Google ha presentat el llançament del navegador web Chrome 104. Al mateix temps, està disponible una versió estable del projecte Chromium gratuït, que serveix com a base de Chrome. El navegador Chrome es diferencia de Chromium per l'ús dels logotips de Google, la presència d'un sistema d'enviament de notificacions en cas d'error, mòduls per reproduir contingut de vídeo protegit contra còpies (DRM), un sistema per instal·lar automàticament actualitzacions, habilitant permanentment l'aïllament Sandbox , subministrant claus a l'API de Google i transmetent paràmetres RLZ- en cercar. Per a aquells que necessiten més temps per actualitzar-se, la branca Extended Stable és compatible per separat, seguida de 8 setmanes. La propera versió de Chrome 105 està programada per al 30 d'agost.
Canvis clau a Chrome 104:
- S'ha introduït un límit de vida útil de les galetes: totes les galetes noves o actualitzades s'eliminaran automàticament després de 400 dies d'existència, fins i tot si el temps de caducitat establert mitjançant els atributs Expires i Max-Age supera els 400 dies (per a aquestes galetes, la vida útil es reduirà). fins a 400 dies). Les cookies creades abans de l'aplicació de la restricció conservaran la seva vida útil, encara que superi els 400 dies, però es limitaran si s'actualitzen. El canvi reflecteix els nous requisits assenyalats a l'esborrany de la nova especificació.
- S'ha activat el bloqueig dels URL d'iframe que fan referència al sistema de fitxers local ("filesystem://").
- Per accelerar la càrrega de la pàgina, s'ha afegit una nova optimització que garanteix que s'estableixi una connexió amb l'amfitrió de destinació en el moment en què feu clic a un enllaç, sense esperar que deixeu anar el botó o elimineu el dit de la pantalla tàctil.
- S'ha afegit la configuració per gestionar l'API "Temes i grups d'interès", promoguda com a part de la iniciativa de la Privacitat Sandbox, que us permet definir categories d'interessos dels usuaris i utilitzar-les en lloc de fer un seguiment de les galetes per identificar grups d'usuaris amb interessos similars sense identificar usuaris individuals. . A més, s'han afegit diàlegs informatius que es mostren una vegada, que expliquen a l'usuari l'essència de la tecnologia i ofereixen activar el seu suport a la configuració.
- S'han augmentat els llindars per limitar les trucades imbricades als temporitzadors setTimeout i setInterval que s'executen amb un interval inferior a 4 ms ("setTimeout(..., <4ms)"). El límit total d'aquestes trucades s'ha augmentat de 5 a 100, la qual cosa permet no reduir de manera agressiva les trucades individuals, però alhora evitar l'abús que pugui afectar el rendiment del navegador.
- Activat és enviar una sol·licitud de confirmació d'autorització CORS (Compartició de recursos entre orígens) al servidor del lloc principal amb la capçalera "Access-Control-Request-Private-Network: true" quan una pàgina accedeix a un subrecurs de la xarxa interna (192.168.xx). , 10. xxx, 172.16-31.xx) o a localhost (127.xxx). En confirmar l'operació en resposta a aquesta sol·licitud, el servidor ha de retornar la capçalera "Access-Control-Allow-Private-Network: true". A la versió 104 de Chrome, el resultat de la confirmació encara no afecta el processament de la sol·licitud; si no hi ha confirmació, es mostra un avís a la consola web, però la sol·licitud de subrecurs no està bloquejada. No s'espera activar el bloqueig sense reconeixement fins a Chrome 107. Per activar el bloqueig en versions anteriors, podeu activar la configuració "chrome://flags/#private-network-access-respect-preflight-results".
Es va introduir la verificació de l'autoritat per part del servidor per reforçar la protecció contra atacs relacionats amb l'accés a recursos a la xarxa local o a l'ordinador de l'usuari (localhost) a partir dels scripts carregats en obrir un lloc. Aquestes sol·licituds són utilitzades pels atacants per dur a terme atacs CSRF a encaminadors, punts d'accés, impressores, interfícies web corporatives i altres dispositius i serveis que accepten sol·licituds només de la xarxa local. Per protegir-se d'aquests atacs, si s'accedeix a algun subrecurs a la xarxa interna, el navegador enviarà una sol·licitud explícita de permís per carregar aquests subrecursos.
- S'ha afegit un mecanisme de captura de regió que us permet retallar contingut innecessari d'un vídeo generat a partir de la captura de pantalla. Per exemple, amb l'API getDisplayMedia, una aplicació web pot transmetre vídeo del contingut d'una pestanya i Region Capture us permet tallar part del contingut que inclou controls de videoconferència.
- S'ha afegit suport per a la nova sintaxi de consulta de mitjans definida a l'especificació de nivell 4 de Media Queries, que determina la mida mínima i màxima de l'àrea visible (vitrina). La nova sintaxi us permet utilitzar operadors de comparació matemàtics comuns i operadors lògics com ara "no", "o" i "i". Per exemple, en lloc de "@media (amplada mínima: 400 px) { … }" ara podeu especificar "@media (amplada >= 400 px) {... }".
