🥇Lanzamiento de Chrome 78

La empresa Google ha presentado la versión del navegador web Chrome 78. A la vez está disponible lanzamiento estable de un proyecto de código abierto Chromium, que sirve como base para Chrome. El navegador Chrome se distingue utiliza los logotipos de Google, tiene un sistema para enviar notificaciones en caso de fallos, permite la descarga del módulo Flash a petición, módulos para la reproducción de contenido de video protegido (DRM), un sistema de actualización automática y la transmisión en las búsquedas de parámetros RLZ. La próxima versión de Chrome 79 está programada para el 10 de diciembre.

Principales cambios en Chrome 78:

Se ha implementado Soporte experimental para 'DNS sobre HTTPS' (DoH, DNS over HTTPS), que se habilitará de manera selectiva para ciertos grupos de usuarios, cuyos ajustes del sistema ya indiquen proveedores de DNS que soporten DoH. Por ejemplo, si el usuario tiene configurado como DNS 8.8.8.8, se activará el servicio DoH de Google en Chrome ('https://dns.google.com/dns-query'); si el DNS es 1.1.1.1, se utilizará el servicio DoH de Cloudflare ('https://cloudflare-dns.com/dns-query'), etc.
Para gestionar la activación de DoH, existe un ajuste en 'chrome://flags/#dns-over-https'. Se soportan tres modos: 'secure', 'automatic' y 'off'. En el modo 'secure', los hosts se determinan únicamente a partir de valores seguros previamente almacenados en caché (obtenidos a través de una conexión segura) y solicitudes a través de DoH, sin retroceder al DNS convencional. En modo 'automatic', si DoH y la caché segura no están disponibles, se permite obtener datos de una caché no segura y hacer consultas a través del DNS tradicional. En el modo 'off', se verifica primero la caché general y, si no hay datos, la solicitud se envía a través del DNS del sistema.
En las herramientas de sincronización se ha añadido soporte preliminar para el portapapeles compartido, que aún no está activado para todos los usuarios. En las instancias de Chrome vinculadas a la misma cuenta, ahora se puede acceder al contenido del portapapeles de otro dispositivo, permitiendo compartir el portapapeles entre sistemas móviles y de escritorio. El contenido del portapapeles se cifra con cifrado de extremo a extremo, lo que impide el acceso al texto en los servidores de Google.
Para ciertas categorías de usuarios, se ha habilitado una función experimental para cambiar el tema de la interfaz y personalizar la pantalla que se muestra al abrir una nueva pestaña. En el menú 'Configurar', que se muestra en la esquina inferior derecha de la pantalla de la nueva pestaña, además de seleccionar una imagen de fondo, se ha añadido soporte para cambiar el método de disposición de los accesos directos y la posibilidad de cambiar el tema. Los accesos directos pueden ser sugeridos automáticamente en función de los sitios más visitados, elegidos por el usuario o totalmente desactivados. Se puede elegir un tema de un conjunto de temas predefinidos o crear uno propio basándose en la selección de colores deseados en la paleta. Para habilitar nuevas funciones, se pueden utilizar las banderas 'chrome://flags/#ntp-customization-menu-v2' y
'chrome://flags/#chrome-colors';
Para las empresas, la barra de direcciones por defecto ha habilitado la capacidad de buscar archivos en Google Drive. La búsqueda se realiza no solo por títulos, sino también por el contenido de los documentos, teniendo en cuenta el historial de visualización anterior;
Se ha incluido un componente de verificación de contraseñas, que se activará progresivamente para ciertas categorías de usuarios (se ha previsto una bandera para la activación forzada 'chrome://flags/#password-leak-detection'). La verificación de contraseñas anteriormente se ofrecía en forma de como una extensión externa, diseñada para analizar la seguridad de las contraseñas utilizadas por el usuario. Al intentar acceder a cualquier sitio, la verificación de contraseñas comprueba el inicio de sesión y la contraseña en una base de datos de cuentas comprometidas, mostrando una advertencia en caso de detectar problemas (la verificación se realiza se realiza en base a un prefijo hash del lado del usuario). La comprobación se realiza sobre una base de datos que abarca más de 4 mil millones de cuentas comprometidas que han estado involucradas en filtraciones de bases de datos de usuarios. También se muestra una advertencia al intentar usar contraseñas triviales, como 'abc123';
Se ha añadido la posibilidad de iniciar una llamada desde un dispositivo Android vinculado a la misma cuenta de Google. En el navegador de escritorio, el usuario puede seleccionar un número de teléfono en el texto, hacer clic derecho y redirigir la operación de hacer una llamada al dispositivo Android, tras lo cual aparecerá una notificación en el teléfono que permitirá iniciar la llamada;
Se ha modificado el formato de la sugerencia que aparece al pasar el ratón sobre el título de la pestaña. La sugerencia ahora se muestra como un bloque emergente, que muestra el texto completo del título y la URL de la página. Este bloque es útil para buscar rápidamente la página deseada al abrir un gran número de pestañas (en lugar de revisar las pestañas, se puede pasar el ratón sobre la barra de pestañas y encontrar la página buscada). En el futuro, se planea incluir una vista previa de la página en este bloque;
Se ha añadido una función experimental (chrome://flags/#enable-force-dark) de forzar el uso de un tema oscuro al visualizar sitios web. Para garantizar una presentación oscura del sitio, se utiliza la inversión de colores;
