Google ha presentado el lanzamiento del navegador web Chrome 97. Al mismo tiempo, está disponible una versión estable del proyecto gratuito Chromium, que sirve como base para Chrome. El navegador Chrome se distingue por el uso de los logotipos de Google, la presencia de un sistema para enviar notificaciones en caso de falla, módulos para reproducir contenido de video protegido contra copia (DRM), un sistema para instalar actualizaciones automáticamente y transmitir parámetros RLZ cuando buscando. Para aquellos que necesitan más tiempo para actualizar, hay una rama estable extendida separada, seguida de 8 semanas, que forma una actualización de la versión anterior de Chrome 96. La próxima versión de Chrome 98 está programada para el 1 de febrero.
Cambios clave en Chrome 97:
- Para algunos usuarios, el configurador utiliza una nueva interfaz para administrar los datos almacenados en el navegador (“chrome://settings/content/all”). La diferencia clave de la nueva interfaz es que se centra en establecer permisos y borrar todas las cookies del sitio a la vez, sin la posibilidad de ver información detallada sobre cookies individuales y eliminar cookies de forma selectiva. Según Google, el acceso a la gestión de cookies individuales por parte de un usuario normal que no comprende las complejidades del desarrollo web puede provocar interrupciones impredecibles en el funcionamiento de los sitios debido a cambios irreflexivos en parámetros individuales, así como a la desactivación accidental de la privacidad. Mecanismos de protección activados a través de Cookies. Para aquellos que necesitan manipular Cookies individuales, se recomienda utilizar la sección de gestión de almacenamiento en las herramientas para desarrolladores web (Applocation/Storage/Cookie).
- En el bloque con información sobre el sitio, se muestra una breve descripción del sitio (por ejemplo, una descripción de Wikipedia) si el modo de optimización de búsqueda y navegación está activado en la configuración (la opción "Mejorar las búsquedas y la navegación").
- Soporte mejorado para completar automáticamente campos en formularios web. Las recomendaciones con opciones de autocompletar ahora se muestran con un ligero cambio y cuentan con íconos de información para una vista previa más conveniente y una identificación visual de la conexión con el campo que se está completando. Por ejemplo, el icono de perfil deja claro que el autocompletado propuesto afecta a los campos relacionados con la dirección y la información de contacto.
- Se habilitó la eliminación de los controladores de perfiles de usuario de la memoria después de cerrar las ventanas del navegador asociadas a ellos. Anteriormente, los perfiles permanecían en la memoria y continuaban realizando trabajos relacionados con la sincronización y ejecución de scripts complementarios en segundo plano, lo que provocaba un desperdicio innecesario de recursos en sistemas que utilizan varios perfiles simultáneamente (por ejemplo, un perfil de invitado y un enlace a una cuenta de Google). ). Además, se garantiza una limpieza más profunda de los datos que quedan mientras se trabaja con el perfil.
- Página mejorada con la configuración del motor de búsqueda (“Configuración>Administrar motores de búsqueda”). Se ha deshabilitado la activación automática de motores, cuya información se proporciona al abrir un sitio a través del script OpenSearch; los nuevos motores para procesar consultas de búsqueda desde la barra de direcciones ahora deben activarse manualmente en la configuración (los motores que antes se activaban automáticamente continuarán trabajar sin cambios).
- A partir del 17 de enero, Chrome Web Store ya no aceptará complementos que utilicen la versión XNUMX del manifiesto de Chrome, pero los desarrolladores de complementos agregados anteriormente aún podrán publicar actualizaciones.
- Se agregó soporte experimental para la especificación WebTransport, que define un protocolo y la API de JavaScript que lo acompaña para enviar y recibir datos entre el navegador y el servidor. El canal de comunicación se organiza sobre HTTP/3 utilizando el protocolo QUIC como transporte. WebTransport se puede utilizar en lugar del mecanismo WebSockets, ofreciendo características adicionales como transmisión de múltiples transmisiones, transmisiones unidireccionales, entrega fuera de orden y modos de entrega confiables y no confiables. Además, se puede utilizar WebTransport en lugar del mecanismo Server Push, que Google ha abandonado en Chrome.
- Los métodos findLast y findLastIndex se han agregado a los objetos JavaScript Array y TypedArrays, lo que le permite buscar elementos con el resultado relativo al final de la matriz. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (último elemento par)
- Elementos HTML cerrados (sin atributo "abierto") , ahora se pueden buscar y vincular, y se expanden automáticamente cuando se utiliza la búsqueda de páginas y la navegación de fragmentos (ScrollToTextFragment).
- Las restricciones de la Política de seguridad de contenido (CSP) en los encabezados de respuesta del servidor ahora se aplican a los trabajadores dedicados, que anteriormente se trataban como documentos separados.
