Google ha presentado el lanzamiento del navegador web Chrome 104. Al mismo tiempo, está disponible una versión estable del proyecto gratuito Chromium, que sirve como base para Chrome. El navegador Chrome se diferencia de Chromium en el uso de los logotipos de Google, la presencia de un sistema para enviar notificaciones en caso de falla, módulos para reproducir contenido de video protegido contra copia (DRM), un sistema para instalar actualizaciones automáticamente y habilitar permanentemente el aislamiento Sandbox. , proporcionando claves para la API de Google y transmitiendo RLZ- durante la búsqueda. Para aquellos que necesitan más tiempo para actualizar, la rama estable extendida se admite por separado, seguida de 8 semanas. El próximo lanzamiento de Chrome 105 está previsto para el 30 de agosto.
Cambios clave en Chrome 104:
- Se ha introducido un límite de vida útil de las cookies: todas las cookies nuevas o actualizadas se eliminarán automáticamente después de 400 días de existencia, incluso si el tiempo de vencimiento establecido a través de los atributos Expires y Max-Age supera los 400 días (para dichas cookies, la vida útil se reducirá). a 400 días). Las cookies creadas antes de la implementación de la restricción conservarán su vida útil, incluso si supera los 400 días, pero serán limitadas si se actualizan. El cambio refleja los nuevos requisitos señalados en el borrador de la nueva especificación.
- Se habilitó el bloqueo de URL de iframe que hacen referencia al sistema de archivos local (“sistema de archivos://”).
- Para acelerar la carga de la página, se ha agregado una nueva optimización que garantiza que se establezca una conexión con el host de destino en el momento en que hace clic en un enlace, sin esperar a que suelte el botón o retire el dedo de la pantalla táctil.
- Se agregaron configuraciones para administrar la API "Temas y grupos de interés", promovida como parte de la iniciativa Privacy Sandbox, que le permite definir categorías de intereses de los usuarios y usarlas en lugar de rastrear cookies para identificar grupos de usuarios con intereses similares sin identificar usuarios individuales. . Además, se han agregado cuadros de diálogo informativos que se muestran una vez, explicando al usuario la esencia de la tecnología y ofreciéndole activar su soporte en la configuración.
- Umbrales aumentados para limitar las llamadas anidadas a los temporizadores setTimeout y setInterval iniciados con un intervalo especificado inferior a 4 ms (“setTimeout(…, <4ms)”). El límite total de este tipo de llamadas se ha aumentado de 5 a 100, lo que permite no reducir agresivamente las llamadas individuales, pero al mismo tiempo evitar abusos que podrían afectar el rendimiento del navegador.
- Está habilitado enviar una solicitud de confirmación de autorización CORS (Cross-Origin Resource Sharing) al servidor del sitio principal con el encabezado "Access-Control-Request-Private-Network: true" cuando una página accede a un subrecurso en la red interna (192.168.xx , 10. xxx, 172.16-31.xx) o al host local (127.xxx). Al confirmar la operación en respuesta a esta solicitud, el servidor debe devolver el encabezado “Access-Control-Allow-Private-Network: true”. En Chrome versión 104, el resultado de la confirmación aún no afecta el procesamiento de la solicitud; si no hay confirmación, se muestra una advertencia en la consola web, pero la solicitud de subrecurso en sí no se bloquea. No se espera habilitar el bloqueo sin reconocimiento hasta Chrome 107. Para habilitar el bloqueo en versiones anteriores, puede habilitar la configuración "chrome://flags/#private-network-access-respect-preflight-results".
La verificación de autoridad por parte del servidor se introdujo para fortalecer la protección contra ataques relacionados con el acceso a recursos en la red local o en la computadora del usuario (localhost) desde scripts cargados al abrir un sitio. Los atacantes utilizan dichas solicitudes para llevar a cabo ataques CSRF en enrutadores, puntos de acceso, impresoras, interfaces web corporativas y otros dispositivos y servicios que aceptan solicitudes solo de la red local. Para protegerse contra tales ataques, si se accede a algún subrecurso en la red interna, el navegador enviará una solicitud explícita de permiso para cargar estos subrecursos.
- Se ha agregado un mecanismo de captura de región que le permite recortar contenido innecesario de un video generado en función de la captura de pantalla. Por ejemplo, utilizando la API getDisplayMedia, una aplicación web puede transmitir vídeo del contenido de una pestaña y Region Capture le permite recortar parte del contenido que incluye controles de videoconferencia.
- Se agregó soporte para la nueva sintaxis de consulta de medios definida en la especificación Media Queries Nivel 4, que determina el tamaño mínimo y máximo del área visible (ventana gráfica). La nueva sintaxis le permite utilizar operadores de comparación matemática comunes y operadores lógicos como "no", "o" y "y". Por ejemplo, en lugar de "@media (ancho mínimo: 400 px) {...}", ahora puede especificar "@media (ancho >= 400 px) {...}".
