Release af Chrome 97

Google har præsenteret udgivelsen af webbrowseren Chrome 97. Samtidig er der en stabil udgave af det frie projekt Chromium, som udgør grundlaget for Chrome. Chrome-browseren adskiller sig ved at bruge Googles logoer, have et system til at sende meddelelser ved nedbrud, moduler til afspilning af beskyttet videoinhold (DRM), et system til automatisk installation af opdateringer og overførsel af RLZ-parametre under søgninger. For dem, der har brug for mere tid til opdatering, understøttes en separat Extended Stable-grene i 8 uger, hvor opdateringer til den tidligere udgave af Chrome 96 er udarbejdet. Den næste udgave af Chrome 98 er planlagt til den 1. februar.

De vigtigste ændringer i Chrome 97:

• For en del brugere er der introduceret en ny brugerflade til styring af data, der gemmes i browseren ("chrome://settings/content/all"). Den vigtigste forskel ved den nye brugerflade er fokuseringen på at indstille tilladelser og at rydde alle cookies på én gang, uden mulighed for at se detaljerede oplysninger om enkelte cookies og selektiv sletning af cookies. Ifølge Google kan adgang til styring af enkelte cookies for den almindelige bruger, der ikke er bekendt med detaljerne i webudvikling, føre til uforudsigelige problemer med websider på grund af uoverlagt ændring af individuelle indstillinger, samt utilsigtet deaktivering af beskyttelsesmekanismer for privatliv, der aktiveres gennem cookies. For dem, der har brug for at manipulere med enkelte cookies, anbefales det at bruge afsnittet til styring af lager i udviklerværktøjerne (Applocation/Storage/Cookie).
• I feltet med information om hjemmesiden vises der en kort beskrivelse af hjemmesiden (f.eks. beskrivelser fra Wikipedia), hvis indstillingen for optimering af søgning og navigation er aktiveret (muligheden "Make searches and browsing better").
• Understøttelsen af automatisk udfyldning af felter i webformularer er forbedret. Anbefalinger med muligheder for automatisk udfyldning vises nu med en lille forsinkelse og udstyres med informationsikoner for en mere praktisk forhåndsvisning og tydelig bestemmelse af forbindelsen til det udfyldte felt. For eksempel viser profilikonet, at den foreslåede automatiske udfyldning vedrører felter, der er relateret til adresse- og kontaktoplysninger.
• Håndtering af brugerprofiler sikres med sletning af databeholdningen efter lukning af de tilknyttede browservinduer. Tidligere forblev profiler i hukommelsen og fortsatte med at udføre opgaver relateret til synkronisering og kørsel af baggrundsscripts for udvidelser, hvilket førte til unødvendigt ressourceforbrug på systemer, der samtidig bruger flere profiler (f.eks. gæsteprofil og tilknytning til Google-konto). Derudover er der sørget for en grundigere rengøring af de data, der forbliver under arbejdet med profilen.
• Siden med indstillinger for søgemaskiner ('Indstillinger > Administrer søgemaskiner') er blevet forbedret. Automatiske aktivering af søgemaskiner, hvis information vises ved åbning af en side via OpenSearch-scripts, er blevet deaktiveret - nye søgemaskiner til behandling af søgninger fra adresselinjen skal nu aktiveres manuelt i indstillingerne (tidligere automatisk aktiverede søgemaskiner vil fortsat fungere uændret).
• Fra den 17. januar vil Chrome Web Store ikke acceptere udvidelser, der bruger den anden version af Chrome-manifestet. Men udviklere af tidligere tilføjede udvidelser vil fortsat kunne offentliggøre opdateringer som før.
• Eksperimentel understøttelse af WebTransport-specifikationen er blevet tilføjet, hvilket definerer protokollen og den tilhørende JavaScript-API til afsendelse og modtagelse af data mellem browseren og serveren. Kommunikationskanalen oprettes over HTTP/3 ved at bruge QUIC-protokollen som transport. WebTransport kan bruges i stedet for WebSockets-mekanismen og tilbyder yderligere funktioner som at organisere transmission i flere strømme, ensrettede strømme, levering uden hensyntagen til rækkefølgen af pakker (out-of-order), pålidelige og upålidelige leveringsmetoder. Derudover kan WebTransport anvendes i stedet for Server Push-mekanismen, som Google har opgivet i Chrome.
• Der er tilføjet metoderne findLast og findLastIndex til JavaScript-objekterne Array og TypedArrays, hvilket gør det muligt at søge efter elementer med resultatet relatere til slutningen af arrayet. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (det sidste lige element)
• Lukkede (uden 'open'-attribut) HTML-elementer
  er nu tilgængelige for søgninger og links og åbnes automatisk ved brug af side-søgning og navigering efter fragmenter (ScrollToTextFragment).
• Begrænsninger af Content Security Policy (CSP) i svaret headers server gælder nu også for dedikerede workere, som tidligere blev betragtet som separate dokumenter.
• Der er indført en eksplicit anmodning om tilladelse til at indlæse enhver underressource fra det interne netværk – før der foretages anmodninger til det interne netværk eller localhost på hovedserveren, sendes der nu en CORS (Cross-Origin Resource Sharing) anmodning med headeren „Access-Control-Request-Private-Network: true“, der kræver bekræftelse af operationen via tilbagevenden af headeren „Access-Control-Allow-Private-Network: true“.
• CSS-egenskaben font-synthesis er blevet tilføjet, hvilket giver mulighed for at styre browserens evne til at syntetisere manglende skriftegn (oblique, bold og small-cap), som ikke findes i den valgte skriftfamilie.
• Der er implementeret en parameter ‘none’ i CSS-transformationer i funktionen perspective(), som behandles som en uendelig værdi ved animation.
• Der er tilføjet støtte til værdien keyboard-map i HTTP-headeren Permissions-Policy (Feature Policy), der bruges til at delegere tilladelser og aktivere udvidede funktioner, som tillader brug af API Keyboard. Metoden Keyboard.getLayoutMap() er blevet implementeret, så man kan bestemme hvilken tast der trykkes, under hensyntagen til forskellige tastaturlayouts (for eksempel, om tasten blev trykket under det russiske layout eller det engelske).
• Metoden HTMLScriptElement.supports() er blevet tilføjet for at standardisere definitionen af nye funktioner, der er tilgængelige i „script“ elementet, f.eks. kan man finde listen over understøttede værdier for attributten „type“.
• Processen for normalisering af nye linjer ved indsendelse af webformularer er blevet tilpasset til at overholde browsermotorerne Gecko og WebKit. Normaliseringen af tegn for linjeskift og carriage return (erstatning af /r og /n med \r\n) i Chrome udføres nu i den afsluttende fase, og ikke i begyndelsen af formularindsendelsesbehandlingen (dvs. mellemliggende behandlere, der bruger objektet FormData, vil se data som brugeren tilføjede, og ikke i den normaliserede form).
• Navngivningen af egenskaber for API Client Hints er blevet standardiseret, som udvikles som en erstatning for headeren User-Agent og tillader selektivt at returnere data om specifikke parametre for browseren og systemet (version, platform osv.) kun efter anmodning fra serveren. Egenskaberne defineres nu med præfikset „sec-ch-“, f.eks. sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink og sec-ch-ect.
• Den anden fase af udfasningen af WebSQL API'en er blevet anvendt, og adgangen til den fra tredjepartsscripts vil nu blive blokeret. I fremtiden planlægges det gradvist helt at ophøre med at understøtte WebSQL, uanset brugskonteksten. WebSQL-håndtereren er baseret på SQLite-kode og kunne være blevet brugt af kriminelle til at udnytte sårbarheder i SQLite.
• For Windows-platformen er der inkluderet en version med kontrolstrømssikkerhed (CFG, Control Flow Guard), som blokerer forsøg på at injicere kode i Chrome-processen. Desuden anvendes der nu sandbox-isolering til netværksservices, der kører i separate processer, hvilket begrænser kodemulighederne i disse processer.
• I Chrome til Android er mekanismen til dynamisk opdatering af loggen over udstedte og tilbagekaldte certifikater (Certificate Transparency) blevet aktiveret, som tidligere var aktiv i versioner til stationære systemer.
• Der er foretaget forbedringer af værktøjerne til webudviklere. Der er implementeret eksperimentel support til synkronisering af DevTools-indstillinger mellem forskellige enheder. En ny Recorder-fane er blevet tilføjet, som gør det muligt at optage, afspille og analysere brugerens handlinger på siden.

