Chrome 98 väljalase

Google esitles Chrome 98 veebibrauseri versiooni. Samal ajal on saadaval ka stabiilne vabakoodiga projekti Chromium versioon, mis on Chrome'i alus. Chrome brauserit iseloomustab Google'i logode kasutamine, süsteem, mis saadab teateid kokkuvarisemise korral, DRM-i toetavad moodulid kaitstud sisu esitlemiseks, automaatne värskenduste installimise süsteem ning RLZ-parameetrite edastamine otsingute käigus. Järgmine Chrome 99 versioon on planeeritud 1. märtsiks.

Chrome 98 peamised muudatused:

• Brahvador sisaldab omaenese sertifikaatide juurdelaoteenust (Chrome Root Store), mida kasutatakse väliste, iga operatsioonisüsteemi spetsiifiliste ladude asemel. Ladu on rakendatud mõnel moel nagu Firefoxi iseseisev juurdelaod, mida kasutatakse esimesena sertifikaatide usaldusketi kontrollimiseks HTTPS-i kaudu juurdepääsul. Uus ladu ei ole veel vaikimisi aktiivne. Konfiguratsioonide ülekandmise lihtsustamiseks, mis sõltuvad süsteemide ladudest, ja ülekantavuse tagamiseks kehtib mõnda aega üleminekuperiood, mille jooksul Chrome Root Store sisaldab täielikku komplekti sertifikaate, mis on heaks kiidetud enamikes toetatavates platvormides.
• Kaitse suurendamise kava rakendamine jätkub, et vältida rünnakute teket, mis on seotud kohalike võrguressursside või kasutaja arvuti (localhost) poole pöördumisega skriptide kaudu, mida laetakse veebilehe avamisel. Taolisi päringuid kasutavad pahatahtlikud isikud, et teostada CSRF-rünnakuid ruuterite, juurdepääsupunktide, printerite, ettevõtte veebiliideste ja teiste seadmete ning teenuste suhtes, mis aktsepteerivad päringuid vaid kohalikust võrgust.

  Seda tüüpi rünnakute kaitsmiseks alustab brauser sisemiste võrgusubressursside poole pöördumisel selgete volituste päringute saatmist. Volituste päringu saatmine toimub server CORS (Cross-Origin Resource Sharing) põhisaidi päringule, mille päiseks on "Access-Control-Request-Private-Network: true", enne privaatvõrku või localhost'i pöördumist. Kinnitusoperatsiooni korral peab server vastuseks sellele päringule saatma päise "Access-Control-Allow-Private-Network: true". Chrome 98 puhul on kontroll rakendatud testrežiimis ja juhul, kui kinnitust ei saada, kuvatakse veebi konsoolis hoiatust, kuid ressursipäringut ei blokeerita. Blokeerimist plaanitakse aktiveerida mitte varem kui Chrome 101 väljaandmisega.