- Se ha proporcionado una solicitud explícita para que la autoridad descargue cualquier subrecurso de la red interna: antes de acceder a la red interna o al host local, se envía una solicitud CORS (Cross-Origin Resource Sharing) con el encabezado "Acceso-Control-Solicitud-Privado- Red: verdadero” ahora se envía al servidor del sitio principal y requiere confirmación de la operación devolviendo el encabezado “Acceso-Control-Permitir-Red-Privada: verdadero”.
- Se agregó la propiedad CSS de síntesis de fuentes, que le permite controlar si el navegador puede sintetizar los estilos de fuentes faltantes (oblicuo, negrita y minúscula) que no están en la familia de fuentes seleccionada.
- Para las transformaciones CSS, la función perspectiva() implementa un parámetro "ninguno", que se trata como un valor infinito al organizar la animación.
- El encabezado HTTP Permissions-Policy (Política de funciones), utilizado para delegar autoridad y habilitar funciones avanzadas, ahora admite el valor de mapa de teclado, que permite el uso de la API del teclado. Se implementó el método Keyboard.getLayoutMap(), que le permite determinar qué tecla se presiona, teniendo en cuenta diferentes diseños de teclado (por ejemplo, se presiona una tecla en un diseño ruso o inglés).
- Se agregó el método HTMLScriptElement.supports(), que unifica la definición de nuevas funciones disponibles en el elemento "script", por ejemplo, puede encontrar la lista de valores admitidos para el atributo "tipo".
- El proceso de normalización de nuevas líneas al enviar formularios web se ha alineado con los motores de navegador Gecko y WebKit. La normalización de los avances de línea y los retornos de carro (reemplazando /r y /n con \r\n) en Chrome ahora se realiza en la etapa final en lugar de al comienzo del procesamiento de envío del formulario (es decir, los procesadores intermedios que usan el objeto FormData verán los datos como añadido por el usuario, y no en forma normalizada).
- La denominación de los nombres de las propiedades se ha estandarizado para la API Client Hints, que se está desarrollando como un reemplazo del encabezado User-Agent y le permite proporcionar de forma selectiva datos sobre parámetros específicos del navegador y del sistema (versión, plataforma, etc.) solo después de una solicitud por parte del servidor. Las propiedades ahora se especifican con el prefijo "sec-ch-", por ejemplo, sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt , sec-ch-downlink y sec-ch-ect.
- Se ha aplicado la segunda etapa de interrupción del soporte para la API WebSQL, cuyo acceso desde scripts de terceros ahora estará bloqueado. En el futuro, planeamos eliminar gradualmente y por completo el soporte para WebSQL, independientemente del contexto de uso. El motor WebSQL se basa en código SQLite y los atacantes podrían utilizarlo para explotar vulnerabilidades en SQLite.
- Para la plataforma Windows, se incluye un ensamblado con comprobaciones de integridad del flujo de ejecución (CFG, Control Flow Guard), que bloquea los intentos de insertar código en el proceso de Chrome. Además, el aislamiento de la zona de pruebas ahora se aplica a los servicios de red que se ejecutan en procesos separados, lo que limita las capacidades del código en estos procesos.
- Chrome para Android incluye un mecanismo de actualización dinámica del registro de certificados emitidos y revocados (Certificate Transparency), que anteriormente estaba activado en tarifas para sistemas de escritorio.
- Se han realizado mejoras en las herramientas para desarrolladores web. Se ha implementado soporte experimental para sincronizar la configuración de DevTools entre diferentes dispositivos. Se ha agregado un nuevo panel Grabador, con el que puedes grabar, reproducir y analizar las acciones del usuario en la página.
Al mostrar errores en la consola web, se muestran los números de columna asociados con el problema, lo cual es conveniente para depurar problemas en código JavaScript minimizado. Se actualizó la lista de dispositivos que se pueden simular para evaluar la visualización de páginas en dispositivos móviles. En la interfaz para editar bloques HTML (Editar como HTML), se ha agregado resaltado de sintaxis y la capacidad de autocompletar la entrada.
Además de las innovaciones y correcciones de errores, la nueva versión elimina 37 vulnerabilidades. Muchas de las vulnerabilidades se identificaron como resultado de pruebas automatizadas utilizando las herramientas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. A una de las vulnerabilidades se le ha asignado el estado de problema crítico, lo que permite eludir todos los niveles de protección del navegador y ejecutar código en el sistema, fuera del entorno sandbox. Los detalles sobre la vulnerabilidad crítica (CVE-2022-0096) aún no se han revelado, solo se sabe que está asociada con el acceso a un área de memoria ya liberada en el código para trabajar con almacenamiento interno (Storage API).
Como parte del programa para pagar recompensas en efectivo por descubrir vulnerabilidades para la versión actual, Google pagó 24 premios por valor de 54 dólares (tres premios de 10000 dólares, dos premios de 5000 dólares, un premio de 4000 dólares, tres premios de 3000 dólares y un premio de 1000 dólares). Aún no se ha determinado el tamaño de las 14 recompensas.
Fuente: opennet.ru