Lanzamiento de Chrome 119

La empresa Google ha publicado el lanzamiento del navegador web Chrome 119. Al mismo tiempo, se encuentra disponible la versión estable del proyecto libre Chromium, que sirve de base para Chrome. El navegador Chrome se diferencia de Chromium en el uso de los logotipos de Google, la inclusión de un sistema de envío de notificaciones en caso de fallos, módulos para la reproducción de contenido de video protegido contra copias (DRM), un sistema de instalación automática de actualizaciones, la inclusión constante de la aislamiento Sandbox, el suministro de claves para la API de Google y la transmisión de parámetros RLZ durante las búsquedas. Para aquellos que necesitan más tiempo para actualizar, se mantiene por separado la rama Extended Stable, que se acompaña de 8 semanas de soporte. El próximo lanzamiento de Chrome 120 está programado para el 5 de diciembre.

Principales cambios en Chrome 119:

• Se ha reducido el ciclo de formación de lanzamientos, disminuyendo el tiempo entre la creación de una nueva rama y el inicio de pruebas beta: la versión beta ahora se forma dos días después de crear la rama, en lugar de 8 días. La estabilización de la versión beta, como antes, se lleva a cabo durante 4 semanas. De esta manera, el ciclo de preparación de nuevos lanzamientos se ha acortado en una semana.
• Se ha proporcionado la posibilidad de guardar grupos de pestañas. Ahora el usuario puede guardar un grupo y cerrar las pestañas que lo componen, para que no consuman recursos. Más tarde, si se necesita, las pestañas del grupo guardado se pueden recuperar, así como abrir en otros dispositivos que participen en la sincronización de pestañas. Esta posibilidad está habilitada para parte de los usuarios, y para activarla obligatoriamente se ha previsto la configuración "chrome://flags/#tab-groups-save".
• Se han modificado las formulaciones de las operaciones y configuraciones relacionadas con la eliminación y pérdida de datos en la interfaz. En lugar del término "limpiar" (Clear), en tales operaciones ahora se aplica la palabra "eliminar" (Delete), ya que el término "limpiar" no era percibido por algunos usuarios como un indicativo de pérdida irreversible de datos.
• Al autocompletar URLs, ahora se toma en cuenta cualquier palabra clave que se haya utilizado anteriormente para buscar el sitio, y no solo las palabras que coinciden con el inicio de la dirección. Por ejemplo, la autocompletar de la dirección "https://www.google.com/travel/flights" funcionará no solo al ingresar la palabra "google", sino también al ingresar "flights".
• Se ha implementado la corrección automática de errores tipográficos al ingresar la dirección del sitio y se han proporcionado sugerencias relevantes, teniendo en cuenta los sitios que el usuario actual ha visitado anteriormente. Por ejemplo, al escribir "youutube", se sugerirá abrir YouTube.com.
• Se ha habilitado la posibilidad de buscar en secciones de marcadores a través de la barra de direcciones. Por ejemplo, al ingresar el nombre de una sección de marcadores, Chrome sugerirá enlaces de esa sección que coincidan con la palabra clave ingresada. Por ejemplo, al escribir "viajes 2023 Nueva", se sugerirán enlaces de la sección de marcadores "viajes 2023" relacionados con Nueva York.
• Se ha implementado la visualización de recomendaciones de sitios populares, incluso si el usuario no los ha visitado anteriormente o cometió un error al ingresar la URL. Por ejemplo, cuando, siguiendo una recomendación, el usuario comenzó a escribir "googleear" sin conocer la dirección exacta, el navegador sugerirá acceder al sitio earth.google.com.
• En Chrome para sistemas de escritorio, se ha mejorado la legibilidad de la información en la barra de direcciones y se ha aumentado la capacidad de respuesta de la interfaz: los resultados ahora se muestran inmediatamente después de comenzar a escribir en la barra de direcciones.
• Conforme a la modificación de la especificación de la API Fetch, se ha garantizado la eliminación del encabezado HTTP de Authorization al redirigir a otro dominio (cross origin).
• En la configuración de notificaciones y definición de ubicación, se ha agregado una opción para habilitar el servicio de supresión automática de solicitudes para confirmar permisos (Permission Suggestions Service). Se ofrecen los siguientes modos:
  • siempre mostrar solicitudes para obtener permisos para enviar notificaciones y acceder a la ubicación;
  • ignorar automáticamente las solicitudes de permisos spam, utilizando el mecanismo Permission Suggestions Service;
  • siempre ignorar todas las solicitudes para enviar notificaciones;
  • siempre bloquear todas las solicitudes para obtener permisos para enviar notificaciones y acceder a la ubicación.
• En las compilaciones para la plataforma Android, al habilitar la protección estándar del navegador (Safe Browsing > Protección estándar), se ha implementado la verificación de seguridad en tiempo real de las URLs abiertas, que se realiza mediante el envío a servidores Google de hashes parciales de las URLs que el usuario está abriendo. Para evitar la coincidencia IP El usuario y el hash, los datos se transmiten a través de un proxy intermedio. Anteriormente, la verificación se realizaba mediante la carga de una copia local de la lista de URL inseguras en el sistema del usuario. El nuevo esquema permite bloquear URL maliciosas de manera más ágil. Para sistemas de escritorio, este modo se incluyó en la versión anterior.
• El escape de caracteres no alfabéticos en el nombre de host al llamar a la función URL se ha alineado con la especificación actualizada. Por ejemplo, la llamada a la función ‘URL(«http://exa(mple.com;»)’ anteriormente devolvía ‘http://example.com/’, pero ahora generará un error ‘URL inválido’.