• Kasutajakonto seadistustesse on integreeritud vahendid ohtlike veebisaitide kaitse laiendatud režiimi (Enhanced Safe Browsing) haldamiseks, kus aktiveeritakse täiendavad kontrollid kaitsmiseks phishing'u, pahavara ja muude ohtude eest veebi suhtes. Režiimi aktiveerimisel kuvatakse Google'i kontos nüüd soovitus aktiveerida režiim ka Chromes.
• Kliendipoolsete fshinagutuvate katsete tuvastamise mudel on lisatud, kasutades machine learning platvormi TFLite (TensorFlow Lite), mis ei nõua andmete saatmist kontrollimiseks Google'ile (samal ajal saadetakse telemeetriainformation mudeli versiooni ja iga kategooria arvutatud kaalude kohta). Kui tuvastatakse fshinatav katse, kuvatakse kasutajale kahtlasele saidile minekust enne hoiatav leht.
• API Client Hints, mis on välja töötatud User-Agent päise asendamiseks, võimaldab spetsiifiliselt edastada andmeid konkreetsete brauseri ja süsteemi parameetrite (nt versioon, platvorm jne) kohta ainult päringu tegemise järel. serveriga, on rakendatud võimalus lisada brauseri identifikaatorite loendisse vale nimesid, sarnaselt TLS-is kasutatava GREASE (Generate Random Extensions And Sustain Extensibility) mehhanismiga. Näiteks, peale ‘»Chrome»; v=»98″‘ ja ‘»Chromium»; v=»98″‘ võib loendisse lisada juhusliku mittetegutseva brauseri identifikaatori ‘»(Not;Browser»; v=»12″‘. Selline asendamine võimaldab avastada probleeme tundmatute brauserite identifikaatorite töötlemisel, mis sunnivad alternatiivseid brausereid pretenderima teistele populaarsetele brauseritele, et mööduda lubatud brauserite loendist.
• Alates 17. jaanuarist ei ole Chrome Web Store'i katalooge lubatud lisama lisandeid, mis kasutavad Chrome'i manifesti teist versiooni. Uusi lisandeid võetakse nüüd vastu ainult kolmanda versiooni manifestiga. Varasemalt lisatud lisandite arendajad saavad nagu varem avaldada uuendusi teise versiooni manifestiga. Teise versiooni manifesti täielik tugi on planeeritud lõpetada 2023. aasta jaanuaris.
• Lisatud on tugi värviliste vektorgraanulite jaoks formaadis COLRv1 (OpenType'i kirjatüüpide alamkogum, mis sisaldab vektorgliifide lisaks ka kihti värviinfot), mida saab kasutada näiteks mitmevärviliste emoji-de loomiseks. Erinevalt varem toetatud formaadist COLRv0 on COLRv1-s lisatud võimalus kasutada gradientide, kattuvuse ja transformatsioonide toimeid. Formaadi kompaktne salvestusviis tagab tõhusa tihendamise ning võimaldab kontuuride korduva kasutamise, mis aitab olulisel määral vähendada kirjatüübi suurust. Näiteks pixelvormingus Noto Color Emoji kirjatüüp kaalub 9MB, samas kui vektormoodulis COLRv1 on see 1.85MB.
• Origin Trial režiimis (eksperimentaalsed võimalused, mis nõuavad eraldi aktiveerimist) on ellu viidud API Region Capture, mis võimaldab salvestatud video kärpimist. Näiteks võib kärpimist vajada veebirakendustes, mis salvestavad videoid oma vahekaardi sisust, soovides eemaldada teatud sisu enne saatmist. Origin Trial eeldab, et antud API-ga saab töötada rakendustes, mis on laaditud localhost'ilt või 127.0.0.1, või pärast registreerimist ja erilise aja jooksul kehtiva tokeni saamist konkreetse saidi jaoks.
• CSS-i omaduse „contain-intrinsic-size” toele on lisatud väärtuse „auto” tugi, mille puhul kasutatakse elementi viimati salvestatud suurust (koos „content-visibility: auto” kasutamisega ei pea arendaja ära arvama elementi joonistatud suurust).
• Lisatud on omadus AudioContext.outputLatency, mille kaudu saab teada prognoositava viivituse teavet heliväljundi enne väljastamist (viivitus heli taotlemise ja andmete töötlemise alustamise vahel heli väljundseadmest).
• CSS-omadus color-scheme, mis võimaldab määrata, millistes värviskeemides võib elementi õigesti kuvada ("light", "dark", "day mode" ja "night mode"), lisas parameetri "only", mis võimaldab eranditena vältida teatud HTML-elementide sundmuutmist värviskeemis. Näiteks, kui määrata "div { color-scheme: only light }", kasutatakse div elemendi puhul ainult heledat teemat, isegi kui brauseris on sundsees tume muudatus.
• CSS-iga on lisatud tugi meedia-päringutele 'dynamic-range' ja 'video-dynamic-range', et määrata, kas ekraan toetab HDR-i (kõrge dünaamiline ulatus).
• Funktsiooni window.open() on lisatud võimalus valida, kas avada link uues vahekaartis, uues aknas või hüpikaknas. Lisaks tagastab omadus window.statusbar.visible nüüd "false" hüpikakende jaoks ja "true" vahekaartide ja akende jaoks. const popup = window.open('_blank', '', 'popup=1'); // Avage hüpikaknas const tab = window.open('_blank', '', 'popup=0'); // Avage vahekaartide seas
• Akende ja töötajate jaoks on rakendatud meetodit structuredClone(), mis võimaldab luua rekursiivseid koopiaid objektidest, sealhulgas mitte ainult määratud objekti omadustest, vaid ka kõigist teistest objektidest, millele praegune objekt viitab.
• Web Authentication API-sse on lisatud toetus spetsifikatsiooni FIDO CTAP2 laiendamiseks, mis võimaldab määrata minimaalset lubatud PIN-koodi pikkust (minPinLength).
• Iseseisvalt paigaldatud veebirakenduste jaoks on lisatud komponent Window Controls Overlay, mis laiendab rakenduse ekraaniala kogu aknale, sealhulgas pealkirjaala, millele kattuvad vaikimisi akna juhtimise nupud (sulgemine, minimeerimine, maksimeerimine). Veebirakendus saab hallata kogu akna joonistamist ja sisendi töötlemist, välja arvatud kattuvast plokist koosnev akna juhtimise nupp.
• WritableStreamDefaultControllerisse on lisatud signaalide töötlemise omadus, mis tagastab objekti AbortSignal, mille abil saab kohe peatada kirjutamisoperatsioone WritableStreamis, oodamata nende lõpetamist.
• WebRTC-s on eemaldatud SDES-i võtme kokkuleppimise mehhanismi tugi, mis kuulutati 2013. aastal IETF-i poolt vananenuks turvaprobleemide tõttu.
• Vaikimisi on API U2F (Cryptotoken) keelatud, mis on eelnevalt deklareeritud aegunuks ja millele on saanud lisa API Web Authentication. API U2F eemaldatakse täielikult Chrome 104 versioonis.
• API kataloogis on aegunuks kuulutatud väli installed_browser_version, mille asemel on soovitatud uus väli pending_browser_version, mis sisaldab teavet brauseri versiooni kohta, võttes arvesse allalaaditud, kuid mitte rakendatud uuendusi (st versioon, mis hakkab kehtima pärast brauseri taaskäivitamist).
• Eemaldatud on parameetrid, mis võimaldasid taastada TLS 1.0 ja 1.1 toe.
• Parandusi on tehtud veebiarendajate tööriistades. Lisatud on vahekaart, mis hindab tagasipöörde vahekaardi (Back-forward cache) toimimist, tagades kiire ülemineku, kui kasutatakse nuppe 'Tagasi' ja 'Edasi'. Lisatud on võimalus emuleerida sundvärvide päringute (forced-colors). Flexboxi redigeerijale on lisatud nuppe omaduste row-reverse ja column-reverse toetamiseks. Vahekaardil 'Changes' on tagatud muudatuste kuvamine pärast koodi vormindamist, mis lihtsustab minimeeritud lehtede analüüsi.

