Chrome Versión 93

Google ha presentado el lanzamiento del navegador web Chrome 93. Al mismo tiempo, está disponible una versión estable del proyecto gratuito Chromium, que sirve como base para Chrome. El navegador Chrome se distingue por el uso de los logotipos de Google, la presencia de un sistema para enviar notificaciones en caso de falla, módulos para reproducir contenido de video protegido (DRM), un sistema para instalar actualizaciones automáticamente y transmitir parámetros RLZ durante la búsqueda. El próximo lanzamiento de Chrome 94 está programado para el 21 de septiembre (el desarrollo se trasladó a un ciclo de lanzamiento de 4 semanas).

Cambios clave en Chrome 93:

• Se modernizó el diseño del bloque con información de la página (información de la página), en el que se implementó el soporte para bloques anidados y se reemplazaron las listas desplegables con derechos de acceso por interruptores. Las listas garantizan que la información más importante se muestre primero. El cambio no está habilitado para todos los usuarios; para activarlo, puede usar la configuración “chrome://flags/#page-info-version-2-desktop”.
• Para un pequeño porcentaje de usuarios, a modo de experimento, el indicador de conexión segura en la barra de direcciones fue reemplazado por un símbolo más neutral que no causa doble interpretación (el candado fue reemplazado por un signo "V"). Para las conexiones establecidas sin cifrado, se sigue mostrando el indicador "no seguro". La razón citada para reemplazar el indicador es que muchos usuarios asocian el indicador del candado con el hecho de que se puede confiar en el contenido del sitio, en lugar de verlo como una señal de que la conexión está encriptada. A juzgar por una encuesta de Google, sólo el 11% de los usuarios entienden el significado del icono del candado.
• La lista de pestañas cerradas recientemente ahora muestra el contenido de los grupos de pestañas cerrados (anteriormente la lista simplemente mostraba el nombre del grupo sin detallar el contenido) con la capacidad de devolver tanto el grupo completo como las pestañas individuales del grupo a la vez. La función no está habilitada para todos los usuarios, por lo que es posible que deba cambiar la configuración "chrome://flags/#tab-restore-sub-menus" para habilitarla.
• Para las empresas, se han implementado nuevas configuraciones: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites y JavaScriptJitBlockedForSites, que le permiten controlar el modo sin JIT, que deshabilita el uso de la compilación JIT al ejecutar JavaScript (solo se usa el intérprete Ignition) y prohíbe la asignación de archivos ejecutables. memoria durante la ejecución del código. Deshabilitar JIT puede resultar útil para mejorar la seguridad al trabajar con aplicaciones web potencialmente peligrosas a costa de reducir el rendimiento de ejecución de JavaScript en aproximadamente un 17 %. Cabe destacar que Microsoft fue aún más lejos e implementó un modo experimental "Super Duper Secure" en el navegador Edge, que permite al usuario deshabilitar JIT y activar mecanismos de seguridad de hardware no compatibles con JIT CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) y CFG (Control Flow Guard) para procesos que procesan contenido web. Si el experimento tiene éxito, podemos esperar que se transfiera a la parte principal de Chrome.
• La página de nueva pestaña proporciona una lista de los documentos más populares guardados en Google Drive. El contenido de la lista corresponde a la sección Prioridad en drive.google.com. Para controlar la visualización del contenido de Google Drive, puede utilizar las configuraciones “chrome://flags/#ntp-modules” y “chrome://flags/#ntp-drive-module”.
• Se agregaron nuevas tarjetas de información a la página Abrir nueva pestaña para ayudarlo a encontrar contenido visto recientemente e información relacionada. Las tarjetas están diseñadas para que sea más fácil continuar trabajando con información cuya visualización se interrumpió, por ejemplo, las tarjetas le ayudarán a encontrar una receta para un plato que se encontró recientemente en línea pero que se perdió después de cerrar la página, o continuar preparando compras en tiendas. A modo de experimento, se ofrecen a los usuarios dos mapas nuevos: “Recetas” (chrome://flags/#ntp-recipe-tasks-module) para buscar recetas culinarias y mostrar recetas vistas recientemente; “Compras” (chrome://flags/#ntp-chrome-cart-module) para recordatorios sobre productos seleccionados en tiendas online.
• La versión de Android agrega soporte opcional para un panel de búsqueda continua (chrome://flags/#continuous-search), que le permite mantener visibles los resultados de búsqueda recientes de Google (el panel continúa mostrando resultados después de pasar a otras páginas).
• Se ha agregado un modo experimental para compartir citas a la versión de Android (chrome://flags/#webnotes-stylize), que le permite guardar un fragmento seleccionado de una página como una cita y compartirla con otros usuarios.
• Al publicar nuevas incorporaciones o actualizaciones de versión en Chrome Web Store, ahora se requiere la verificación de dos factores del desarrollador.
• Los usuarios de cuentas de Google tienen la opción de guardar la información de pago en su cuenta de Google.
• En modo incógnito, si la opción para borrar datos de navegación está activada, se implementó un nuevo cuadro de diálogo de confirmación de operación, explicando que borrar datos cerrará la ventana y finalizará todas las sesiones en modo incógnito.
• Debido a incompatibilidades identificadas con el firmware de algunos dispositivos, se agregó soporte para el nuevo método de acuerdo de claves en Chrome 91, resistente a las adivinanzas en computadoras cuánticas, basado en el uso de la extensión CECPQ1.3 (Combined Elliptic-Curve and Post-Quantum 2) en TLSv2, que combina un mecanismo clásico de intercambio de claves X25519 con un esquema HRSS basado en el algoritmo NTRU Prime diseñado para criptosistemas poscuánticos.
• Los puertos 989 (ftps-data) y 990 (ftps) se han agregado a la cantidad de puertos de red prohibidos para bloquear el ataque ALPACA. Anteriormente, para protegerse contra ataques de deslizamiento NAT, los puertos 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 y 10080 ya estaban bloqueados.
• TLS ya no admite cifrados basados ​​en el algoritmo 3DES. En particular, se ha eliminado el conjunto de cifrado TLS_RSA_WITH_3DES_EDE_CBC_SHA, que es susceptible al ataque Sweet32.
• Se ha descontinuado el soporte para Ubuntu 16.04.
• Es posible utilizar la API WebOTP entre diferentes dispositivos conectados a través de una cuenta común de Google. WebOTP permite que una aplicación web lea códigos de verificación únicos enviados por SMS. El cambio propuesto permite recibir un código de verificación en un dispositivo móvil que ejecuta Chrome para Android y aplicarlo en un sistema de escritorio.
• La API User-Agent Client Hints se ha ampliado y se ha desarrollado como reemplazo del encabezado User-Agent. User-Agent Client Hints le permite organizar la entrega selectiva de datos sobre parámetros específicos del navegador y del sistema (versión, plataforma, etc.) solo después de una solicitud del servidor. El usuario, a su vez, puede determinar qué información puede proporcionarse a los propietarios del sitio. Cuando se utilizan sugerencias de cliente de agente de usuario, el identificador del navegador no se transmite sin una solicitud explícita y, de forma predeterminada, solo se especifican parámetros básicos, lo que dificulta la identificación pasiva.

