Издание на уеб браузъра Chrome 131

Компания Google публикува нова версия на уеб браузъра Chrome 131. В същото време е налична стабилна версия на свободния проект Chromium, който е основата на Chrome. Браузърът Chrome се различава от Chromium по това, че използва логотипите на Google, има система за изпращане на известия при срив, модули за възпроизвеждане на защитено от копиране видеосъдържание (DRM), автоматична инсталация на актуализации, постоянна активна Sandbox изолация, предоставяне на ключове за Google API и предаване на RLZ параметри при търсене. За потребителите, които се нуждаят от повече време за актуализация, се поддържа отделна клонка Extended Stable, която е на разположение за 8 седмици. Следващата версия на Chrome 132 е планирана за 14 януари.

Основни промени в Chrome 131:

• В интегрирания PDF прегледач е разширена възможността за разпознаване на текст в сканирани PDF документи, при които текстът е поставен под формата на изображение. Текстът се разпознава на локалната система с помощта на вграден двигател за оптично разпознаване на символи (OCR), базиран на машинно обучение. За разлика от предишни версии, сканираните документи сега автоматично се преобразуват в текстово представяне, за което са налични функции за маркиране, търсене и копиране в клипборда.
• Въведена е възможност за активиране на разширени проверки в системата за разпределение на памет PartitionAlloc, които позволяват блокиране на уязвимостите, причинени от достъп до вече освободени области на паметта (use-after-free). По подразбиране тези проверки са изключени поради възможното им негативно влияние върху производителността. Все пак, за внедрявания, при които сигурността е по-важна от производителността, сега са предоставени отделни enterprise политики за активиране на допълнителна защита.
• В интегрирания хранилище на кореновите сертификати (Chrome Root Store) беше прекратено доверието към удостоверяващия център Entrust поради многобройни нарушения на изискванията към удостоверяващите центрове, несъответствие с времевите рамки за реагиране на проблемни сертификати, забавяне на оттеглянето на сертификати, неправилно оформяне на отчети за инциденти и несъобразяване с правилата при издаването. на TLS сертификати ниво EV (Разширена валидност), което изисква проверка на документи относно собствеността на домейна и потвърждение на собственика на ресурса. Поради липса на действия за отстраняване на установените недостатъци, TLS сертификатите, издадени от Entrust след 11 ноември 2024 година, ще бъдат считани за недостоверни в Chrome. Сертификатите, издадени преди 11 ноември, продължават да се възприемат като нормални.
• В версията за Android е включена възможността за свързване на външни доставчици за автоматично попълване на формуляри и запазване на пароли, без да е обвързана с API Accessibility.
• В версията за Android е улеснено свързването с профила в Google и управлението на синхронизацията на данни между различни браузъри. Синхронизацията вече не е представена като отделна функция в настройките, а е комбинирана с функцията за свързване с профила на Google, което позволява да се използва и съхранява в Google Account информация като пароли и отметки.
• Започна постепенно активацията на новия режим за пестене на енергия (Energy saver), при който автоматично се замразяват раздели, които консумират много ресурси на CPU, но не възпроизвеждат звук и са скрити за повече от 5 минути. Изключение се прави само за раздели, свързани с управление на външни устройства или провеждане на видео и аудио конференции (тези раздели се определят въз основа на достъпа до API за работа с USB, Bluetooth, камера, входни устройства и микрофон, както и организация на комуникационен канал с помощта на RTCDataChannel или MediaStreamTrack). За управление на активирането на авто-замразяването може да се използва настройката „chrome://flags/#freezing-on-energy-saver“.
• Добавени са експериментални режими за пестене на памет (Memory saver) — Moderate, Balanced и Maximum, които позволяват избора на метод за освобождаване на памет от неактивни раздели. В режим Moderate паметта на разделите се деактивира само при недостиг на памет в системата; в режим Maximum разделите се деактивират след кратко време след като станат неактивни, а в режим Balanced неактивните раздели се деактивират с оглед на свободната памет в системата.
• Добавени са допълнителни настройки, свързани с производителността, например, възможността за указване на сайтове, които остават постоянно активни (без забавяне на работата на фона), избор на метод за визуална индикация на деактивираните табове и показване на потреблението на памет в изскачащите миниатюри на табовете.
• Добавен е инструментът „Performance Detection“, който открива потенциални проблеми с производителността на преглежданите страници и показва известие с препоръки за решаване на проблема с едно кликване. Например, за да ускори текущия раздел, браузърът може да предложи деактивиране на други раздели, които консумират много ресурси.
• В TLS 1.3 и QUIC алгоритъмът за инкапсуляция на ключове (KEM, Key Encapsulation Mechanism) „X25519Kyber768“, устойчив на под подбиране от квантови компютри, е преминал към използването на окончателната спецификация ML-KEM (CRYSTALS-Kyber), стандартизирана от Националния институт за стандарти и технологии на САЩ (NIST). X25519Kyber768 представлява комбинация от X25519 ECDH и алгоритма ML-KEM, използващ методи на криптография, основани на решения на проблеми от теорията на решетките, времето за решаване на които не се различава при обикновени и квантови компютри.
• В функцията за търсене по изображение с помощта на услугата Google Lens, достъпна чрез контекстното меню, е добавена поддръжка за наложен превод на друг език (преведеният текст се показва върху оригиналния текст на изображението).
• Добавен е API Direct Sockets, позволяващ установяване на директни TCP и UDP връзки с външни системи, както и създаване на слушащи сокети за прием на връзки. При първия опит за свързване с нов хост на потребителя се показва искане за потвърждение на операцията. Необходимостта от добавяне на нов API се обяснява с предоставянето на възможност за взаимодействие с мрежови устройства, които използват собствени протоколи, работещи над TCP и UDP, и не поддържат взаимодействие чрез HTTPS или WebSockets.
• В режима „Origin trials“ е реализиран API Summarizer за резюмиране на текст (кратко изложение на същността), използвайки голяма езикова модел.
• В режим «Origin trials» е добавен API Playout Statistics, който определя интерфейса AudioContext.playoutStats за получаване на статистика относно качеството и забавянията при възпроизвеждане на звук чрез API WebAudio.
• Защита от злоупотреблений теперь включает запрос подтверждения полномочий при использовании API Keyboard Lock и Pointer Lock, которые обеспечивают дополнительный контроль над клавиатурой и мышью (например, можно скрыть стандартный указатель мыши и реализовать собственную обработку перемещения мыши). Проверить статус предоставления полномочий можно через API Permissions.
• Позволено добавление дополнительных тегов в HTML-элемент «<select>», помимо стандартных тегов «<option>», «<optgroup>» и «<hr>». Изменение внесено как шаг к реализации настраиваемого варианта «<select>», что расширяет возможности оформления меню.
• В CSS свойствата «clip-path», «fill», «stroke» и «marker-*» е добавена поддръжка за указване на външни SVG ресурси. Например, сега е възможно да се укаже ‘clip-path: url(«resources.svg#myPath»)’.
• Моделът за наследяване на свойствата на стиловете за текстово маркиране, определени чрез псевдокласите «::selection» и «::target-text», бе променен. Сега той следва модела на наследяване на псевдокласите «::highlight», «::spelling-error» и «::grammar-error» и вече зависи не от структурата на документа (вериги от HTML елементи), а от начина, по който се маркира текстът (вериги от маркиране). В примерa по-долу цветът на вложените елементи с текст в параграфа «<p class="»blue»">» сега ще бъде избран в съответствие със стила на псевдокласа «::selection», а не с цвета, зададен за параграфа. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Това е <em>подчертаният</em> текст. </p>
• Премахнати са ограниченията, които не позволяваха задаване на CSS свойства «display» за HTML елементи «
  » и «