  Koodivaate rakendamine on uuendatud CodeMirror 6 koodiredaktori väljaandmiseni, kus on märkimisväärselt parandatud väga suurte failide (WASM, JavaScript) töötluse tootlikkust, lahendatud juhuslike nihketega seonduvad navigeerimisprobleemid ning parendatud automaatse täiendamise süsteemi soovitusi koodi redigeerimise ajal. CSS-omaduste paneeli on lisatud võimalus filtreerida väljundit omaduse nime või väärtuse järgi.

  

Uues versioonis on lisaks uuendustele ja probleemide lahendamisele kõrvaldatud 27 haavatavust. Palju neist haavatavustest on tuvastatud automatiseeritud testimise abil, kasutades tööriistu nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Kriitilisi probleeme, mis võimaldaksid ületada kõik brauserikaitse tasemed ja käivitada koodi süsteemis väljaspool sandbox-osa, ei ole tuvastatud. Tõrkeotsingu premeerimise programmi raames on Google praeguse väljaande eest välja maksnud 19 preemiat kokku 88 tuhat USA dollarit (kaks preemiat 20000 dollarit, üks preemia 12000 dollarit, kaks preemiat 7500 dollarit, neli preemiat 1000 dollarit ja ühe preemia puhul vastavalt 7000, 5000, 3000 ja 2000 dollarit).

Allikas: opennet.ru