Google ha presentado el lanzamiento del navegador web Chrome 98. Al mismo tiempo, está disponible una versión estable del proyecto gratuito Chromium, que es la base de Chrome. El navegador Chrome se distingue por el uso de los logotipos de Google, la presencia de un sistema para enviar notificaciones en caso de falla, módulos para reproducir contenido de video protegido contra copia (DRM), un sistema de actualización automática y transmisión al buscar RLZ. parámetros. El próximo lanzamiento de Chrome 99 está previsto para el 1 de marzo.
Cambios clave en Chrome 98:
- El navegador dispone de su propio almacén de certificados raíz de las autoridades certificadoras (Chrome Root Store), que se utilizará en lugar de almacenes externos específicos de cada sistema operativo. El almacén se implementa de manera similar al almacén independiente de certificados raíz en Firefox, que se utiliza como primer enlace para verificar la cadena de confianza de certificados al abrir sitios a través de HTTPS. El nuevo almacenamiento aún no se utiliza de forma predeterminada. Para facilitar la transición de las configuraciones de almacenamiento del sistema y garantizar la portabilidad, habrá un período de transición durante el cual Chrome Root Store incluirá una selección completa de certificados aprobados en la mayoría de las plataformas compatibles.
- Se continúa implementando el plan para fortalecer la protección contra ataques relacionados con el acceso a recursos en la red local o en la computadora del usuario (localhost) desde scripts cargados al abrir el sitio. Los atacantes utilizan dichas solicitudes para llevar a cabo ataques CSRF en enrutadores, puntos de acceso, impresoras, interfaces web corporativas y otros dispositivos y servicios que aceptan solicitudes solo de la red local.
Para protegerse contra tales ataques, si se accede a algún subrecurso en la red interna, el navegador comenzará a enviar una solicitud explícita de permiso para descargar dichos subrecursos. La solicitud de permisos se realiza enviando una solicitud CORS (Cross-Origin Resource Sharing) con el encabezado “Access-Control-Request-Private-Network: true” al servidor del sitio principal antes de acceder a la red interna o al host local. Al confirmar la operación en respuesta a esta solicitud, el servidor debe devolver el encabezado “Access-Control-Allow-Private-Network: true”. En Chrome 98, la verificación se implementa en modo de prueba y, si no hay confirmación, se muestra una advertencia en la consola web, pero la solicitud de subrecurso en sí no se bloquea. No está previsto que el bloqueo se habilite hasta que se lance Chrome 101.
- La configuración de la cuenta integra herramientas para administrar la inclusión de Navegación segura mejorada, que activa controles adicionales para proteger contra phishing, actividad maliciosa y otras amenazas en la Web. Cuando active un modo en su cuenta de Google, ahora se le pedirá que active el modo en Chrome.
- Se agregó un modelo para detectar intentos de phishing del lado del cliente, implementado utilizando la plataforma de aprendizaje automático TFLite (TensorFlow Lite) y no requiere enviar datos para realizar la verificación del lado de Google (en este caso, la telemetría se envía con información sobre la versión del modelo). y pesos calculados para cada categoría). Si se detecta un intento de phishing, se mostrará al usuario una página de advertencia antes de abrir el sitio sospechoso.
- En la API Client Hints, que se está desarrollando como reemplazo del encabezado User-Agent y le permite enviar selectivamente datos sobre parámetros específicos del navegador y del sistema (versión, plataforma, etc.) solo después de una solicitud del servidor, es Es posible sustituir nombres ficticios en la lista de identificadores del navegador, de acuerdo con analogías con el mecanismo GREASE (Generate Random Extensions And Sustain Extensibility) utilizado en TLS. Por ejemplo, además de '"Chrome"; v="98″' y '"Cromo"; v="98″' se puede agregar a la lista un identificador aleatorio de un navegador inexistente '"(Not; Browser"; v="12″'. Esta sustitución ayudará a identificar problemas con el procesamiento de identificadores de navegadores desconocidos, lo que lleva al hecho de que los navegadores alternativos se ven obligados a pretender ser otros navegadores populares para evitar la verificación de listas de navegadores aceptables.
- A partir del 17 de enero, Chrome Web Store ya no acepta complementos que utilicen la versión 2023 del manifiesto de Chrome. Ahora solo se aceptarán nuevas incorporaciones con la tercera versión del manifiesto. Los desarrolladores de complementos agregados anteriormente aún podrán publicar actualizaciones con la segunda versión del manifiesto. La desactivación total de la segunda versión del manifiesto está prevista para enero de XNUMX.
- Se agregó soporte para fuentes vectoriales de color en formato COLRv1 (un subconjunto de fuentes OpenType que contienen, además de glifos vectoriales, una capa con información de color), que se puede usar, por ejemplo, para crear emoji multicolor. A diferencia del formato COLRv0 anteriormente admitido, COLRv1 ahora tiene la capacidad de utilizar degradados, superposiciones y transformaciones. El formato también proporciona una forma de almacenamiento compacta, proporciona una compresión eficiente y permite la reutilización de contornos, lo que permite una reducción significativa en el tamaño de fuente. Por ejemplo, la fuente Noto Color Emoji ocupa 9 MB en formato rasterizado y 1 MB en formato vectorial COLRv1.85.
