Google odhalil vydání webového prohlížeče Chrome 97. Zároveň je k dispozici stabilní vydání bezplatného projektu Chromium, který slouží jako základ Chromu. Prohlížeč Chrome se vyznačuje použitím log Google, přítomností systému pro zasílání upozornění v případě havárie, moduly pro přehrávání videoobsahu chráněného proti kopírování (DRM), systémem pro automatickou instalaci aktualizací a přenosem parametrů RLZ při vyhledávání. Pro ty, kteří potřebují více času na aktualizaci, je k dispozici samostatná větev Extended Stable následovaná 8 týdny, která tvoří aktualizaci předchozího vydání Chrome 96. Další vydání Chrome 98 je naplánováno na 1. února.
Klíčové změny v Chrome 97:
- Pro některé uživatele používá konfigurátor nové rozhraní pro správu dat uložených na straně prohlížeče („chrome://settings/content/all“). Klíčovým rozdílem nového rozhraní je jeho zaměření na nastavení oprávnění a vymazání všech souborů cookie webu najednou, bez možnosti zobrazit podrobné informace o jednotlivých souborech cookie a selektivně mazat soubory cookie. Přístup ke správě jednotlivých souborů cookie pro běžného uživatele, který nerozumí spletitosti vývoje webu, může podle společnosti Google vést k nepředvídatelným poruchám provozu stránek v důsledku nepromyšlených změn jednotlivých parametrů a také k náhodnému vypnutí ochrany osobních údajů. ochranné mechanismy aktivované prostřednictvím souborů cookie. Pro ty, kteří potřebují manipulovat s jednotlivými Cookies, je doporučeno využít sekci správy úložiště v nástrojích pro vývojáře webu (Applocation/Storage/Cookie).
- V bloku s informacemi o webu se zobrazí stručný popis webu (například popis z Wikipedie), pokud je v nastavení aktivován režim optimalizace vyhledávání a navigace (volba „Vylepšit vyhledávání a procházení“).
- Vylepšená podpora automatického vyplňování polí ve webových formulářích. Doporučení s možnostmi automatického vyplňování se nyní zobrazují s mírným posunem a jsou opatřeny informačními ikonami pro pohodlnější náhled a vizuální identifikaci spojení s vyplňujícím polem. Například ikona profilu jasně ukazuje, že navrhované automatické doplňování ovlivňuje pole související s adresou a kontaktními údaji.
- Povoleno odstranění obslužných rutin uživatelského profilu z paměti po zavření oken prohlížeče, která jsou s nimi spojená. Dříve profily zůstávaly v paměti a nadále prováděly práci související se synchronizací a spouštěním doplňkových skriptů na pozadí, což vedlo ke zbytečnému plýtvání prostředky na systémech, které používají více profilů současně (například profil hosta a propojení s účtem Google ). Navíc je zajištěno důkladnější čištění dat zbývajících při práci s profilem.
- Vylepšená stránka s nastavením vyhledávače („Nastavení>Správa vyhledávačů“). Automatická aktivace enginů, o kterých se informace poskytují při otevření webu prostřednictvím skriptu OpenSearch, byla deaktivována - nové enginy pro zpracování vyhledávacích dotazů z adresního řádku je nyní potřeba aktivovat ručně v nastavení (dříve automaticky aktivované enginy budou i nadále pracovat beze změn).
- Od 17. ledna již Internetový obchod Chrome nebude přijímat doplňky, které používají verzi XNUMX manifestu Chrome, ale vývojáři dříve přidaných doplňků budou moci stále publikovat aktualizace.
- Přidána experimentální podpora pro specifikaci WebTransport, která definuje protokol a doprovodné JavaScript API pro odesílání a přijímání dat mezi prohlížečem a serverem. Komunikační kanál je organizován přes HTTP/3 pomocí protokolu QUIC jako transportu. WebTransport lze použít místo mechanismu WebSockets, který nabízí další funkce, jako je multi-streamový přenos, jednosměrné toky, doručování mimo pořadí, spolehlivé a nespolehlivé režimy doručování. WebTransport lze navíc použít místo mechanismu Server Push, od kterého Google v Chrome upustil.
- Do objektů JavaScript Array a TypedArrays byly přidány metody findLast a findLastIndex, které umožňují vyhledávat prvky s výstupem výsledku vzhledem ke konci pole. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (poslední sudý prvek)
- Uzavřené (žádný atribut „open“) HTML prvky , jsou nyní prohledávatelné a odkazovatelné a jsou automaticky rozbaleny při použití vyhledávání na stránce a navigace po fragmentech (ScrollToTextFragment).
- Omezení zásad zabezpečení obsahu (CSP) v hlavičkách odpovědí serveru se nyní vztahují na vyhrazené pracovníky, se kterými se dříve zacházelo jako se samostatnými dokumenty.