- S'han afegit diverses API noves al mode Origin Trials (funcions experimentals que requereixen una activació independent). Origin Trial implica la capacitat de treballar amb l'API especificada des d'aplicacions descarregades des de localhost o 127.0.0.1, o després de registrar-se i rebre un testimoni especial que és vàlid durant un temps limitat per a un lloc específic.
- S'ha afegit una propietat CSS "grup d'enfocament" per millorar la navegació pels elements mitjançant les tecles de fletxa del teclat.
- L'API de confirmació de pagament segur ofereix a l'usuari la possibilitat de desactivar la botiga de configuració de la targeta de crèdit. Per mostrar un diàleg que us permeti negar-vos a desar els paràmetres de la targeta de crèdit, el constructor PaymentRequest() proporciona el senyalador "showOptOut: true".
- S'ha afegit l'API Shared Element Transitions, que us permet organitzar una transició suau entre diferents visualitzacions de contingut en aplicacions web d'una sola pàgina.
- S'ha estabilitzat el suport per a les regles d'especulació, la qual cosa permet als autors del lloc web proporcionar al navegador informació sobre les pàgines més probables a les quals pot anar l'usuari. El navegador utilitza aquesta informació per carregar i representar el contingut de la pàgina de manera proactiva.
- S'ha estabilitzat el mecanisme per empaquetar subrecursos en paquets en format Web Bundle, permetent augmentar l'eficiència de càrrega d'un gran nombre de fitxers acompanyants (estils CSS, JavaScript, imatges, iframes). A diferència dels paquets en format Webpack, el format Web Bundle té els següents avantatges: no és el paquet en si el que s'emmagatzema a la memòria cau HTTP, sinó els seus components; la compilació i l'execució de JavaScript comença sense esperar que el paquet es descarregui completament; Es permet incloure recursos addicionals com ara CSS i imatges, que al webpack s'haurien de codificar en forma de cadenes de JavaScript.
- S'ha afegit la propietat CSS object-view-box, que permet definir una part de la imatge que es mostrarà a l'àrea en lloc d'un element determinat, que es pot utilitzar, per exemple, per afegir una vora o una ombra.
- S'ha afegit l'API de delegació de capacitat de pantalla completa, que permet que un objecte de la finestra delegui a un altre objecte de la finestra el dret de trucar a requestFullscreen().
- S'ha afegit l'API Fullscreen Companion Window, que permet que el contingut i les finestres emergents de pantalla completa es col·loquin en una altra pantalla després de rebre la confirmació de l'usuari.
- S'ha afegit un atribut visual-box a la propietat CSS overflow-clip-margin, que determina on començar a retallar el contingut que va més enllà de la vora de l'àrea (pot prendre els valors content-box, padding-box i border-). Caixa).
- L'API Async Clipboard ha afegit la possibilitat de definir formats especialitzats per a les dades transferides mitjançant el porta-retalls, a part de text, imatges i text amb marcatge.
- WebGL proporciona suport per especificar un espai de color per a la memòria intermèdia de renderització i la transformació quan s'importa des d'una textura.
- El suport per a les plataformes OS X 10.11 i macOS 10.12 s'ha interromput.
- L'API U2F (Cryptotoken), que abans estava obsoleta i desactivada de manera predeterminada, s'ha deixat de fabricar. L'API U2F s'ha substituït per l'API d'autenticació web.
- S'han fet millores a les eines per a desenvolupadors web. El depurador ara té la capacitat de reiniciar el codi des del principi d'una funció després de tocar un punt d'interrupció en algun lloc del cos de la funció. S'ha afegit suport per desenvolupar complements per al panell de la gravadora. S'ha afegit suport per visualitzar les marques establertes en una aplicació web mitjançant la crida al mètode performance.measure() al panell d'anàlisi de rendiment. Recomanacions millorades per a l'emplenament automàtic de propietats d'objectes JavaScript. Quan s'autocompleten variables CSS, es proporcionen visualitzacions prèvies de valors no relacionats amb els colors.
A més de les innovacions i correccions d'errors, la nova versió elimina 27 vulnerabilitats. Moltes de les vulnerabilitats es van identificar com a resultat de proves automatitzades mitjançant les eines AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. No s'han identificat problemes crítics que permetin passar per alt tots els nivells de protecció del navegador i executar codi al sistema fora de l'entorn de la caixa de proves. Com a part del programa de recompenses en efectiu per descobrir vulnerabilitats per a la versió actual, Google va pagar 22 premis per valor de 84 dòlars (un premi de 15000 dòlars, un premi de 10000 dòlars, un premi de 8000 dòlars, un premi de 7000 dòlars, quatre premis de 5000 dòlars, un premi de 4000 dòlars, tres premis , quatre premis de 3000 $ i tres premis de 2000 $). La mida d'una recompensa encara no s'ha determinat.
Font: opennet.ru