Chrome udgivelse 93

Google har løftet sløret for udgivelsen af ​​webbrowseren Chrome 93. Samtidig er en stabil udgivelse af det gratis Chromium-projekt, der fungerer som grundlaget for Chrome, tilgængelig. Chrome-browseren er kendetegnet ved brugen af ​​Google-logoer, tilstedeværelsen af ​​et system til at sende meddelelser i tilfælde af et nedbrud, moduler til afspilning af beskyttet videoindhold (DRM), et system til automatisk installation af opdateringer og transmission af RLZ-parametre ved søgning. Den næste udgivelse af Chrome 94 er planlagt til den 21. september (udviklingen er blevet flyttet til en 4-ugers udgivelsescyklus).

Vigtigste ændringer i Chrome 93:

• Designet af blokken med sideinformation (sideinfo) er blevet moderniseret, hvor der er implementeret understøttelse af indlejrede blokke, og drop-down lister med adgangsrettigheder er erstattet med switche. Listerne sikrer, at de vigtigste informationer vises først. Ændringen er ikke aktiveret for alle brugere; for at aktivere den kan du bruge indstillingen "chrome://flags/#page-info-version-2-desktop".
• For en lille procentdel af brugerne blev indikatoren for sikker forbindelse i adresselinjen som et eksperiment erstattet med et mere neutralt symbol, der ikke forårsager dobbelttolkning (låsen blev erstattet med et "V"-tegn). For forbindelser, der er etableret uden kryptering, vises "ikke sikker"-indikatoren fortsat. Grunden til at udskifte indikatoren er, at mange brugere forbinder hængelåsindikatoren med, at webstedets indhold kan stole på, i stedet for at se det som et tegn på, at forbindelsen er krypteret. At dømme ud fra en Google-undersøgelse forstår kun 11 % af brugerne betydningen af ​​ikonet med en lås.
• Listen over nyligt lukkede faner viser nu indholdet af lukkede grupper af faner (tidligere viste listen blot navnet på gruppen uden at detaljere indholdet) med mulighed for at returnere både hele gruppen og individuelle faner fra gruppen på én gang. Funktionen er ikke aktiveret for alle brugere, så du skal muligvis ændre indstillingen "chrome://flags/#tab-restore-sub-menus" for at aktivere den.
• For virksomheder er der implementeret nye indstillinger: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites og JavaScriptJitBlockedForSites, som giver dig mulighed for at kontrollere den JIT-løse tilstand, som deaktiverer brugen af ​​JIT-kompilering ved udførelse af JavaScript (kun Ignition-fortolkeren bruges) og forbyder allokering af eksekverbar hukommelse under kodeudførelse. Deaktivering af JIT kan være nyttigt til at forbedre sikkerheden ved at arbejde med potentielt farlige webapplikationer på bekostning af at reducere JavaScript-udførelsesydelsen med ca. 17 %. Det er bemærkelsesværdigt, at Microsoft er gået endnu længere og implementeret en eksperimentel "Super Duper Secure"-tilstand i Edge-browseren, der giver brugeren mulighed for at deaktivere JIT og aktivere ikke-JIT-kompatible hardwaresikkerhedsmekanismer CET (Controlflow-Enforcement Technology), ACG (vilkårlig Code Guard) og CFG (Control Flow Guard) til processer, der behandler webindhold. Hvis eksperimentet viser sig at være vellykket, kan vi forvente, at det overføres til hoveddelen af ​​Chrome.
• Den nye fane viser en liste over de mest populære dokumenter, der er gemt i Google Drev. Indholdet af listen svarer til afsnittet Prioritet i drive.google.com. For at kontrollere visningen af ​​Google Drev-indhold kan du bruge indstillingerne "chrome://flags/#ntp-modules" og "chrome://flags/#ntp-drive-module".