  La nueva versión admite el parámetro Sec-CH-UA-Bitness para devolver datos sobre el bitness de la plataforma, que se puede utilizar para servir archivos binarios optimizados. Por defecto, el parámetro Sec-CH-UA-Platform se envía con información general de la plataforma. El valor UADataValues ​​devuelto al llamar a getHighEntropyValues() se implementa de forma predeterminada para devolver parámetros generalizados si es imposible devolver una opción detallada. El método toJSON se ha agregado al objeto NavigatorUAData, lo que le permite usar construcciones como JSON.stringify(navigator.userAgentData).

• La capacidad de empaquetar recursos en paquetes en formato Web Bundle, adecuado para organizar la carga más eficiente de una gran cantidad de archivos adjuntos (estilos CSS, JavaScript, imágenes, iframes), se ha estabilizado y se ofrece de forma predeterminada. Entre las deficiencias del soporte existente para paquetes para archivos JavaScript (webpack), que Web Bundle está tratando de eliminar: el paquete en sí, pero no sus componentes, puede terminar en la caché HTTP; la compilación y ejecución pueden comenzar sólo después de que el paquete se haya descargado por completo; Los recursos adicionales, como CSS e imágenes, deben codificarse en forma de cadenas de JavaScript, lo que aumenta el tamaño y requiere otro paso de análisis.
• Se incluye la API de detección de planos WebXR, que proporciona información sobre superficies planas en un entorno virtual 3D. La API especificada permite evitar el procesamiento intensivo de recursos de los datos obtenidos a través de la llamada MediaDevices.getUserMedia(), utilizando implementaciones patentadas de algoritmos de visión por computadora. Le recordamos que la API WebXR le permite unificar el trabajo con varias clases de dispositivos de realidad virtual, desde cascos 3D estacionarios hasta soluciones basadas en dispositivos móviles.
• Se han agregado varias API nuevas al modo de prueba de Origin (funciones experimentales que requieren activación por separado). Origin Trial implica la capacidad de trabajar con la API especificada desde aplicaciones descargadas de localhost o 127.0.0.1, o después de registrarse y recibir un token especial que es válido por un tiempo limitado para un sitio específico.
  • Se ha propuesto la API de colocación de ventanas multipantalla, que le permite colocar ventanas en cualquier pantalla conectada al sistema actual, así como guardar la posición de la ventana y, si es necesario, expandir la ventana a la pantalla completa. Por ejemplo, utilizando la API especificada, una aplicación web para mostrar una presentación puede organizar la visualización de diapositivas en una pantalla y mostrar una nota para el presentador en otra.
  • El encabezado Cross-Origin-Embedder-Policy, que controla el modo de aislamiento Cross-Origin y le permite definir reglas de uso seguro en la página Operaciones privilegiadas, ahora admite un parámetro "sin credenciales" para deshabilitar la transmisión de información relacionada con credenciales, como Cookies y certificados de cliente.
  • Para aplicaciones web independientes (PWA, Progressive Web Apps) que controlan la representación del contenido de la ventana y manejan la entrada, se proporciona una superposición con controles de ventana, como una barra de título y botones de expandir/contraer. Una superposición extiende el área editable para cubrir toda la ventana y le permite agregar sus propios elementos al área del título.
  • Se agregó la capacidad de crear aplicaciones PWA que se pueden usar como controladores de URL. Por ejemplo, la aplicación music.example.com puede registrarse como controlador de URL https://*.music.example.com y todas las transiciones desde aplicaciones externas que utilicen estos enlaces, por ejemplo, desde mensajería instantánea y clientes de correo electrónico, conducirán a la apertura de esta aplicación PWA, no a una nueva pestaña del navegador.
• Es posible cargar archivos CSS usando la expresión "importar", similar a cargar módulos JavaScript, lo cual es conveniente al crear sus propios elementos y le permite prescindir de asignar estilos usando código JavaScript. importar hoja desde './styles.css' afirmar {tipo: 'css'}; document.adoptedStyleSheets = [hoja]; ShadowRoot.adoptedStyleSheets = [hoja];
