е 1.1.1.1 , след това услугата DNS-over-HTTPS Cloudflare („https://cloudflare-dns.com/dns-query“) и т.н.
• Порт 10080, който се използва в Amanda backup и VMWare vCenter, е добавен към списъка със забранени мрежови портове. Преди това вече бяха блокирани портове 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 и 6566. За портове в черния списък изпращането на HTTP, HTTPS и FTP заявки е блокирано, за да се защити срещу NAT slipstreaming атака , което позволява при отваряне на уеб страница, специално подготвена от атакуващия в браузъра, да се установи мрежова връзка от сървъра на атакуващия към всеки UDP или TCP порт в системата на потребителя, въпреки използването на вътрешния адресен диапазон (192.168.xx, 10 .xxx).
• Възможно е да се конфигурира автоматично стартиране на самостоятелни уеб приложения (PWA - Progressive Web Apps), когато потребителят влезе в системата (Windows и macOS). Автоматичното стартиране е конфигурирано на страницата chrome://apps. В момента функционалността се тества върху малък процент потребители, а за останалите изисква активиране на настройката „chrome://flags/#enable-desktop-pwas-run-on-os-login“.
• Като част от работата по преминаване на браузъра към използване на включваща терминология, файлът „master_preferences“ е преименуван на „initial_preferences“. За да се поддържа съвместимостта, поддръжката за „master_preferences“ ще остане в браузъра известно време. Преди това браузърът вече се беше отървал от използването на думите „бял ​​списък“, „черен списък“ и „роден“.
• Режимът на подобрено безопасно сърфиране, който активира допълнителни проверки за защита срещу фишинг, злонамерена дейност и други заплахи в мрежата, включва възможността за изпращане на изтеглени файлове за сканиране от страна на Google. В допълнение, подобреното безопасно сърфиране прилага отчитане на токени, свързани с акаунт в Google, при идентифициране на опити за фишинг, както и изпращане на стойности на заглавката на Referrer до сървърите на Google, за да проверят за препращане от злонамерен сайт.
• В изданието за платформата Android е подобрен дизайнът на елементите на уеб формуляра, които са оптимизирани за използване на сензорни екрани и системи за хора с увреждания (за настолни системи дизайнът е преработен в Chrome 83). Целта на преработката беше да се обедини дизайнът на елементите на формуляра и да се премахнат стиловите несъответствия - преди това някои елементи на формуляра бяха проектирани в съответствие с елементите на интерфейса на операционната система, а някои в съответствие с най-популярните стилове. Поради това различните елементи бяха пригодени по различен начин за сензорни екрани и системи за хора с увреждания.
• Добавено е проучване на потребителското мнение, което се показва при отваряне на настройките на Privacy Sandbox (chrome://settings/privacySandbox).
• Когато стартирате версията на Chrome за Android на таблетни компютри с големи екрани, заявката се прави за настолната версия на сайта, а не за изданието за мобилни устройства. Можете да промените поведението с помощта на настройката „chrome://flags/#request-desktop-site-for-tablets“.
• Кодът за изобразяване на таблици е преработен, което ни позволи да разрешим проблеми с непоследователност в поведението при показване на таблици в Chrome и във Firefox/Safari.
• Обработката на сървърни сертификати от испанския сертифициращ орган Camerfirma е спряна поради повтарящи се инциденти от 2017 г. насам, включващи нарушения при издаването на сертификати. Поддръжката за клиентски сертификати се запазва; блокирането се прилага само за сертификати, използвани на HTTPS сайтове.
• Продължаваме да прилагаме поддръжка за мрежово сегментиране, за да се предпазим от методи за проследяване на движенията на потребителите между сайтове въз основа на съхраняване на идентификатори в области, които не са предназначени за постоянно съхранение на информация („Супербисквитки“). Тъй като кешираните ресурси се съхраняват в общо пространство от имена, независимо от първоначалния домейн, един сайт може да определи, че друг сайт зарежда ресурси, като проверява дали този ресурс е в кеша. Защитата се основава на използването на мрежово сегментиране (Network Partitioning), чиято същност е да добави към споделените кеши допълнително свързване на записи към домейна, от който се отваря главната страница, което ограничава покритието на кеша само за скриптове за проследяване на движение към текущия сайт (скрипт от iframe няма да може да провери дали ресурсът е изтеглен от друг сайт).

