Chrome 104 väljalaskmine

Google esitles veebi brauseri Chrome 104. Samuti on saadaval stabiilne versioon avatud projekti Chromium, mis moodustab Chrome'i aluse. Brauser Chrome erineb Chromiumist Google'i logode kasutamise, krahhi korral teavitamise süsteemi, kopeerimise kaitse all oleva videokontendi (DRM) esitamise modulite, automaatse värskendamise süsteemi, pideva Sandbox-isolatsiooni kaasamise, Google API võtmete jagamise ja RLZ-parameetrite edastamise poolest otsingutulemustes. Neile, kes vajavad rohkem aega värskendamiseks, toetatakse eraldi Extended Stable haru, mille kaasamiseks on 8 nädalat. Järgmine Chrome'i versioon 105 on planeeritud 30. augustiks.

Chrome 104 peamised muudatused:

• Cookie'i kehtivusaeg on piiratud — kõik uued või uuendatud Cookie'id kustutatakse automaatselt pärast 400 päeva, isegi kui Expires ja Max-Age atribuutides määratud kehtivusaeg ületab 400 päeva (selliste Cookie'ide puhul lühendatakse kehtivusaeg 400 päevani). Enne piirangu kehtestamist loodud Cookie'id säilitavad oma kehtivuse, isegi kui see ületab 400 päeva, kuid nende uuendamisel kehtib piirang. Muudatus kajastab uusi nõudeid, mis on toodud uue spetsifikatsiooni mustandis.
• Iframe'idest pärit URL-ide ligipääs kohaliku failisüsteemi („filesystem://”) on blokeeritud.
• Lehe laadimisaega on kiiruselt parendatud uue optimeerimisega, mis tagab ühenduse loomise sihthostiga kohe, kui linki vajutatakse, ilma et oodataks nupu vabastamist või sõrme eemaldamist puutetundlikult ekraanilt.
• Lisatud seadistused API „Topics & Interest Group“ haldamiseks, mida edendatakse Privacy Sandboxi algatuse raames ning mis võimaldab määrata kasutaja huvikategooriad ja kasutada neid jälgivate küpsiste asemel, et eraldada kasutajagrupe, kellel on sarnased huvid, ilma individuaalse kasutaja tuvastamiseta. Lisaks on lisatud ühekordsed teavitusdialoogid, mis selgitavad kasutajale tehnoloogia olemust ja pakuvad võimalust aktiveerida selle toe lubamine seadetes.
• Suurendatud künne väärtuseid, et piiritleda sisemisi setTimeout ja setInterval väljakutseid, mis on algatatud intervalliga alla 4 ms („setTimeout(…, <4ms)“). Sarnaste väljakutsete koguhulk on suurendatud 5-lt 100-le, mis võimaldab agressiivselt mitte vähendada üksikute väljakutsete arvu, kuid samas ei luba kuritarvitamist, mis võivad mõjutada brauseri jõudlust.
• Pealehe serverisse saadetakse CORS (Cross-Origin Resource Sharing) volituste kontrollimise päring koos pealkirjaga «Access-Control-Request-Private-Network: true», kui leht kutsub sisemisse võrku (192.168.x.x, 10.x.x.x, 172.16-31.x.x) või localhost'i (127.x.x.x). Kui server kinnitab toimingu vastuseks sellele päringule, peab ta tagastama pealkirja «Access-Control-Allow-Private-Network: true». Chrome'i versioonis 104 ei mõjuta kinnituse tulemus veel päringu käitlemist — kinnituse puudumise korral kuvatakse veebikonsolis hoiatus, kuid alumise ressursi päringut ei blokeerita. Puudumise korral kinnitamist, blokeerimise aktiveerimine on oodata mitte varem kui Chrome'i 107 väljaandes. serverid Varasema versiooni blokeerimise lubamiseks saab aktiveerida seadistuse «chrome://flags/#private-network-access-respect-preflight-results».