• Se ha proporcionado un nuevo método estático, AbortSignal.abort(), que devuelve un objeto AbortSignal que ya se ha configurado como abortado. En lugar de varias líneas de código para crear un objeto AbortSignal en estado abortado, ahora puede arreglárselas con una sola línea de "return AbortSignal.abort()".
• El elemento Flexbox ha agregado soporte para las palabras clave start, end, self-start, self-end, left y right, complementando las palabras clave center, flex-start y flex-end con herramientas para una alineación simplificada de la posición de los elementos flexibles.
• El constructor Error() implementa una nueva propiedad opcional de "causa", que le permite asociar fácilmente errores entre sí. const parentError = nuevo Error('padre'); error constante = nuevo Error('padre', {causa: parentError}); console.log(error.cause === parentError); // → verdadero
• Se agregó soporte para el modo noplaybackrate a la propiedad HTMLMediaElement.controlsList, que le permite deshabilitar elementos de la interfaz proporcionada en el navegador para cambiar la velocidad de reproducción del contenido multimedia.
• Se agregó el encabezado Sec-CH-Prefers-Color-Scheme, que permite, en la etapa de envío de la solicitud, transmitir datos sobre el esquema de color preferido del usuario utilizado en las consultas de medios "prefiere-color-scheme", lo que permitirá optimizar el sitio. la carga de CSS asociado con el esquema seleccionado y evitar cambios visibles de otros esquemas.
• Se agregó la propiedad Object.hasOwn, que es una versión simplificada de Object.prototype.hasOwnProperty, implementada como un método estático. Object.hasOwn({ prop: 42 }, 'prop') // → verdadero
• Diseñado para una compilación de fuerza bruta muy rápida, el compilador JIT de Sparkplug ha agregado un modo de ejecución por lotes para reducir la sobrecarga de cambiar páginas de memoria entre los modos de escritura y ejecución. Sparkplug ahora compila varias funciones a la vez y llama a mprotect una vez para cambiar los permisos de todo el grupo. El modo propuesto reduce significativamente el tiempo de compilación (hasta un 44%) sin afectar negativamente el rendimiento de ejecución de JavaScript.
• La versión de Android desactiva la protección integrada del motor V8 contra ataques de canales laterales como Spectre, que no se consideran tan efectivos como aislar sitios en procesos separados. En la versión de escritorio, estos mecanismos se desactivaron en el lanzamiento de Chrome 70. La desactivación de comprobaciones innecesarias permitió aumentar el rendimiento entre un 2% y un 15%.
• Se han realizado mejoras en las herramientas para desarrolladores web. En el modo de inspección de hojas de estilo, es posible editar consultas generadas utilizando la expresión @container. En el modo de inspección de red, se implementa una vista previa de los recursos en formato de paquete web. En la consola web, se han agregado al menú contextual opciones para copiar cadenas en forma de literales JavaScript o JSON. Se mejoró la depuración de errores relacionados con CORS (intercambio de recursos entre orígenes).

Además de las innovaciones y correcciones de errores, la nueva versión elimina 27 vulnerabilidades. Muchas de las vulnerabilidades se identificaron como resultado de pruebas automatizadas utilizando las herramientas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. No se han identificado problemas críticos que permitan eludir todos los niveles de protección del navegador y ejecutar código en el sistema fuera del entorno sandbox. Como parte del programa para pagar recompensas en efectivo por descubrir vulnerabilidades para la versión actual, Google pagó 19 premios por valor de 136500 dólares (tres premios de 20000 dólares, un premio de 15000 dólares, tres premios de 10000 dólares, un premio de 7500 dólares, tres premios de 5000 dólares y tres premios de 3000 dólares). Aún no se ha determinado el tamaño de las 5 recompensas.

Fuente: opennet.ru