Google ha presentat el llançament del navegador web Chrome 105. Al mateix temps, està disponible una versió estable del projecte Chromium gratuït, que serveix de base per a Chrome. El navegador Chrome es diferencia de Chromium per l'ús dels logotips de Google, la presència d'un sistema d'enviament de notificacions en cas d'error, mòduls per reproduir contingut de vídeo protegit contra còpies (DRM), un sistema per instal·lar automàticament actualitzacions, habilitant permanentment l'aïllament Sandbox , subministrant claus a l'API de Google i transmetent RLZ durant les cerques. Per a aquells que necessiten més temps per actualitzar-se, la branca Extended Stable és compatible per separat, seguida de 8 setmanes. La propera versió de Chrome 106 està programada per al 27 de setembre.
Canvis clau a Chrome 105:
- El suport per a aplicacions web especialitzades Chrome Apps s'ha interromput i s'ha substituït per aplicacions web autònomes basades en tecnologia Progressive Web Apps (PWA) i API web estàndard. Google va anunciar inicialment la seva intenció d'abandonar les aplicacions de Chrome el 2016 i tenia previst deixar de donar-hi suport fins al 2018, però després va ajornar aquest pla. A Chrome 105, quan proveu d'instal·lar Chrome Apps, rebreu un avís que ja no seran compatibles, però que les aplicacions es continuaran executant. A Chrome 109, es desactivarà la possibilitat d'executar les aplicacions de Chrome.
- S'ha proporcionat un aïllament addicional per al procés de representació, que és responsable de la representació. Aquest procés ara es realitza en un contenidor addicional (App Container), implementat a la part superior del sistema d'aïllament de sandbox existent. Si s'explota una vulnerabilitat en el codi de representació, les restriccions afegides evitaran que l'atacant tingui accés a la xarxa impedint l'accés a les trucades del sistema relacionades amb les capacitats de la xarxa.
- Implementat el seu propi emmagatzematge unificat de certificats arrel de les autoritats de certificació (Chrome Root Store). El nou magatzem encara no està habilitat per defecte i fins que no s'hagi completat la implementació, els certificats es continuaran verificant mitjançant un magatzem específic per a cada sistema operatiu. La solució que s'està provant recorda l'enfocament de Mozilla, que manté un magatzem de certificats arrel independent independent per al Firefox, que s'utilitza com a primer enllaç per comprovar la cadena de confiança del certificat quan s'obren llocs mitjançant HTTPS.
- S'han començat els preparatius per a la desactivació de l'API Web SQL, que no està estandarditzada, no s'utilitza en gran mesura i requereix un redisseny per complir els requisits de seguretat moderns. Chrome 105 impedeix l'accés a Web SQL des del codi carregat sense utilitzar HTTPS i també afegeix un avís de desús a DevTools. Està previst que l'API Web SQL s'elimini el 2023. Per als desenvolupadors que necessitin aquesta funcionalitat, es prepararà un reemplaçament basat en WebAssembly.
- La sincronització de Chrome ja no admet la sincronització amb Chrome 73 i versions anteriors.
- Per a les plataformes macOS i Windows, s'activa el visualitzador de certificats integrat, que substitueix la trucada a la interfície proporcionada pel sistema operatiu. Anteriorment, el visor integrat només s'utilitzava a les compilacions per a Linux i ChromeOS.
- La versió d'Android afegeix la configuració per gestionar l'API de Topics & Interest Group, promoguda com a part de la iniciativa Privacy Sandbox, que us permet definir categories d'interessos dels usuaris i utilitzar-les en lloc de fer un seguiment de les galetes per identificar grups d'usuaris amb interessos similars sense identificar individus. usuaris. A la darrera versió, es van afegir configuracions similars a les versions per a Linux, ChromeOS, macOS i Windows.
- Quan activeu la protecció millorada del navegador (Navegació segura > Protecció millorada), es recull la telemetria sobre els complements instal·lats, l'accés a l'API i les connexions a llocs externs. Aquestes dades s'utilitzen als servidors de Google per detectar activitats malicioses i violacions de les regles per part dels complements del navegador.
- Obsolet i bloquejarà l'ús de caràcters no ASCII als dominis especificats a la capçalera de la galeta a Chrome 106 (per als dominis IDN, els dominis han d'estar en format punycode). El canvi farà que el navegador compleixi la RFC 6265bis i el comportament implementat a Firefox.
- S'ha proposat una API de ressaltat personalitzada, dissenyada per canviar arbitràriament l'estil de les àrees de text seleccionades i que us permetrà no limitar-vos per l'estil fix que proporciona el navegador per a les àrees destacades (::selection, ::inactive-selection) i ressaltat. d'errors de sintaxi (::error d'ortografia, ::error de gramàtica). La primera versió de l'API va proporcionar suport per canviar els colors del text i de fons mitjançant els pseudoelements de color i color de fons, però s'afegiran altres opcions d'estil en el futur.
Com a exemple de les tasques que es poden resoldre mitjançant la nova API, s'esmenta la incorporació a frameworks web que proporcionen eines per a l'edició de text, mecanismes propis de selecció de text, diferents ressaltats per a l'edició conjunta simultània de diversos usuaris, cerca en documents virtualitzats. , i senyalització d'errors en comprovar l'ortografia. Si anteriorment, la creació d'un ressaltat no estàndard requeria manipulacions complexes amb l'arbre DOM, l'API de ressaltat personalitzat proporciona operacions ja fetes per afegir i eliminar ressaltats que no afecten l'estructura DOM i apliquen estils en relació als objectes Range.