• Nye informationskort er blevet tilføjet til siden Åbn ny fane for at hjælpe dig med at finde nyligt set indhold og relaterede oplysninger. Kortene er designet til at gøre det nemmere at fortsætte med at arbejde med information, hvis visning blev afbrudt, for eksempel vil kortene hjælpe dig med at finde en opskrift på en ret, der for nylig blev fundet online, men som er gået tabt efter at have lukket siden, eller fortsætte med at lave indkøb i butikker. Som et eksperiment tilbydes brugerne to nye kort: "Opskrifter" (chrome://flags/#ntp-recipe-tasks-module) til at søge efter kulinariske opskrifter og vise nyligt sete opskrifter; "Shopping" (chrome://flags/#ntp-chrome-cart-module) for påmindelser om produkter udvalgt i onlinebutikker.
• Android-versionen tilføjer valgfri understøttelse af et kontinuerligt søgepanel (chrome://flags/#continuous-search), som giver dig mulighed for at holde de seneste Google-søgeresultater synlige (panelet fortsætter med at vise resultater efter flytning til andre sider).
• En eksperimentel citatdelingstilstand er blevet tilføjet til Android-versionen (chrome://flags/#webnotes-stylize), som giver dig mulighed for at gemme et valgt fragment af en side som et citat og dele det med andre brugere.
• Når du udgiver nye tilføjelser eller versionsopdateringer til Chrome Webshop, er to-faktor udviklerbekræftelse nu påkrævet.
• Google-kontobrugere har mulighed for at gemme betalingsoplysninger på deres Google-konto.
• I inkognitotilstand, hvis muligheden for at rydde navigationsdata er aktiveret, er en ny dialogboks til bekræftelse af handling blevet implementeret, som forklarer, at sletning af data vil lukke vinduet og afslutte alle sessioner i inkognitotilstand.
• På grund af identificerede inkompatibiliteter med firmwaren på nogle enheder er understøttelse af den nye nøgleaftalemetode tilføjet til Chrome 91, modstandsdygtig over for gætte på kvantecomputere, baseret på brugen af ​​CECPQ1.3 (Combined Elliptic-Curve and Post-Quantum 2) udvidelsen i TLSv2, der kombinerer en klassisk X25519 nøgleudvekslingsmekanisme med et HRSS-skema baseret på NTRU Prime-algoritmen designet til post-kvantekryptosystemer.
• Portene 989 (ftps-data) og 990 (ftps) er blevet tilføjet til antallet af forbudte netværksporte for at blokere ALPACA-angrebet. Tidligere, for at beskytte mod NAT-slipstreaming-angreb, var porte 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 og 10080 allerede blokeret.
• TLS understøtter ikke længere chiffer baseret på 3DES-algoritmen. Især TLS_RSA_WITH_3DES_EDE_CBC_SHA-krypteringspakken, som er modtagelig for Sweet32-angrebet, er blevet fjernet.
• Support til Ubuntu 16.04 er afbrudt.
• Det er muligt at bruge WebOTP API mellem forskellige enheder forbundet via en fælles Google-konto. WebOTP tillader en webapplikation at læse engangsbekræftelseskoder sendt via SMS. Den foreslåede ændring gør det muligt at modtage en bekræftelseskode på en mobilenhed, der kører Chrome til Android, og anvende den på et desktop-system.
• User-Agent Client Hints API er blevet udvidet, udviklet som en erstatning for User-Agent-headeren. User-Agent Client Hints giver dig mulighed for kun at organisere selektiv levering af data om specifikke browser- og systemparametre (version, platform osv.) efter en anmodning fra serveren. Brugeren kan til gengæld bestemme, hvilke oplysninger der kan gives til webstedsejere. Når du bruger User-Agent Client Hints, transmitteres browser-id'et ikke uden en eksplicit anmodning, og som standard er der kun angivet grundlæggende parametre, hvilket gør passiv identifikation vanskelig.

