Vydání Chrome 93

Společnost Google představila verzi webového prohlížeče Chrome 93. Současně je k dispozici stabilní vydání svobodného projektu Chromium, které tvoří základ pro Chrome. Prohlížeč Chrome se vyznačuje používáním log ži Google, přítomností systému zasílání oznámení v případě zhroucení, moduly pro přehrávání chráněného videoobsahu (DRM), systémem automatické instalace aktualizací a předáváním RLZ parametrů při vyhledávání. Další vydání Chrome 94 je naplánováno na 21. září (vývoj byl převeden na čtyřtýdenní cyklus vydávání).

Hlavní změny v Chrome 93:

• Byla modernizována prezentace bloku informací o stránce (page info), ve kterém byla implementována podpora vnořených bloků, a rozbalovací seznamy s oprávněními byly nahrazeny přepínači. V seznamech bylo zajištěno zobrazení nejdůležitějších informací na prvním místě. Změna není zahrnuta pro všechny uživatele, pro aktivaci lze použít nastavení „chrome://flags/#page-info-version-2-desktop.“
• Pro malé procento uživatelů byl experimentálně ukazatel zabezpečeného spojení v adresním řádku nahrazen neutrálnějším symbolem, který nevyvolává dvojí význam (zámek byl nahrazen znakem „V“). U spojení, která nebyla zajištěna šifrováním, se stále zobrazuje ukazatel „není zabezpečeno“. Důvodem velké výměny ukazatele je, že mnozí uživatelé si s ukazatelem zámku spojují důvěryhodnost obsahu webu, a ne jej nevnímají jako znak šifrování spojení. Podle průzkumu společnosti Google pouze 11 % uživatelů chápe význam ikonky se zámkem.
• V seznamu nedávno zavřených karet je zajištěno zobrazení obsahu zavřených skupin karet (dříve se v seznamu pouze zobrazoval název skupiny bez podrobností o obsahu) s možností vrátit zpět jak celou skupinu, tak jednotlivé karty ze skupiny. Tato funkce není aktivována pro všechny uživatele, proto může být potřeba změnit nastavení „chrome://flags/#tab-restore-sub-menus“.
• Pro firmy byly zavedeny nové nastavení DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites a JavaScriptJitBlockedForSites, které umožňují spravovat režim bez JIT, zakazující použití JIT kompilace při vykonávání JavaScriptu (používá se pouze interpreter Ignition) a zakazující přidělování vykonatelné paměti během provádění kódu. Zakázání JIT může být užitečné pro zvýšení bezpečnosti při práci s potenciálně nebezpečnými webovými aplikacemi, a to na úkor snížení výkonu JavaScriptu přibližně o 17 %. Je pozoruhodné, že společnost Microsoft šla ještě dále a zavedla v prohlížeči Edge experimentální režim „Super Duper Secure“, který uživateli umožňuje vypnout JIT a aktivovat s JIT nekompatibilní hardwarové ochranné mechanismy CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) a CFG (Control Flow Guard) pro procesy zpracovávající webový obsah. Pokud bude experiment úspěšný, lze očekávat jeho přenos do hlavního kódu Chrome.
• Na stránce nové karty je zajištěno zobrazení seznamu nejžádanějších dokumentů uložených v Google Drive. Obsah seznamu odpovídá sekci Priority na drive.google.com. Pro správu zobrazení obsahu Google Drive můžete použít nastavení „chrome://flags/#ntp-modules“ a „chrome://flags/#ntp-drive-module“.
• Pro stránku otevření nové karty byly navrženy nové informační karty, které pomáhají najít nedávno prohlížený obsah a související informace. Karty mají za cíl usnadnit pokračování práce s informacemi, jejichž prohlížení bylo přerušeno; například karty pomohou najít recept na jídlo, který byl nedávno nalezen na internetu, ale byl ztracen po zavření stránky, nebo pokračovat v výběru nákupů v obchodech. Jako experiment byly uživatelům nabídnuty dvě nové karty: „Recepty“ (chrome://flags/#ntp-recipe-tasks-module) pro vyhledávání kuchařských receptů a zobrazování nedávno prohlížených receptů; „Nákupy“ (chrome://flags/#ntp-chrome-cart-module) pro připomínky o vybraných produktech v internetových obchodech.
• Do verze pro platformu Android byla přidána volitelná podpora panelu nepřetržitého vyhledávání (chrome://flags/#continuous-search), který umožňuje sledovat nedávné výsledky vyhledávání na Googlu (panel pokračuje ve zobrazování výsledků po přechodu na jiné stránky).
• Do verze pro platformu Android byl přidán experimentální režim pro sdílení citací (chrome://flags/#webnotes-stylize), který umožňuje uložit vybraný fragment stránky ve formě citace a sdílet ho s ostatními uživateli.
• Při publikování nových rozšíření nebo aktualizací verzí v Chrome Web Store je nyní povinné použití dvoufaktorové autentizace pro vývojáře.
• Pro uživatele účtu Google byla poskytnuta možnost uložení informací o platbách ve svém účtu Google.
• V režimu inkognito, pokud je aktivována volba na vymazání údajů o navigaci, byl implementován nový dialog pro potvrzení operace, který vysvětluje, že vymazání údajů povede k zavření okna a ukončení všech sezení v režimu inkognito.
• Kvůli zjištěným nekompatibilitám s firmwarem některých zařízení byla dočasně deaktivována podpora nového klíčového vyjednávacího mechanismu, odolného vůči útokům kvantových počítačů, který byl přidán do Chrome 91, založeného na použití rozšíření CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) v TLSv1.3, kombinujícího tradiční mechanismus výměny klíčů X25519 s hrss schématem, založeném na algoritmu NTRU Prime, vyvinutém pro postkvantové kryptosystémy.
• Mezi zakázané síťové porty byly přidány porty 989 (ftps-data) a 990 (ftps) s cílem zablokovat útok ALPACA. Dříve byly kvůli ochraně proti útoku NAT slipstreaming již zablokovány porty 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 a 10080.
• V TLS byla ukončena podpora šifer založených na algoritmu 3DES. Konkrétně byla odstraněna sada šifrování TLS_RSA_WITH_3DES_EDE_CBC_SHA, která je náchylná k útoku Sweet32.
• Byla ukončena podpora distribuce Ubuntu 16.04.
• Byla poskytnuta možnost použití API WebOTP mezi různými zařízeními spojenými prostřednictvím společného účtu Google. WebOTP umožňuje webové aplikaci číst jednorázové potvrzovací kódy zasílané prostřednictvím SMS. Navrhovaná změna umožňuje získat potvrzovací kód na mobilním zařízení s Chrome pro Android a aplikovat ho na desktopovém systému.
• API User-Agent Client Hints, vyvíjené jako náhrada za hlavičku User-Agent, bylo rozšířeno. User-Agent Client Hints umožňuje selektivní poskytování údajů o konkrétních parametrech prohlížeče a systému (verze, platforma atd.) pouze na vyžádání. serverem. Uživatel může zároveň určit, jaké informace mohou být poskytnuty majitelům webových stránek. Při použití User-Agent Client Hints se identifikátor prohlížeče nepředává bez výslovného požadavku a ve výchozím nastavení se uvádějí pouze základní parametry, což ztěžuje pasivní identifikaci.