- S'ha afegit la consulta "@container" a CSS, permetent que els elements s'estilin en funció de la mida de l'element pare. “@container” és semblant a les consultes “@media”, però s'aplica no a la mida de tota l'àrea visible, sinó a la mida del bloc (contenidor) en què es col·loca l'element, que us permet configurar el vostre propi lògica de selecció d'estil per als elements secundaris, independentment del lloc exactament en què es col·loqui l'element a la pàgina.
- S'ha afegit una pseudoclasse CSS ":has()" per comprovar la presència d'un element fill a l'element pare. Per exemple, "p:has(span)" abasta els elements , dins del qual hi ha un element .
- S'ha afegit l'API HTML Sanitizer, que us permet tallar elements del contingut que afecten la visualització i l'execució durant la sortida mitjançant el mètode setHTML(). L'API pot ser útil per netejar dades externes per eliminar les etiquetes HTML que es poden utilitzar per dur a terme atacs XSS.
- És possible utilitzar l'API Streams (ReadableStream) per enviar sol·licituds de recuperació abans que es carregui el cos de la resposta, és a dir. podeu començar a enviar dades sense esperar que finalitzi la generació de la pàgina.
- Per a aplicacions web autònomes instal·lades (PWA, Progressive Web App), és possible canviar el disseny de l'àrea del títol de la finestra mitjançant els components de la superposició de controls de la finestra, que estenen l'àrea de pantalla de l'aplicació web a tota la finestra i permeten donar a l'aplicació web l'aspecte d'una aplicació d'escriptori normal. Una aplicació web pot controlar la representació i el processament de l'entrada a tota la finestra, amb l'excepció del bloc de superposició amb botons de control de finestra estàndard (tancar, minimitzar, maximitzar).
- S'ha estabilitzat la capacitat d'accedir a les extensions de fonts multimèdia des de treballadors dedicats (en el context DedicatedWorker), que es pot utilitzar, per exemple, per millorar el rendiment de la reproducció en memòria intermèdia de dades multimèdia mitjançant la creació d'un objecte MediaSource en un treballador independent i la difusió del resultats del seu treball a HTMLMediaElement al fil principal .
- A l'API Client Hints, que s'està desenvolupant per substituir la capçalera User-Agent i permet retornar selectivament dades sobre paràmetres específics del navegador i del sistema (versió, plataforma, etc.) només després d'una sol·licitud. servidor, s'ha afegit compatibilitat amb la propietat Sec-CH-Viewport-Heigh, que permet obtenir informació sobre l'alçada de la finestra gràfica. S'ha canviat el format de marcatge per especificar els paràmetres de Client Hints a l'etiqueta "meta" per a recursos externs: Anteriorment: Es va convertir en:
- S'ha afegit la possibilitat de crear controladors d'esdeveniments globals onbeforeinput (document.documentElement.onbeforeinput), amb els quals les aplicacions web poden anul·lar el comportament en editar text en blocs. , i altres elements amb l'atribut "contenteditable" establert, abans que el navegador canviï el contingut de l'element i l'arbre DOM.
- S'han ampliat les capacitats de l'API de navegació, permetent que les aplicacions web interceptin operacions de navegació en una finestra, iniciïn una transició i analitzin l'historial d'accions amb l'aplicació. S'han afegit nous mètodes intercept() per interceptar una transició i scroll() per desplaçar-se a una posició determinada.
- S'ha afegit el mètode estàtic Response.json(), que permet generar un cos de resposta basat en dades del tipus JSON.
- S'han fet millores a les eines per a desenvolupadors web. Al depurador, quan s'activa un punt d'interrupció, es permet l'edició de les funcions superiors de la pila, sense interrompre la sessió de depuració. El tauler Gravador, que us permet gravar, reproduir i analitzar les accions de l'usuari en una pàgina, admet els punts d'interrupció, la reproducció pas a pas i l'enregistrament d'esdeveniments sobre el ratolí.
S'han afegit mètriques LCP (Largest Contentful Paint) al tauler de rendiment per identificar els retards en renderitzar elements grans (visibles per l'usuari) a l'àrea visible, com ara imatges, vídeos i elements de bloc. Al tauler Elements, les capes superiors que es mostren a sobre d'altres continguts estan marcades amb una icona especial. WebAssembly ara té la capacitat de carregar dades de depuració en format DWARF.
A més de les innovacions i correccions d'errors, la nova versió elimina 24 vulnerabilitats. Moltes de les vulnerabilitats es van identificar com a resultat de proves automatitzades mitjançant les eines AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. No s'ha identificat cap problema crític que permetés eludir tots els nivells de protecció del navegador i executar codi al sistema fora de l'entorn sandbox. Com a part del programa per pagar recompenses en efectiu per descobrir vulnerabilitats per a la versió actual, Google va pagar 21 premis per valor de 60500 $ (un premi de 10000 $, un premi de 9000 $, un premi de 7500 $, un premi de 7000 $, dos premis de 5000 $, quatre premis de 3000 $, ). 2000 $ i una bonificació de 1000 $). La mida de les set recompenses encara no s'ha determinat.
Font: opennet.ru