Se ha añadido soporte de la especificación API de Propiedades y Valores CSS Nivel 1, que permite registrar propiedades CSS personalizadas, que siempre tienen un tipo definido, establecen un valor por defecto y permiten la asociación de efectos de animación. Para registrar una propiedad, se puede utilizar el método registerProperty() o la regla CSS «@property», por ejemplo:
CSS.registerProperty({
name: «—my-font-size»,
syntax: «‹length›»,
initialValue: «0px»,
inherits: false
});
En el modo Origin Trials (funciones experimentales que requieren una activación separada) se han propuesto varias nuevas API. El Origin Trial implica la posibilidad de trabajar con la API especificada desde aplicaciones cargadas desde localhost o 127.0.0.1, o después de registrarse y obtener un token especial que tiene un tiempo de validez limitado para un sitio específico.
- API Sistema de Archivos Nativo, que permite crear aplicaciones web que interactúan con archivos en el sistema de archivos local. Por ejemplo, esta nueva API puede ser útil en entornos de desarrollo integrados, editores de texto, imágenes y videos que se ejecutan en el navegador. Para obtener la capacidad de lectura y escritura directa de archivos, usar diálogos para abrir y guardar archivos, así como navegar por el contenido de directorios, la aplicación solicita una confirmación especial del usuario;
- Mecanismo Intercambios HTTP Firmados (SXG), que permite alojar copias verificadas de páginas web en otros sitios, que se ven para el usuario como páginas originales (sin cambiar la URL), se ha ampliado con la capacidad de cargar subrecursos (CSS, JS, imágenes, etc.) desde el sitio original. La fuente del recurso se establece a través del encabezado HTTP Link, en el que también se proporciona un hash de verificación para cada recurso. Con esta nueva capacidad, los proveedores de contenido pueden crear un único archivo HTML firmado que incluya todos los subrecursos relacionados;
- API Receptor de SMS, permitiendo a la aplicación web acceder a mensajes SMS, por ejemplo, para automatizar la verificación de operaciones mediante un código de un solo uso enviado por SMS. El acceso se otorga solo a los SMS que tienen una etiqueta especial que vincula el mensaje a una aplicación web específica;
Se ha incrementado significativamente el rendimiento de carga de objetos ArrayBuffer a través de Web Socket. En la plataforma Linux, se ha observado un aumento de velocidad de 7.5 veces, en Windows de 4.1 veces, y en macOS de 7.8 veces;
Se ha añadido la posibilidad de definir en porcentaje el valor de transparencia en las propiedades CSS opacity, stop-opacity, fill-opacity, stroke-opacity, y shape-image-threshold. Por ejemplo, en lugar de 'opacity: 0.5' ahora se puede especificar 'opacity: 50%';
En la API User Timing se permite la transmisión de etiquetas de tiempo arbitrarias en las llamadas a performance.measure() y performance.mark() para realizar mediciones entre ellas, así como la especificación de metadatos arbitrarios;
En la API Media Session se ha añadido se admite la definición de controladores de cambio de posición en la transmisión (seekto), además de los controladores de pausa y reproducción que ya estaban disponibles;
En el motor JavaScript V8 activado modo de análisis en segundo plano de scripts sobre la marcha a medida que se cargan a través de la red. La optimización implementada ha permitido reducir el tiempo de compilación de scripts en un 5-20%. En esta nueva versión, también se ha aumentado el rendimiento de la desestructuración de objetos (transformación de 'const {x, y} = object;' en 'const x = object.x; const y = object.y;'). Se ha incrementado la velocidad de procesamiento de expresiones RegExp con coincidencias no coincidentes.
Se ha incrementado considerablemente (del 9 al 20%) la velocidad de llamada de funciones JavaScript desde WebAssembly y viceversa. En la compilación de bytecode, se ha mejorado la eficiencia en la construcción de tablas de enlace a posiciones originales, que ha permitido reducir el consumo de memoria en
1-2.5%.
Ampliadas herramientas para desarrolladores web. El panel de auditoría ahora se puede usar en combinación con otras funciones, como la bloqueo de solicitudes y la redefinición de descargas. Se ha añadido soporte para depurar controladores de pagos a través de la API Payment. En el panel de análisis de rendimiento se han añadido etiquetas LCP (Largest Contentful Paint), que reflejan el tiempo de renderizado de los elementos más grandes;
Eliminado mecanismo de bloqueo de scripting entre sitios XSS Auditor, que se ha considerado ineficaz (los atacantes han estado usando métodos para evadir la protección del XSS Auditor) y que añade nuevos vectores para fuga de información;
La versión para Android ofrece la posibilidad de utilizar un tema oscuro para el menú, la configuración y el modo de navegación por los sitios abiertos.

Además de las novedades y correcciones de errores, en la nueva versión se han eliminado 37 vulnerabilidades. Muchas de las vulnerabilidades fueron identificadas a través de pruebas automatizadas con herramientas de AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. No se han identificado problemas críticos que permitan eludir todos los niveles de protección del navegador y ejecutar código en el sistema fuera del entorno sandbox. En el marco del programa de recompensas por la detección de vulnerabilidades para esta versión, Google ha pagado 21 premios por un total de 59500 dólares estadounidenses (un premio de $20000, un premio de $15000, un premio de $5000, dos premios de $3000, tres premios de $2000, cinco premios de $1000 y cinco premios de $500). El monto de 4 recompensas aún no está definido.

Fuente: opennet.ru