- El modo Origin Trials (funciones experimentales que requieren activación por separado) implementa la API de captura de región, que le permite recortar el video capturado. Por ejemplo, puede ser necesario recortar en aplicaciones web que capturan vídeo con el contenido de su pestaña, para recortar cierto contenido antes de enviarlo. Origin Trial implica la capacidad de trabajar con la API especificada desde aplicaciones descargadas de localhost o 127.0.0.1, o después de registrarse y recibir un token especial que es válido por un tiempo limitado para un sitio específico.
- La propiedad CSS "contain-intrinsic-size" ahora admite el valor "auto", que utilizará el último tamaño recordado del elemento (cuando se usa con "content-visibility: auto", el desarrollador no tiene que adivinar el tamaño representado del elemento) .
- Se agregó la propiedad AudioContext.outputLatency, a través de la cual puede obtener información sobre el retraso previsto antes de la salida de audio (el retraso entre la solicitud de audio y el inicio del procesamiento de los datos recibidos por parte del dispositivo de salida de audio).
- Propiedad CSS esquema de color, que permite determinar en qué esquemas de color se puede mostrar correctamente un elemento (“claro”, “oscuro”, “modo diurno” y “modo nocturno”), se ha agregado el parámetro “único” para evitar esquemas de cambios de color forzados para elementos HTML individuales. Por ejemplo, si especifica "div {esquema de color: solo claro}", solo se usará el tema claro para el elemento div, incluso si el navegador fuerza la habilitación del tema oscuro.
- Se agregó soporte para consultas de medios de 'rango dinámico' y 'rango dinámico de video' a CSS para determinar si una pantalla admite HDR (alto rango dinámico).
- Se agregó la capacidad de elegir si se abre un enlace en una nueva pestaña, nueva ventana o ventana emergente a la función window.open(). Además, la propiedad window.statusbar.visible ahora devuelve "falso" para ventanas emergentes y "verdadero" para pestañas y ventanas. const popup = window.open('_blank',",'popup=1′); // Abrir en una ventana emergente const tab = window.open('_blank',,"'popup=0′); // Abrir en pestaña
- El método estructuradoClone() se ha implementado para Windows y Workers, que le permite crear copias recursivas de objetos que incluyen propiedades no solo del objeto especificado, sino también de todos los demás objetos a los que hace referencia el objeto actual.
- La API de autenticación web ha agregado soporte para la extensión de especificación FIDO CTAP2, que le permite establecer el tamaño mínimo permitido del código PIN (minPinLength).
- Para las aplicaciones web independientes instaladas, se agregó el componente Superposición de controles de ventana, que extiende el área de pantalla de la aplicación a toda la ventana, incluido el área de título, en la que se encuentran los botones de control de ventana estándar (cerrar, minimizar, maximizar). ) se superponen. La aplicación web puede controlar la representación y el procesamiento de entrada de toda la ventana, excepto el bloque de superposición con botones de control de ventana.
- Se agregó una propiedad de manejo de señales a WritableStreamDefaultController que devuelve un objeto AbortSignal, que se puede usar para detener inmediatamente las escrituras en un WritableStream sin esperar a que se completen.
- WebRTC ha eliminado el soporte para el mecanismo de acuerdo de claves SDES, que el IETF dejó de utilizar en 2013 debido a problemas de seguridad.
- De forma predeterminada, la API U2F (Cryptotoken) está deshabilitada, que anteriormente estaba obsoleta y reemplazada por la API de autenticación web. La API U2F se eliminará por completo en Chrome 104.
- En el Directorio API, el campo versión_browser_instalada ha quedado obsoleto y se ha reemplazado por un nuevo campo versión_browser_pendiente, que se diferencia en que contiene información sobre la versión del navegador, teniendo en cuenta las actualizaciones descargadas pero no aplicadas (es decir, la versión que será válida después de la se reinicia el navegador).
- Se eliminaron opciones que permitían devolver el soporte para TLS 1.0 y 1.1.
- Se han realizado mejoras en las herramientas para desarrolladores web. Se ha agregado una pestaña para evaluar el funcionamiento de la caché Atrás-adelante, que proporciona navegación instantánea al usar los botones Atrás y Adelante. Se agregó la capacidad de emular consultas de medios de colores forzados. Se agregaron botones al editor Flexbox para admitir las propiedades de inversión de fila y de columna. La pestaña "Cambios" garantiza que los cambios se muestren después de formatear el código, lo que simplifica el análisis de páginas minimizadas.
La implementación del panel de revisión de código se actualizó con el lanzamiento del editor de código CodeMirror 6, que mejora significativamente el rendimiento al trabajar con archivos muy grandes (WASM, JavaScript), resuelve problemas con desplazamientos aleatorios durante la navegación y mejora las recomendaciones de el sistema de autocompletar al editar el código. Se ha agregado la capacidad de filtrar la salida por nombre o valor de propiedad al panel de propiedades CSS.
Además de las innovaciones y correcciones de errores, la nueva versión elimina 27 vulnerabilidades. Muchas de las vulnerabilidades se identificaron como resultado de pruebas automatizadas utilizando las herramientas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. No se han identificado problemas críticos que permitan eludir todos los niveles de protección del navegador y ejecutar código en el sistema fuera del entorno sandbox. Como parte del programa de recompensas en efectivo por descubrir vulnerabilidades para la versión actual, Google pagó 19 premios por valor de 88 dólares (dos premios de 20000 dólares, un premio de 12000 dólares, dos premios de 7500 dólares, cuatro premios de 1000 dólares y uno de cada uno de 7000 dólares, 5000 dólares, 3000 dólares y 2000 dólares).
Fuente: opennet.ru