Google har løftet sløret for udgivelsen af webbrowseren Chrome 98. Samtidig er en stabil udgivelse af det gratis Chromium-projekt, der fungerer som grundlaget for Chrome, tilgængelig. Chrome-browseren er kendetegnet ved brugen af Google-logoer, tilstedeværelsen af et system til afsendelse af meddelelser i tilfælde af et nedbrud, moduler til afspilning af kopibeskyttet videoindhold (DRM), et system til automatisk installation af opdateringer og transmission af RLZ-parametre, når søger. Den næste udgivelse af Chrome 99 er planlagt til 1. marts.
Vigtigste ændringer i Chrome 98:
- Browseren har sin egen butik med rodcertifikater fra certificeringsmyndigheder (Chrome Root Store), som vil blive brugt i stedet for eksterne butikker, der er specifikke for hvert operativsystem. Butikken er implementeret på samme måde som den uafhængige butik af rodcertifikater i Firefox, som bruges som det første link til at kontrollere certifikatets tillidskæde, når du åbner websteder over HTTPS. Det nye lager er endnu ikke brugt som standard. For at lette overgangen af systemlagerkonfigurationer og sikre portabilitet vil der være en overgangsperiode, hvor Chrome Root Store vil omfatte et komplet udvalg af certifikater, der er godkendt på de fleste understøttede platforme.
- Planen om at styrke beskyttelsen mod angreb relateret til adgang til ressourcer på det lokale netværk eller på brugerens computer (localhost) fra scripts, der indlæses, når webstedet åbnes, fortsætter med at blive implementeret. Sådanne anmodninger bruges af angribere til at udføre CSRF-angreb på routere, adgangspunkter, printere, virksomhedswebgrænseflader og andre enheder og tjenester, der kun accepterer anmodninger fra det lokale netværk.
For at beskytte mod sådanne angreb vil browseren begynde at sende en eksplicit anmodning om tilladelse til at downloade sådanne underressourcer, hvis der er adgang til nogle underressourcer på det interne netværk. Anmodningen om tilladelser udføres ved at sende en CORS-anmodning (Cross-Origin Resource Sharing) med overskriften "Access-Control-Request-Private-Network: true" til hovedserveren, før du får adgang til det interne netværk eller localhost. Når du bekræfter handlingen som svar på denne anmodning, skal serveren returnere "Access-Control-Allow-Private-Network: true"-headeren. I Chrome 98 implementeres kontrollen i testtilstand, og hvis der ikke er nogen bekræftelse, vises en advarsel i webkonsollen, men selve subressourceanmodningen er ikke blokeret. Blokering er ikke planlagt til at blive aktiveret, før Chrome 101 er frigivet.
- Kontoindstillinger integrerer værktøjer til styring af inkluderingen af Forbedret sikker browsing, som aktiverer yderligere kontroller for at beskytte mod phishing, ondsindet aktivitet og andre trusler på nettet. Når du aktiverer en tilstand på din Google-konto, bliver du nu bedt om at aktivere tilstanden i Chrome.
- Tilføjet en model til detektering af phishing-forsøg på klientsiden, implementeret ved hjælp af TFLite maskinlæringsplatformen (TensorFlow Lite) og kræver ikke afsendelse af data for at udføre verifikation på Google-siden (i dette tilfælde sendes telemetri med information om modelversionen og beregnede vægte for hver kategori). Hvis et phishing-forsøg opdages, vil brugeren blive vist en advarselsside, før han åbner det mistænkelige websted.
- I Client Hints API, der udvikles som erstatning for User-Agent-headeren og giver dig mulighed for selektivt at sende data om specifikke browser- og systemparametre (version, platform osv.) efter en anmodning fra serveren, er det muligt at erstatte fiktive navne i listen over browser-id'er i henhold til analogier med GREASE (Generate Random Extensions And Sustain Extensibility) mekanismen, der bruges i TLS. For eksempel, ud over '"Chrome"; v="98″' og '"Chromium"; v="98″' en tilfældig identifikator for en ikke-eksisterende browser '"(Not; Browser"; v="12″' kan føjes til listen. En sådan erstatning vil hjælpe med at identificere problemer med at behandle identifikatorer for ukendte browsere, hvilket fører til, at alternative browsere er tvunget til at udgive sig for at være andre populære browsere for at omgå kontrol mod lister over acceptable browsere.
- Fra den 17. januar accepterer Chrome Webshop ikke længere tilføjelser, der bruger version 2023 af Chrome-manifestet. Nye tilføjelser vil nu kun blive accepteret med den tredje version af manifestet. Udviklere af tidligere tilføjede tilføjelser vil stadig være i stand til at udgive opdateringer med den anden version af manifestet. Den fuldstændige afskrivning af den anden version af manifestet er planlagt til januar XNUMX.
- Tilføjet understøttelse af farvevektorskrifttyper i COLRv1-formatet (en undergruppe af OpenType-skrifttyper, der udover vektorglyffer indeholder et lag med farveinformation), som for eksempel kan bruges til at skabe flerfarvede emoji. I modsætning til det tidligere understøttede COLRv0-format har COLRv1 nu mulighed for at bruge gradienter, overlejringer og transformationer. Formatet giver også en kompakt lagringsform, giver effektiv komprimering og giver mulighed for genbrug af konturer, hvilket tillader betydelig reduktion i skriftstørrelse. For eksempel fylder Noto Color Emoji-skrifttypen 9 MB i rasterformat og 1 MB i COLRv1.85 vektorformat.