  Den nye version understøtter parameteren Sec-CH-UA-Bitness til at returnere data om platformens bithed, som kan bruges til at betjene optimerede binære filer. Som standard sendes Sec-CH-UA-Platform-parameteren med generel platforminformation. UADataValues-værdien, der returneres, når du kalder getHighEntropyValues() er implementeret som standard for at returnere generaliserede parametre, hvis det er umuligt at returnere en detaljeret mulighed. ToJSON-metoden er blevet tilføjet til NavigatorUAData-objektet, som giver dig mulighed for at bruge konstruktioner som JSON.stringify(navigator.userAgentData).

• Evnen til at pakke ressourcer ind i pakker i Web Bundle-formatet, der er velegnet til at organisere mere effektiv indlæsning af et stort antal ledsagende filer (CSS-stile, JavaScript, billeder, iframes), er blevet stabiliseret og tilbydes som standard. Blandt manglerne i den eksisterende understøttelse af pakker til JavaScript-filer (webpack), som Web Bundle forsøger at eliminere: selve pakken, men ikke dens komponentdele, kan ende i HTTP-cachen; kompilering og eksekvering kan først begynde, efter at pakken er blevet fuldstændig downloadet; Yderligere ressourcer såsom CSS og billeder skal kodes i form af JavaScript-strenge, hvilket øger størrelsen og kræver endnu et parsing-trin.
• WebXR Plane Detection API er inkluderet og giver information om plane overflader i et virtuelt 3D-miljø. Den specificerede API gør det muligt at undgå ressourcekrævende behandling af data opnået gennem kaldet MediaDevices.getUserMedia(), ved hjælp af proprietære implementeringer af computervisionsalgoritmer. Lad os minde dig om, at WebXR API giver dig mulighed for at forene arbejde med forskellige klasser af virtual reality-enheder, fra stationære 3D-hjelme til løsninger baseret på mobile enheder.
• Adskillige nye API'er er blevet tilføjet til tilstanden Origin Trials (eksperimentelle funktioner, der kræver separat aktivering). Origin Trial indebærer evnen til at arbejde med den specificerede API fra applikationer downloadet fra localhost eller 127.0.0.1, eller efter registrering og modtagelse af et særligt token, der er gyldigt i en begrænset periode for et specifikt websted.
  • Multi-Screen Window Placement API er blevet foreslået, som giver dig mulighed for at placere vinduer på ethvert display, der er tilsluttet det aktuelle system, samt gemme vinduespositionen og om nødvendigt udvide vinduet til fuld skærm. For eksempel ved hjælp af den angivne API kan en webapplikation til visning af en præsentation organisere visningen af ​​dias på én skærm og vise en note til præsentationsværten på en anden.
  • Cross-Origin-Embedder-Policy-headeren, som styrer Cross-Origin-isolationstilstanden og giver dig mulighed for at definere sikre brugsregler på siden Privileged Operations, understøtter nu en "credentialless"-parameter til at deaktivere transmissionen af ​​legitimationsoplysninger, som f.eks. Cookies og klientcertifikater.
  • For selvstændige webapplikationer (PWA, Progressive Web Apps), der styrer gengivelsen af ​​vinduesindhold og håndterer input, leveres et overlay med vindueskontroller, såsom en titellinje og udvid/skjul knapper. Et overlay udvider det redigerbare område til at dække hele vinduet og giver dig mulighed for at tilføje dine egne elementer til titelområdet.
  • Tilføjet muligheden for at oprette PWA-applikationer, der kan bruges som URL-handlere. For eksempel kan applikationen music.example.com registrere sig selv som URL-handler https://*.music.example.com, og alle overgange fra eksterne applikationer, der bruger disse links, f.eks. fra instant messengers og e-mail-klienter, vil føre til til åbningen af ​​denne PWA-applikation, ikke en ny browserfane.