• A todas las cookies guardadas anteriormente se les ha aplicado un límite de tiempo de vida, similar al que se aplica desde la versión 104 de Chrome para cookies nuevas y actualizadas. Para las cookies existentes, el tiempo de vida se reducirá a 400 días a partir de la publicación de la versión 119 de Chrome.
• En CSS se han propuesto nuevos pseudo-clases ‘:user-valid’ y ‘:user-invalid’, que representan elementos de formularios cuyos valores han pasado o no han pasado la validación. A diferencia de ‘:valid’ y ‘:invalid’, los nuevos pseudoclases se activan solo después de la interacción del usuario con el elemento del formulario.
• Al establecer colores en CSS, se permite la definición de valores calculados en relación con otros parámetros de color. Por ejemplo, al especificar ‘oklab(from magenta calc(l * 0.8) a b)’, se obtendrá un color un 80% más claro que el magenta.
• En la propiedad CSS clip-path, que permite limitar la visibilidad de un elemento a un área específica, se ha añadido soporte para el valor para definir un área arbitraria para recortar. También se proporciona la posibilidad de usar las funciones xywh() y rect() para facilitar la definición de áreas rectangulares o redondeadas.
• Se ha desactivado el soporte para la API WebSQL, para lo cual se recomienda utilizar la API Web Storage y la Base de Datos Indexada. El controlador WebSQL se basa en el código de la biblioteca SQLite. La API WebSQL no se era soportada en otros navegadores, se vinculaba con la API de una biblioteca externa y aumentaba los riesgos de problemas de seguridad (WebSQL podría haber sido utilizado por atacantes para explotar vulnerabilidades en SQLite). Para restaurar el soporte de WebSQL para los usuarios empresariales, se ha dejado la política WebSQLAccess, que se eliminará en Chrome 123.
• Se ha eliminado temporalmente la API HTML Sanitizer, que permitía recortar elementos del contenido que afectan la visualización y la ejecución al usar el método setHTML(). Esta API fue desarrollada para eliminar etiquetas HTML que podrían ser utilizadas para llevar a cabo ataques XSS. La razón de su eliminación se menciona como la falta de finalización de la especificación, que ha cambiado significativamente desde que se agregó Sanitizer a Chrome. La API se devolverá una vez que la especificación esté lista.
• Se ha eliminado el atributo no estándar shadowRoot, que permitía a los elementos personalizados acceder a su propio raíz separado en el Shadow DOM, independientemente de su estado. En su lugar, se ha propuesto el atributo shadowRootMode en Chrome 111, que se ha incorporado al estándar web.
• Se ha mejorado la implementación del elemento HTML «», que es similar a «iframe» y también permite integrar contenido externo en la página. Las diferencias se centran en limitar la interacción del contenido integrado con el contenido de la página a nivel de DOM y atributos. Por ejemplo, una página news.example, en la que se ha incorporado un bloque de publicidad mediante fencedframe, cargado desde el sitio shoes.example, no puede acceder a los datos de shoes.example, y a su vez, el código de shoes.example no puede obtener datos relacionados con news.example. En la nueva versión, se ha añadido soporte para las sustituciones de tamaño del bloque publicitario que han surgido en la API Protected Audience, por ejemplo, «https://ad.com?width={/_WIDTH%}&height={/_HEIGHT%}».
• Se ha añadido el parámetro monitorTypeSurfaces al método getDisplayMedia(), que se puede utilizar para prohibir la compartición de toda la pantalla.
• Se ha añadido un parámetro experimental (origin trial) fullscreen al método window.open(), que permite abrir una ventana directamente en modo de pantalla completa.
• Se ha añadido la bandera «bitrateMode» en la API AudioEncoderConfig para elegir entre tasa de bits constante (constant) y variable (variable).
• En TLS se incluye una implementación del mecanismo de encapsulación de claves (KEM, Key Encapsulation Mechanism), que utiliza un algoritmo híbrido X25519Kyber768, resistente a la ruptura por ordenadores cuánticos. Para la creación de claves de sesión, utilizadas para cifrar datos dentro de las conexiones TLS, ahora se puede usar una combinación del mecanismo de intercambio de claves X25519, basado en curvas elípticas y actualmente utilizado en TLS, con el algoritmo Kyber-768, que emplea métodos criptográficos basados en la resolución de problemas de teoría de reticulados, cuyo tiempo de resolución no difiere en ordenadores convencionales y cuánticos.
• La compatibilidad con la extensión WasmGC está habilitada por defecto, facilitando el puerto de programas a WebAssembly que han sido escritos en lenguajes de programación que utilizan recolección de basura (Kotlin, PHP, Java, etc.). WasmGC añade nuevos tipos de estructuras y arreglos, para los cuales se puede aplicar la asignación no lineal de memoria.
• Se han realizado mejoras en las herramientas para desarrolladores web. Se ha añadido la posibilidad de editar reglas CSS «@property» y se emitirán advertencias en caso de que se definan incorrectamente. Se ha actualizado la lista de dispositivos emulados (por ejemplo, se han añadido el iPhone 14 y el Pixel 7). La consola web ahora cuenta con autocompletado para campos privados. Se ha asegurado el formateo de datos JSON ubicados dentro de bloques

Además de las innovaciones y correcciones de errores, en la nueva versión se han solucionado 15 vulnerabilidades. Muchas de las vulnerabilidades fueron detectadas a través de pruebas automatizadas con herramientas como AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. No se han identificado problemas críticos que permitan eludir todos los niveles de protección del navegador y ejecutar código en el sistema fuera del entorno sandbox. En el marco del programa de recompensas por la detección de vulnerabilidades, la empresa Google ha pagado 13 premios por un total de $40,500 (uno de $16,000, uno de $11,000, dos de $2,000 y $500, tres de $3,000 y dos de $1,000). El monto de 4 recompensas aún no está definido.

Fuente: opennet.ru