  ». В CSS е добавен псевдоелементът «::details-content» за настройка на оформлението на свиваемия и разширяем блок.
• Добавено е CSS свойство «font-variant-emoji» за настройка на стила на отображение на Emoji. Например, може да се избере текстово или графично представяне.
• В CSS-правиле @page, предназначенном для изменения оформления страницы перед выводом на печать или экспортом в формат PDF, появилась возможность определения областей для размещения контента в области полей страницы, например, для добавления своего заголовка, примечания сбоку или футера.
• Обявено е за остаряло CSS свойството «inset-area», което се използваше за управление на показването на елементи, привързани към местоположението на други елементи (CSS Anchor Positioning). В съответствие с препоръката на работната група, занимаваща се със стандартизацията на CSS, на мястото на «inset-area» идва напълно аналогичното свойство «position-area».
• Расширены возможности инструментов для web-разработчиков. В панель Performance добавлены новые функции анализа производительности. Предложена экспериментальная панель с AI-ассистентом, в которой в форме чата можно получить ответы на вопросы, возникающие при отладке, или уточнить моменты, связанные с CSS.
  

Освен нововъведенията и корекциите на грешки, в новата версия са отстранени 12 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. На един проблем е присвоен висок риск (проблем в кода за работа с разширения в движка Blink). Критични проблеми, които позволяват заобикалянето на всички нива на защита на браузъра и изпълнението на код в системата извън sandbox средата, не са установени. В рамките на програмата за изплащане на парични награди за открития на уязвимости за текущия релиз компанията Google е изплатила 8 награди на стойност 1000 долара (една награда от $1000). Размерът на 7 от наградите все още не е определен.

Източник: opennet.ru