• Det er muligt at indlæse CSS-filer ved hjælp af "import"-udtrykket, svarende til at indlæse JavaScript-moduler, hvilket er praktisk, når du opretter dine egne elementer og giver dig mulighed for at undvære at tildele stilarter ved hjælp af JavaScript-kode. importer ark fra './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [ark]; shadowRoot.adoptedStyleSheets = [ark];
• En ny statisk metode, AbortSignal.abort(), er blevet leveret, som returnerer et AbortSignal-objekt, der allerede er indstillet til abort. I stedet for flere linjer kode til at oprette et AbortSignal-objekt i den afbrudte tilstand, kan du nu klare dig med en enkelt linje med "return AbortSignal.abort()".
• Flexbox-elementet har tilføjet understøttelse af nøgleordene start, end, self-start, self-end, venstre og højre, hvilket supplerer nøgleordene i midten, flex-start og flex-end med værktøjer til forenklet justering af placeringen af ​​flex-elementer.
• Error()-konstruktøren implementerer en ny valgfri "årsag"-egenskab, som giver dig mulighed for nemt at associere fejl med hinanden. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → sandt
• Tilføjet understøttelse af noplaybackrate-tilstanden til HTMLMediaElement.controlsList-egenskaben, som giver dig mulighed for at deaktivere elementer af grænsefladen i browseren for at ændre afspilningshastigheden for multimedieindhold.
• Tilføjet Sec-CH-Prefers-Color-Scheme-headeren, som tillader, på anmodningsafsendelsesstadiet, at transmittere data om brugerens foretrukne farveskema brugt i "prefers-color-scheme" medieforespørgsler, hvilket vil gøre det muligt for webstedet at optimere indlæsning af CSS forbundet med det valgte skema og undgå synlige skift fra andre skemaer.
• Tilføjet egenskaben Object.hasOwn, som er en forenklet version af Object.prototype.hasOwnProperty, implementeret som en statisk metode. Object.hasOwn({ prop: 42 }, 'prop') // → sand
• Designet til meget hurtig brute-force-kompilering, har Sparkplugs JIT-kompiler tilføjet en batch-udførelsestilstand for at reducere omkostningerne ved at skifte hukommelsessider mellem skrive- og køretilstande. Sparkplug kompilerer nu flere funktioner på én gang og kalder mprotect én gang for at ændre tilladelserne for hele gruppen. Den foreslåede tilstand reducerer kompileringstiden markant (op til 44 %) uden at påvirke JavaScript-udførelsesydelsen negativt.
• Android-versionen deaktiverer V8-motorens indbyggede beskyttelse mod sidekanalangreb såsom Spectre, som ikke anses for at være lige så effektive som at isolere sites i separate processer. I desktopversionen blev disse mekanismer deaktiveret tilbage i udgivelsen af ​​Chrome 70. Deaktivering af unødvendige kontroller gjorde det muligt at øge ydeevnen med 2-15 %.
• Der er foretaget forbedringer af værktøjer til webudviklere. I typografiarkinspektionstilstanden er det muligt at redigere forespørgsler, der er genereret ved hjælp af @container-udtrykket. I netværksinspektionstilstanden implementeres en forhåndsvisning af ressourcer i webbundtformatet. I webkonsollen er der tilføjet muligheder for at kopiere strenge i form af JavaScript eller JSON-literal til kontekstmenuen. Forbedret fejlfinding af CORS (Cross-Origin Resource Sharing) relaterede fejl.

Ud over innovationer og fejlrettelser eliminerer den nye version 27 sårbarheder. Mange af sårbarhederne blev identificeret som et resultat af automatiseret test ved hjælp af AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL værktøjerne. Der er ikke identificeret nogen kritiske problemer, der ville tillade en at omgå alle niveauer af browserbeskyttelse og eksekvere kode på systemet uden for sandkassemiljøet. Som en del af programmet til at betale kontante belønninger for at opdage sårbarheder for den aktuelle udgivelse, udbetalte Google 19 priser til en værdi af $136500 (tre $20000-priser, en $15000-pris, tre $10000-priser, en $7500-pris, tre $5000-priser og tre $3000-priser). Størrelsen af ​​de 5 belønninger er endnu ikke fastlagt.

Kilde: opennet.ru