  Цената на сегментацията е намаляване на ефективността на кеширане, което води до леко увеличаване на времето за зареждане на страницата (максимум с 1.32%, но за 80% от сайтовете с 0.09-0.75%). За да тествате режима на сегментиране, можете да стартирате браузъра с опцията „—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey, PartitionSSLSessionsBy NetworkIsolationKey, SplitHostCacheB yNetworkIsolationKey".

• Добавен външен REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome), чрез който можете да получите информация за версиите на Chrome във връзка с платформи и клонове, както и хронология на актуализациите на браузъра.
• Във вградени рамки, заредени от домейни, различни от домейна на основната страница, показването на диалогови прозорци на JavaScript alert(), confirm() и prompt() е забранено, което ще защити потребителите от опити на скрипт на трета страна да показва съобщения под прикритие, че известието е показано от главния сайт.
• WebAssembly SIMD API е стабилизиран и се предлага по подразбиране за използване на векторни SIMD инструкции в WebAssembly-форматирани приложения. За да се гарантира независимост от платформата, той предлага нов 128-битов тип, който може да представя различни типове пакетирани данни, както и няколко основни векторни операции за обработка на пакетирани данни. SIMD ви позволява да увеличите производителността чрез паралелизиране на обработката на данни и ще бъде полезно при компилиране на естествен код в WebAssembly.
• Няколко нови API бяха добавени към режима Origin Trials (експериментални функции, които изискват отделно активиране). Origin Trial предполага възможност за работа с посочения API от приложения, изтеглени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничено време за конкретен сайт.
  • WebTransport е протокол и придружаващ JavaScript API за изпращане и получаване на данни между браузъра и сървъра. Комуникационният канал е организиран върху HTTP/3, използвайки протокола QUIC като транспорт, който от своя страна е добавка към UDP протокола, който поддържа мултиплексиране на множество връзки и предоставя методи за криптиране, еквивалентни на TLS/SSL.

    WebTransport може да се използва вместо механизми WebSockets и RTCDataChannel, като предлага допълнителни функции като многопоточно предаване, еднопосочни потоци, доставка извън реда, надеждни и ненадеждни режими на доставка. Освен това WebTransport може да се използва вместо механизма Server Push, който Google изостави в Chrome.