  Nová verze přidává podporu pro parametr Sec-CH-UA-Bitness, který vrací informace o bitové architektuře platformy, což lze využít k dodání optimalizovaných binárních souborů. Výchozí nastavení zajišťuje odesílání parametru Sec-CH-UA-Platform se základními údaji o platformě. V hodnotě UADataValues, vrácené při volání getHighEntropyValues(), se výchozím způsobem vrací zjednodušené parametry, pokud není možné vrátit podrobnější variantu. Do objektu NavigatorUAData byl přidán metod toJSON, který umožňuje použít konstrukce jako JSON.stringify(navigator.userAgentData).

• Byla stabilizována a jako výchozí je nabízena možnost balení zdrojů do balíčků ve formátu Web Bundle, které jsou vhodné pro efektivnější načítání velkého množství souvisejících souborů (CSS styly, JavaScript, obrázky, iframe). Mezi nedostatky současné podpory balíčků pro JavaScriptové soubory (webpack), které se snaží odstranit ve Web Bundle, patří: v HTTP cache může zůstat samotný balíček, ale ne jeho součásti; kompilace a provádění mohou začít až po úplném načtení balíčku; další zdroje, jako jsou CSS a obrázky, musí být kódovány jako JavaScriptové řetězce, což zvyšuje velikost a zahrnuje další fázi analýzy.
• Byl přidán API WebXR Plane Detection, který poskytuje informace o rovných plochách ve virtuálním 3D prostředí. Tento API umožňuje obejít se bez náročného zpracování dat získaných pomocí volání MediaDevices.getUserMedia, s využitím vlastních implementací algoritmů pro počítačové vidění. Připomeňme, že API WebXR umožňuje standardizovanou práci s různými třídami zařízení virtuální reality, od stolních 3D headsetů po řešení na mobilních zařízeních.
• V režimu Origin Trials (experimentální funkce vyžadující samostatnou aktivaci) bylo přidáno několik nových API. Origin Trial zahrnuje možnost práce se specifikovaným API z aplikací načítaných z localhost nebo 127.0.0.1, nebo po registraci a získání speciálního tokenu, který platí omezenou dobu pro konkrétní web.
  • Byl navržen API Multi-Screen Window Placement, který umožňuje umisťovat okna na jakýkoliv displej připojený k aktuálnímu systému a také uchovávat pozici okna a v případě potřeby přepnout okno na celou obrazovku. Například pomocí uvedeného API může webová aplikace pro prezentaci organizovat zobrazení snímků na jednom displeji a ukazovat poznámky pro řečníka na jiném.
  • Do hlavičky Cross-Origin-Embedder-Policy, která řídí režim izolace Cross-Origin a umožňuje určit pravidla pro bezpečné používání privilegovaných operací na stránce, byla přidána podpora parametru „credentialless“ pro deaktivaci přenosu informací souvisejících s přihlašovacími údaji, jako jsou cookies a klientské certifikáty.
  • Pro samostatně instalované webové aplikace (PWA, Progressive Web Apps), které řídí vykreslování obsahu okna a zajišťují zpracování vstupu, byla poskytnuta překrývací vrstva s ovládacími prvky okna, jako je oblast s hlavičkou a tlačítka pro rozbalení/snížení okna. Tato překrývací vrstva rozšiřuje dostupnou oblast pro úpravy na celé okno a umožňuje přidat vlastní prvky do oblasti hlavičky.
  • Byla přidána schopnost vytvářet PWA aplikace, které mohou být použity jako zpracovatelé URL. Například aplikace music.example.com může registrovat sama sebe jako zpracovatele URL https://*.music.example.com a všechny přechody z externích aplikací na těchto odkazech, například z messengerů a e-mailových klientů, budou otevírat tuto PWA aplikaci, nikoli novou kartu v prohlížeči.