  Volituste kinnitamine serveriga sisseviidud, et tugevdada kaitset rünnakute vastu, mis on seotud kohaliku võrgu või kasutaja arvuti (localhost) ressursse juurde pääsemisega skriptide kaudu, mis laaditakse veebisaidi avamisel. Selliseid päringuid kasutavad kurjategijad CSRF-rünnakute teostamiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliidestele ning muudele seadmetele ja teenustele, mis aktsepteerivad päringuid ainult kohalikust võrgust. Sarnaste rünnakute eest kaitsmiseks saadab brauser, kui esitatakse päringuid mis tahes subressurssidele sisevõrgus, selgelt autoriseerimispäringu nende subressursside laadimiseks.
• Lisatud Region Capture mehhanism, mis võimaldab lõigata video liialdusi, mis on loodud ekraani salvestamise põhjal. Näiteks saab API getDisplayMedia abil veebirakendus korraldada video edastamise, mis sisaldab vahekaardi sisu, ning Region Capture võimaldab lõigata osa sisust, mis hõlmab videokonverentsi juhtnuppe.
• Media Queries Level 4 spetsifikatsioonis on lisatud toetust uue süntaksiga meedia päringutele, mis määravad nähtava ala (viewport) minimaalsed ja maksimaalsed suurused. Uus süntaks võimaldab kasutada tavapäraseid matemaatilisi võrdlus- ja loogikaoperaatoreid, nagu "not", "or" ja "and". Näiteks, selle asemel et kasutada "@media (min-width: 400px) { … }", saab nüüd määrata "@media (width >= 400px) { … }".
• Origin Trials režiimis (katsevõimalused, mis nõuavad eraldi aktiveerimist) on lisatud mitu uut API-d. Origin Trial tähendab, et antud API-d on võimalik kasutada rakendustes, mis on laaditud localhost või 127.0.0.1 aadressilt, või pärast registreerimist ja spetsiaalse ajaliselt piiratud pääsme saamist konkreetse saidi jaoks.
  • Lisatud CSS-i omadus "focusgroup", et parandada navigeerimist elementide vahel klaviatuuri noolte abil.
  • Secure Payment Confirmation API-s on kasutajal nüüd võimalus välja lülitada krediitkaartide parameetrite salvestamine. Card Parameterite salvestamisest loobumise dialooge kuvamiseks on PaymentRequest() ehitajas ette nähtud lipp "showOptOut: true".
  • Lisatud API Shared Element Transitions, mis võimaldab sujuvat üleminekut erinevate sisuväljade vahel ühes lehe veebirakendustes.
• Stabiliseeriti spekulatiivsete reeglite (Speculation rules) tugi, mis võimaldab veebisaidi autoritel edastada brauserile teavet kõige tõenäolisemate lehtede kohta, kuhu kasutaja võib liikuda. Brauser kasutab seda teavet lehtede ennetavaks laadimiseks ja sisu renderdamiseks.
• Stabiliseeriti alamsisu pakkimise mehhanism Web Bundle formaadis, mis võimaldab suurendada paljude seotud failide (CSS-stiilid, JavaScript, pildid, iframe) laadimise efektiivsust. Erinevalt Webpack formaadi paketidest, on Web Bundle formaadil järgmised eelised: HTTP-proksis ei salvestata mitte paketti, vaid selle komponente; JavaScripti kompileerimist ja täitmist alustatakse enne paketi täielikku laadimist; lubatud on kaasata täiendavaid ressursse, nagu CSS ja pildid, mis webpackis oleks pidanud olema kodeeritud JavaScripti stringide kujul.
• Lisatud CSS-i omadus object-view-box, mis võimaldab määrata, milline osa pildist kuvatakse määratud elementi asendavasse alasse, mida saab kasutada näiteks raamimise või varju lisamiseks.
• Lisatud API Fullscreen Capability Delegation, mis võimaldab ühel Window objektil edastada teisele Window objektile õiguse kutsuda esile requestFullscreen().
• Lisatud API Fullscreen Companion Window, mis võimaldab paigutada täisekraanisisu ja hüpikaknad teisele ekraanile pärast kasutaja kinnituse saamist.
• CSS-i omadusele overflow-clip-margin on lisatud atribuut visual-box, mis määrab, kust alates tuleks sisu, mis on välja tulnud ala piiridest, kärpida (võib võtta väärtusi content-box, padding-box ja border-box).
• API Async Clipboard on lisatud võime määrata spetsialiseeritud formaate andmete edastamiseks lõikelaual, mis erinevad tekstist, piltidest ja markeeritud tekstist.
• WebGL-is on lisatud tugi värviruumi määratlemiseks joonistusbuffri jaoks ja muutmiseks tekstuurist importimisel.
• Toetuse lõpetamine platvormidele OS X 10.11 ja macOS 10.12.
• Toetuse lõpetamine API U2F (Cryptotoken), mis on varem deklareeritud aegunuks ja mille vaikimisi seaded on välja lülitatud. API U2F asemel tuli API Web Authentication.
• Web-arendajate tööriistades on tehtud täiustusi. Viga hoidvas tööriistas on lisatud võimalus koodi uuesti käivitada alates funktsiooni algusest pärast peatamise punkti aktiveerimist funktsiooni kehas. Lisatud tugi Recorder paneeli laienduste arendamiseks. Tulemuslikkuse analüüsi paneelile on lisatud tugi märgide visualiseerimisele, mida on seatud web-rakenduses meetodi performance.measure() abil. Javascripti objektide omaduste automaatsete täienduste soovitusi on parendatud. CSS-muutujate automaatsete täienduste korral on tagatud eelvaade värvidega mitteseotud väärtustele.

Uue versiooni käigus on lahendatud 27 turvaauku, lisaks uutele funktsioonidele ja vigade parandamisele. Paljusid haavatavusi avastati automatiseeritud testimise tööriistade, nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL, abil. Kritilisi probleeme, mis võimaldaksid mööda minna kõigist brauseri kaitsekihtidest ja käivitada süsteemis koodi väljaspool liivakasti keskkonda, ei tuvastatud. Turvaprogrammi raames, mis pakub rahalisi preemiaid avastatud haavatavuste eest, maksti Google'ilt selle versiooni jaoks välja 22 preemiat kogusummas 84 000 USD (üks preemia 15 000 USD, üks preemia 10 000 USD, üks preemia 8 000 USD, üks preemia 7 000 USD, neli preemiat 5 000 USD, üks preemia 4 000 USD, kolm preemiat 3 000 USD, neli preemiat 2 000 USD ja kolm preemiat 1 000 USD). Ühe preemia suurus pole veel määratud.

Allikas: opennet.ru