  Når der vises fejl i webkonsollen, vises de relevante kolonnenumre, hvilket er praktisk til fejlfinding af problemer i minimeret JavaScript-kode. Listen over enheder, der kan simuleres for at vurdere sidevisning på mobile enheder, er blevet opdateret. I HTML-redigeringsgrænsefladen (Rediger som HTML) er der tilføjet syntaksbelysning og mulighed for automatisk fuldførelse af input.

  

Udover nye funktioner og fejlrettelser er der i den nye version blevet rettet 37 sårbarheder. Mange af sårbarhederne blev identificeret gennem automatiseret testning ved hjælp af værktøjer som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. En af sårbarhederne er blevet klassificeret som et kritisk problem, der muliggør omgåelse af alle beskyttelseslag i browseren og udførelse af kode på systemet uden for sandbox-miljøet. Detaljer om den kritiske sårbarhed (CVE-2022-0096) er endnu ikke offentliggjort, men det er kendt, at den er relateret til adgang til et allerede frigivet hukommelsesområde i koden til intern lagerhåndtering (API Storage).

Som en del af programmet for udbetaling af pengepræmier for opdagelse af sårbarheder i den aktuelle version har Google udbetalt 24 præmier til en samlet værdi af 54.000 amerikanske dollars (tre præmier på $10.000, to præmier på $5.000, en præmie på $4.000, tre præmier på $3.000 og en præmie på $1.000). Størrelsen på 14 præmier er endnu ikke fastsat.

Kilde: opennet.ru