• Byla zavedena možnost načítání CSS souborů pomocí výrazu „import“ obdobně jako načítání JavaScript modulů, což usnadňuje tvorbu vlastních prvků a umožňuje vyhnout se nastavení stylů pomocí JavaScriptu. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Byla představena nová statická metoda AbortSignal.abort(), která vrací objekt AbortSignal, jehož parametr aborted je již nastaven. Místo několika řádků kódu pro vytvoření objektu AbortSignal ve stavu aborted nyní stačí jedna řádka „return AbortSignal.abort()“.
• Do prvku Flexbox byla přidána podpora klíčových slov start, end, self-start, self-end, left a right, doplňující klíčová slova center, flex-start a flex-end a usnadňující zarovnání pozice flex prvků.
• V konstruktoru Error() byla implementována nová volitelná vlastnost „cause“, pomocí které je možné snadno propojovat chyby mezi sebou. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• Do vlastnosti HTMLMediaElement.controlsList byla přidána podpora režimu noplaybackrate, který umožňuje deaktivaci prvků poskytovaného uživatelského rozhraní pro změnu rychlosti přehrávání multimediálního obsahu.
• Byl přidán hlavička Sec-CH-Prefers-Color-Scheme, která umožňuje při odesílání požadavku předat informace o preferované barevné schémě uživatele používané v mediálních dotazech „prefers-color-scheme“, což umožní webu optimalizovat načítání souvisejícího CSS pro vybranou schéma a vyhnout se viditelným přepínáním z jiných schém.
• Byla přidáno vlastnost Object.hasOwn, což je zjednodušená varianta Object.prototype.hasOwnProperty, implementovaná ve formě statické metody. Object.hasOwn({ prop: 42 }, ‘prop’) // → true
• Do JIT kompilátoru Sparkplug, určeného pro velmi rychlé provedení surové kompilace, byl přidán režim dávkového vykonávání operací, který snižuje náklady na přepínání stránkování paměti mezi režimem zápisu a vykonáváním. Sparkplug nyní kompiluje více funkcí najednou a volá mprotect pouze jednou, aby změnil přístupová práva celé skupiny. Navrhovaný režim výrazně zkracuje čas kompilace (až o 44 %) bez negativního vlivu na výkon vykonávání JavaScriptu.
• Ve verzi pro Android byly deaktivovány vestavěné mechanismy ochrany motoru V8 proti útokům skrze vedlejší kanály, jako je Spectre, které se ukázaly jako méně účinné než izolace webových stránek v samostatných procesech. V desktopové verzi byly tyto mechanismy vypnuty již ve verzi Chrome 70. Deaktivace zbytečných kontrol umožnila zvýšit výkon o 2-15 %.
• Byly provedeny vylepšení v nástrojích pro webové vývojáře. V režimu inspekce stylových tabulek byla přidána možnost editace dotazů vytvořených pomocí výrazu @container. V režimu inspekce sítě byl implementován náhled zdrojů ve formátu Web bundle. Do kontextového menu webové konzole byly přidány možnosti pro kopírování řádků ve formě literálů JavaScriptu nebo JSON. Byla zjednodušena debuggování chyb souvisejících s CORS (Cross-Origin Resource Sharing).

Kromě novinek a oprav chyb byla v této nové verzi odstraněna 27 zranitelností. Mnohé z těchto zranitelností byly odhaleny díky automatizovanému testování pomocí nástrojů AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Nebyly nalezeny žádné kritické problémy, které by umožnily obejít všechny úrovně ochrany prohlížeče a vykonat kód v systému mimo sandboxové prostředí. V rámci programu na odměny za odhalení zranitelností pro tuto verzi vyplatila společnost Google 19 odměn v celkové výši 136500 dolarů (tři odměny po 20000 $, jedna odměna po 15000 $, tři odměny po 10000 $, jedna odměna po 7500 $, tři odměny po 5000 $ a tři odměny po 3000 $). Výše 5 odměn zatím nebyla určena.

Zdroj: opennet.ru