- Se han agregado varias API nuevas al modo de prueba de Origin (funciones experimentales que requieren activación por separado). Origin Trial implica la capacidad de trabajar con la API especificada desde aplicaciones descargadas de localhost o 127.0.0.1, o después de registrarse y recibir un token especial que es válido por un tiempo limitado para un sitio específico.
- Se agregó una propiedad CSS "grupo focal" para mejorar la navegación a través de elementos usando las teclas de flecha del teclado.
- La API de confirmación de pago seguro brinda al usuario la posibilidad de desactivar la tienda de configuración de la tarjeta de crédito. Para mostrar un cuadro de diálogo que le permita negarse a guardar los parámetros de la tarjeta de crédito, el constructor PaymentRequest() proporciona el indicador "showOptOut: true".
- Se agregó la API de transiciones de elementos compartidos, que le permite organizar una transición fluida entre diferentes vistas de contenido en aplicaciones web de una sola página.
- Se ha estabilizado la compatibilidad con las reglas de especulación, lo que permite a los autores de sitios web proporcionar al navegador información sobre las páginas más probables a las que el usuario puede acceder. El navegador utiliza esta información para cargar y representar de forma proactiva el contenido de la página.
- Se ha estabilizado el mecanismo para empaquetar recursos secundarios en paquetes en formato Web Bundle, lo que permite aumentar la eficiencia de cargar una gran cantidad de archivos adjuntos (estilos CSS, JavaScript, imágenes, iframes). A diferencia de los paquetes en formato Webpack, el formato Web Bundle tiene las siguientes ventajas: no es el paquete en sí el que se almacena en la caché HTTP, sino sus componentes; la compilación y ejecución de JavaScript comienza sin esperar a que el paquete se descargue por completo; Se permite incluir recursos adicionales como CSS e imágenes, que en el paquete web deberían codificarse en forma de cadenas de JavaScript.
- Se agregó la propiedad CSS object-view-box, que le permite definir una parte de la imagen que se mostrará en el área en lugar de un elemento determinado, que se puede usar, por ejemplo, para agregar un borde o una sombra.
- Se agregó la API de delegación de capacidad de pantalla completa, lo que permite que un objeto de ventana delegue a otro objeto de ventana el derecho de llamar a requestFullscreen().
- Se agregó la API de ventana complementaria de pantalla completa, que permite colocar contenido de pantalla completa y ventanas emergentes en otra pantalla después de recibir la confirmación del usuario.
- Se ha agregado un atributo visual-box a la propiedad CSS overflow-clip-margin, que determina dónde comenzar a recortar el contenido que va más allá del borde del área (puede tomar los valores content-box, padding-box y border- caja).
- La API Async Clipboard ha agregado la capacidad de definir formatos especializados para los datos transferidos a través del portapapeles, además de texto, imágenes y texto con marcado.
- WebGL proporciona soporte para especificar un espacio de color para el búfer de renderizado y la transformación al importar desde una textura.
- Se ha interrumpido la compatibilidad con las plataformas OS X 10.11 y macOS 10.12.
- La API U2F (Cryptotoken), que anteriormente estaba obsoleta y deshabilitada de forma predeterminada, ha sido descontinuada. La API U2F ha sido reemplazada por la API de autenticación web.
- Se han realizado mejoras en las herramientas para desarrolladores web. El depurador ahora tiene la capacidad de reiniciar el código desde el principio de una función después de alcanzar un punto de interrupción en algún lugar del cuerpo de la función. Se agregó soporte para desarrollar complementos para el panel Grabadora. Se ha agregado al panel de análisis de rendimiento soporte para visualizar marcas establecidas en una aplicación web mediante la llamada al método performance.measure(). Recomendaciones mejoradas para el autocompletado de propiedades de objetos JavaScript. Al autocompletar variables CSS, se proporcionan vistas previas de valores no relacionados con los colores.
Además de las innovaciones y correcciones de errores, la nueva versión elimina 27 vulnerabilidades. Muchas de las vulnerabilidades se identificaron como resultado de pruebas automatizadas utilizando las herramientas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. No se han identificado problemas críticos que permitan eludir todos los niveles de protección del navegador y ejecutar código en el sistema fuera del entorno sandbox. Como parte del programa de recompensas en efectivo por descubrir vulnerabilidades para la versión actual, Google pagó 22 premios por valor de 84 dólares (un premio de 15000 dólares, un premio de 10000 dólares, un premio de 8000 dólares, un premio de 7000 dólares, cuatro premios de 5000 dólares, un premio de 4000 dólares, tres premios de 3000 dólares). , cuatro premios de $2000 y tres premios de $1000). Aún no se ha determinado el tamaño de una recompensa.
Fuente: opennet.ru