- Byla poskytnuta výslovná žádost, aby autorita stáhla jakékoli dílčí zdroje z vnitřní sítě – před přístupem k vnitřní síti nebo místnímu hostiteli byl zaslán požadavek CORS (Cross-Origin Resource Sharing) s hlavičkou „Access-Control-Request-Private- Network: true“ je nyní odeslána na hlavní server, kde je vyžadováno potvrzení operace vrácením hlavičky „Access-Control-Allow-Private-Network: true“.
- Přidána vlastnost CSS font-synthesis, která vám umožňuje řídit, zda prohlížeč dokáže syntetizovat chybějící styly písem (šikmé, tučné a malé kapitálky), které nejsou ve vybrané rodině písem.
- Pro transformace CSS implementuje funkce perspective() parametr 'none', se kterým se při organizování animace zachází jako s nekonečnou hodnotou.
- HTTP hlavička Permissions-Policy (Feature Policy), která se používá k delegování oprávnění a povolení pokročilých funkcí, nyní podporuje hodnotu keyboard-map, která umožňuje použití rozhraní API klávesnice. Byla implementována metoda Keyboard.getLayoutMap(), která umožňuje určit, která klávesa je stisknuta, s přihlédnutím k různým rozložením klávesnice (například je stisknuta klávesa na ruském nebo anglickém rozložení).
- Přidána metoda HTMLScriptElement.supports(), která sjednocuje definici nových funkcí dostupných v prvku „script“, můžete například zjistit seznam podporovaných hodnot pro atribut „type“.
- Proces normalizace nových řádků při odesílání webových formulářů byl uveden do souladu s prohlížeči Gecko a WebKit. Normalizace odřádkování a návratů vozíku (náhrada /r a /n za \r\n) v prohlížeči Chrome se nyní provádí v konečné fázi, nikoli na začátku zpracování odeslání formuláře (tj. zprostředkující procesory používající objekt FormData uvidí data jako přidané uživatelem, nikoli v normalizované podobě).
- Pojmenování názvů vlastností bylo standardizováno pro Client Hints API, které je vyvíjeno jako náhrada za hlavičku User-Agent a umožňuje selektivně poskytovat údaje o konkrétních parametrech prohlížeče a systému (verze, platforma atd.) až po požadavek serveru. Vlastnosti mají nyní předponu „sec-ch-“, např. sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch -downlink a sec-ch-ect.
- Byla použita druhá fáze ukončení podpory rozhraní WebSQL API, ke kterému bude nyní blokován přístup ze skriptů třetích stran. Do budoucna plánujeme postupně úplně vyřadit podporu WebSQL bez ohledu na kontext použití. Engine WebSQL je založen na kódu SQLite a útočníci by jej mohli využít ke zneužití zranitelností v SQLite.
- Pro platformu Windows je zahrnuto sestavení s kontrolami integrity toku provádění (CFG, Control Flow Guard), které blokuje pokusy o vložení kódu do procesu Chrome. Navíc je nyní izolace sandboxu aplikována na síťové služby běžící v samostatných procesech, což omezuje možnosti kódu v těchto procesech.
- Chrome pro Android obsahuje mechanismus pro dynamickou aktualizaci protokolu vydaných a zrušených certifikátů (Certificate Transparency), který byl dříve aktivován v poplatcích pro desktopové systémy.
- Vylepšení byly provedeny nástroje pro webové vývojáře. Byla implementována experimentální podpora pro synchronizaci nastavení DevTools mezi různými zařízeními. Byl přidán nový panel Záznamník, pomocí kterého můžete nahrávat, přehrávat a analyzovat akce uživatele na stránce.
Při zobrazování chyb ve webové konzoli se zobrazují čísla sloupců souvisejících s problémem, což je vhodné pro ladění problémů v minifikovaném kódu JavaScript. Byl aktualizován seznam zařízení, která lze simulovat pro vyhodnocení zobrazení stránky na mobilních zařízeních. V rozhraní pro úpravu HTML bloků (Edit as HTML) bylo přidáno zvýraznění syntaxe a možnost automatického doplňování vstupu.
Kromě inovací a oprav chyb nová verze odstraňuje 37 zranitelností. Mnoho zranitelností bylo identifikováno jako výsledek automatizovaného testování pomocí nástrojů AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Jedné ze zranitelností byl přiřazen stav kritického problému, který umožňuje obejít všechny úrovně ochrany prohlížeče a spustit kód v systému mimo prostředí sandbox. Podrobnosti o kritické zranitelnosti (CVE-2022-0096) zatím nebyly zveřejněny, ví se pouze, že souvisí s přístupem k již uvolněné oblasti paměti v kódu pro práci s interním úložištěm (Storage API).
V rámci programu vyplácení peněžních odměn za odhalení zranitelností pro aktuální verzi vyplatil Google 24 ocenění v hodnotě 54 tisíc dolarů (tři ocenění 10000 5000 dolarů, dvě ocenění 4000 3000 dolarů, jedno ocenění 1000 14 dolarů, tři ocenění XNUMX XNUMX dolarů a jedno ocenění XNUMX XNUMX dolarů). Velikost XNUMX odměn zatím nebyla stanovena.
Zdroj: opennet.ru