- Origin Trials-tilstand (eksperimentelle funktioner, der kræver separat aktivering) implementerer Region Capture API, som giver dig mulighed for at beskære den optagne video. For eksempel kan beskæring være nødvendig i webapplikationer, der optager video med indholdet af deres fane, for at skære bestemt indhold ud før afsendelse. Origin Trial indebærer evnen til at arbejde med den specificerede API fra applikationer downloadet fra localhost eller 127.0.0.1, eller efter registrering og modtagelse af et særligt token, der er gyldigt i en begrænset periode for et specifikt websted.
- CSS-egenskaben "contain-intrinsic-size" understøtter nu værdien "auto", som vil bruge elementets sidst huskede størrelse (når den bruges sammen med "content-visibility: auto", behøver udvikleren ikke at gætte elementets gengivne størrelse) .
- Tilføjet egenskaben AudioContext.outputLatency, hvorigennem du kan finde ud af information om den forudsagte forsinkelse før lydoutput (forsinkelsen mellem lydanmodningen og starten af behandlingen af de modtagne data af lydoutputenheden).
- CSS-egenskabsfarveskema, som gør det muligt at bestemme, i hvilke farveskemaer et element kan vises korrekt (“lys”, “mørk”, “dagtilstand” og “nattilstand”), parameteren “kun” er tilføjet for at forhindre tvungne farveændringsskemaer for individuelle HTML-elementer. For eksempel, hvis du angiver "div { color-scheme: only light }", så vil kun lystemaet blive brugt til div-elementet, selvom browseren tvinger det mørke tema til at blive aktiveret.
- Tilføjet understøttelse af "dynamic-range" og "video-dynamic-range" medieforespørgsler til CSS for at afgøre, om en skærm understøtter HDR (High Dynamic Range).
- Tilføjet muligheden for at vælge, om der skal åbnes et link i en ny fane, et nyt vindue eller et pop op-vindue til funktionen window.open(). Derudover returnerer egenskaben window.statusbar.visible nu "false" for popups og "true" for faner og vinduer. const popup = window.open('_blank',",'popup=1′); // Åbn i et popup-vindue const tab = window.open('_blank',,"'popup=0′); // Åbn i fanen
- Metoden structuredClone() er blevet implementeret til Windows og arbejdere, som giver dig mulighed for at oprette rekursive kopier af objekter, der inkluderer egenskaber, ikke kun for det angivne objekt, men også for alle andre objekter, der refereres til af det aktuelle objekt.
- Web Authentication API har tilføjet understøttelse af FIDO CTAP2-specifikationsudvidelsen, som giver dig mulighed for at indstille den mindst tilladte PIN-kodestørrelse (minPinLength).
- For installerede selvstændige webapplikationer er komponenten Window Controls Overlay blevet tilføjet, som udvider skærmområdet af applikationen til hele vinduet, inklusive titelområdet, hvorpå standardvinduets kontrolknapper (luk, minimer, maksimer ) er overlejret. Webapplikationen kan styre gengivelsen og inputbehandlingen af hele vinduet, undtagen overlejringsblokken med vindueskontrolknapper.
- Tilføjet en signalhåndteringsegenskab til WritableStreamDefaultController, der returnerer et AbortSignal-objekt, som kan bruges til straks at stoppe skrivninger til en WritableStream uden at vente på, at de er færdige.
- WebRTC har fjernet understøttelsen af SDES-nøgleaftalemekanismen, som blev forældet af IETF i 2013 på grund af sikkerhedsproblemer.
- Som standard er U2F (Cryptotoken) API deaktiveret, som tidligere var forældet og erstattet af Web Authentication API. U2F API vil blive fuldstændigt fjernet i Chrome 104.
- I API-indekset er feltet installed_browser_version blevet forældet, erstattet af et nyt pending_browser_version-felt, som adskiller sig ved, at det indeholder oplysninger om browserversionen, under hensyntagen til downloadede, men ikke anvendte opdateringer (dvs. den version, der vil være gyldig efter browseren genstartes).
- Fjernede muligheder, der gjorde det muligt at returnere understøttelse af TLS 1.0 og 1.1.
- Der er foretaget forbedringer af værktøjer til webudviklere. En fane er blevet tilføjet for at evaluere funktionen af tilbage-frem-cachen, som giver øjeblikkelig navigation, når du bruger tilbage- og frem-knapperne. Tilføjet muligheden for at efterligne tvungne farver medieanmodninger. Tilføjede knapper til Flexbox-editoren for at understøtte egenskaberne række-omvendt og kolonne-omvendt. Fanen "Ændringer" sikrer, at ændringer vises efter formatering af koden, hvilket forenkler parsingen af minificerede sider.
Implementeringen af kodegennemgangspanelet er blevet opdateret til udgivelsen af CodeMirror 6-kodeeditoren, som markant forbedrer ydeevnen ved at arbejde med meget store filer (WASM, JavaScript), løser problemer med tilfældige forskydninger under navigation og forbedrer anbefalingerne fra autofuldførelsessystemet ved redigering af kode. Muligheden for at filtrere output efter egenskabsnavn eller værdi er blevet tilføjet til CSS-egenskabspanelet.
Ud over innovationer og fejlrettelser eliminerer den nye version 27 sårbarheder. Mange af sårbarhederne blev identificeret som et resultat af automatiseret test ved hjælp af AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL værktøjerne. Der er ikke identificeret nogen kritiske problemer, der ville tillade en at omgå alle niveauer af browserbeskyttelse og eksekvere kode på systemet uden for sandkassemiljøet. Som en del af kontantbelønningsprogrammet for at opdage sårbarheder for den aktuelle udgivelse, udbetalte Google 19 priser til en værdi af $88 (to $20000-priser, en $12000-pris, to $7500-priser, fire $1000-priser og en hver på $7000, $5000, $3000 og $2000.
Kilde: opennet.ru