  • Декларативен интерфейс за дефиниране на връзки към самостоятелни уеб приложения (PWA), активиран с помощта на параметъра capture_links в манифеста на уеб приложението и позволяващ на сайтовете автоматично да отварят нов PWA прозорец, когато се щракне върху връзка към приложение или да превключите към режим на един прозорец, подобно на мобилните приложения.
  • Добавен е API за откриване на равнина WebXR, който предоставя информация за равнинни повърхности във виртуална 3D среда. Посоченият API позволява да се избегне ресурсоемка обработка на данни, получени чрез извикването MediaDevices.getUserMedia(), като се използват патентовани реализации на алгоритми за компютърно зрение. Нека ви напомним, че WebXR API ви позволява да обедините работата с различни класове устройства за виртуална реалност, от стационарни 3D шлемове до решения, базирани на мобилни устройства.
• Реализирана е поддръжка за работа с WebSockets over HTTP/2 (RFC 8441), която е валидна само за защитени заявки към WebSockets и при наличие на вече изградена HTTP/2 връзка със сървъра, с което е обявена поддръжка за „WebSockets over HTTP/2” разширение.
• Ограниченията за прецизността на стойностите на таймера, получени от извикване на performance.now(), са последователни във всички поддържани платформи и включват потенциала за изолиране на манипулатори в отделни процеси. Например при настолни системи точността при обработка в неизолирани контексти е намалена от 5 на 100 микросекунди.
• Десктоп компилациите вече включват възможност за четене на файлове от клипборда (записването на файлове в клипборда все още е забранено). async функция onPaste(e) { нека файл = e.clipboardData.files[0]; нека съдържанието = чака file.text(); }
• CSS прилага правилото @counter-style, което ви позволява да дефинирате свой собствен стил за броячи и етикети в номерирани списъци.
• CSS псевдо-класовете „:host()“ и „:host-context()“ са добавили възможност за предаване на единични стойности на съставни селектори ( ) в допълнение към списъците за избор ( ).
• Добавен интерфейс GravitySensor за определяне на обемни (три координатни оси) данни от гравитационния сензор.
• API за достъп до файловата система предоставя възможност за дефиниране на препоръки за избор на име на файл и директория, предлагани в диалоговия прозорец за създаване или отваряне на файл.
• На вградени рамки, заредени от други домейни, е разрешен достъп до WebOTP API, ако потребителят даде съответните разрешения. WebOTP ви позволява да четете еднократни кодове за потвърждение, изпратени чрез SMS.
• Разрешено споделяне на достъп до идентификационни данни за сайтове, свързани с помощта на механизма DAL (Digital Asset Links), който позволява на приложенията за Android да бъдат свързвани със сайтове за опростяване на влизането.
• Сервизните работници позволяват използването на JavaScript модули. Когато посочите типа „модул“, когато извиквате конструктора, посочените скриптове ще бъдат заредени под формата на модули и ще бъдат достъпни за импортиране в работния контекст. Поддръжката на модули улеснява споделянето на код между уеб страници и обслужващи работници.
• JavaScript предоставя възможност за проверка за съществуването на частни полета в обект, използвайки синтаксиса "#foo в obj". клас A { статичен тест (obj) { console.log (#foo в obj); } #foo = 0; } A.test(нов A()); // вярно A.test({}); // невярно
• JavaScript по подразбиране позволява използването на ключовата дума await в модули на най-високо ниво, което позволява асинхронните извиквания да бъдат по-плавно интегрирани в процеса на зареждане на модула и избягва обвиването им в „асинхронна функция“. Например, вместо (async function() { await Promise.resolve(console.log('test')); }()); сега можете да пишете await Promise.resolve(console.log('test'));
• V8 JavaScript двигателят подобри ефективността на кеширането на шаблони, което увеличи скоростта на преминаване на теста Speedometer4.5-FlightJS с 2%.
• Голяма част от подобренията са направени в инструментите за уеб разработчици. Добавен е нов режим на инспектор на паметта, предоставящ инструменти за изследване на данни от ArrayBuffer и Wasm памет.

  В панела за ефективност е добавен обобщен индикатор за ефективност, който ви позволява да прецените дали даден сайт изисква оптимизация или не.

  

  Визуализациите на изображението в панела Elements и панела Network Analysis предоставят информация за съотношението на изображението, опциите за изобразяване и размера на файла.

  

  В панела за проверка на мрежата вече е възможно да промените приетите стойности на заглавката Content-Encoding.

  

  В панела със стилове вече можете бързо да видите изчислената стойност, когато навигирате през CSS параметрите, като изберете „Преглед на изчислената стойност“ в контекстното меню.

  

В допълнение към иновациите и корекциите на грешки, новата версия елиминира 32 уязвимости. Много от уязвимостите бяха идентифицирани в резултат на автоматизирано тестване с помощта на инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са идентифицирани критични проблеми, които биха позволили да се заобиколят всички нива на защита на браузъра и да се изпълни код на системата извън средата на пясъчника. Като част от програмата за изплащане на парични награди за откриване на уязвимости за текущата версия, Google изплати 21 награди на стойност $92000 20000 (една награда от $15000 7500, една награда от $5000 3000, четири награди от $1000 500, три награди от $5 XNUMX, три награди от $XNUMX XNUMX, две награди от $XNUMX XNUMX и две $XNUMX). Размерът на XNUMX-те награди все още не е определен.

Източник: opennet.ru