Chrome 98 vabastamine.

Google esitles veebibrauseri Chrome 98. Samuti on saadaval stabiilne versioon avatud lähtekoodiga projektist Chromium, mis moodustab Chrome'i aluse. Brauser Chrome eristub Google'i logode kasutamise, süsteemiga, mis saadab teateid tõrgete korral, kaitstud videote (DRM) esitamiseks mõeldud moodulitega, automaatsete värskenduste installimise süsteemiga ning RLZ-parameetrite edastamise süsteemiga otsingul. Järgmine Chrome'i väljalase, Chrome 99, on planeeritud 1. märtsiks.

Peamised muudatused Chrome 98-s:

• Brauserisse on integreeritud omaenda juureretseptide sertifikaatide hoidla (Chrome Root Store), mida kasutatakse väliste hoidlate asemel, mis on spetsiifilised igale operatsioonisüsteemile. Hoidla on loodud sarnaselt Firefoxis kasutatavale sõltumatule juureretseptide sertifikaatide hoidlatele, mis on esimene lüli sertifikaatide usaldusketi kontrollimisel HTTPS-i kaudu avatud saitidel. Uut hoidlat ei kasutata veel vaikimisi. Konfiguratsioonide, mis sõltuvad süsteemi hoidlatest, lihtsustamiseks ja ülekandevõimekuse tagamiseks kehtib üleminekuperiood, mille jooksul sisaldab Chrome Root Store täielikku valikut sertifikaate, mis on heaks kiidetud enamikes toetatud platvormides.
• Jätkub plaan kohalike võrkude või kasutaja arvutis (localhost) asuvate ressursside juurdepääsu rünnakute kaitse tugevdamiseks, mis pärinevad saitide avamisel laaditud skriptidest. Selliseid päringuid kasutavad kurjategijad CSRF-rünnakute teostamiseks ruuteritele, juurdepääsupunktidele, printeritele, ettevõtte veebiliidesele ja muudele seadmetele ja teenustele, mis aktsepteerivad päringuid ainult kohalikust võrgust.

  Nende rünnakute kaitsmiseks hakkab brauser subressursside juurdepääsu korral sisemistes võrkudes saatma selge päringu subressursside laadimise õigusest. Õigusettepanek tehakse saatmise kaudu. server CORS (Cross-Origin Resource Sharing) päringute aluslehega, millel on päis «Access-Control-Request-Private-Network: true», enne sises võrgule või localhostile pöördumist. Käitamiseks igakülgses vastuses sellele päringule peab server tagasi saatma päise «Access-Control-Allow-Private-Network: true». Chrome 98 puhul on kontrollimine rakendatud katse režiimis ja kui kinnitust ei ole, kuvatakse veebikonsolis hoiatusteade, kuid subressursi päringut ei blokeerita. Blokeerimist on plaanis rakendada mitte varem kui Chrome 101 väljaandmisega.

• Konto seadetesse on integreeritud vahendid ohtlike veebisaitide kaitse laiendatud režiimi (Enhanced Safe Browsing) lubamiseks, kus aktiveeritakse täiendavad kontrollid, et kaitsta pahatahtliku tegevuse, pettuste ja muude ohtude eest veebis. Kui režiim on sisselülitatud, pakutakse Google'i kontol nüüd lubada režiim ka Chrome'is.
• Kliendi poolel pettuste tuvastamiseks on lisatud mudel, mis on rakendatud TFLite (TensorFlow Lite) masinõppe platvormi baasil ja mis ei nõua andmete saatmist Google'i kontrollimiseks (sellega saadetakse telemeetriainformatsioon mudeli versiooni ja iga kategooria arvutatavate kaalude kohta). Pettuse tuvastamisel kuvatakse kasutajale hoiatuse leht enne kahtlase veebisaidi avamist.
• API Client Hints, mis arendatakse kui asendus User-Agent päisele ja võimaldab spetsiaalselt jagada teavet konkreetsete brauseri ja süsteemi parameetrite (versioon, platvorm jne) kohta ainult pärast nõudmist. serverilton rakendatud võimalus täita brauseri identifikaatorite loendis vale nimetustega, sarnaselt TLS-i mehhanismi GREASE (Generate Random Extensions And Sustain Extensibility) kasutamisega. Näiteks lisaks ‘»Chrome»; v=»98″‘ ja ‘»Chromium»; v=»98″‘ võib loendisse lisada juhuslikku mitteolemasoleva brauseri identifikaatori ‘»(Not;Browser»; v=»12″‘. Selline täitmine võimaldab tuvastada probleeme tundmatute brauseri identifikaatorite töötlemisel, mis toob kaasa selle, et alternatiivsed brauserid peavad teesklema teiste populaarsete brauserite, et mööda pääseda lubatud brauserite loendist.
• Alates 17. jaanuarist ei aktsepteerita Chrome Web Store'i katalooge, mis kasutavad Chrome'i manifesti teist versiooni. Uued laiendused aktsepteeritakse nüüd ainult kolmanda versiooni manifestiga. Varem lisatud laienduste arendajad saavad, nagu varem, avaldada värskendusi teise versiooni manifestiga. Teise versiooni manifesti toetamine lõpetatakse täielikult 2023. aasta jaanuaris.
• Toetust on lisatud värviliste vektorshirutfailide formaadis COLRv1 (OpenType'i fontide alamkogum, mis sisaldab vektorgliifide lisaks ka värvi infoga kihti), mida saab kasutada näiteks mitmevärviliste emoji loomiseks. Erinevalt varem toetatud formaadist COLRv0, millel COLRv1 lisandub ka gradatsioonide, katete ja transformatsioonide kasutamise võimalus. Formaat pakub ka kompaktselt salvestamise vormi, tagab tõhusa tihendamise ja võimaldab kontuuride taaskasutamist, mis vähendab märkimisväärselt fondi suurust. Näiteks Noto Color Emoji fondi rastervormingus on suurus 9MB, samas kui vektorfondis COLRv1 on see 1.85MB.
• Origin Trials (eksperimentaalne funktsionaalsus, mis nõuab eraldi aktiveerimist) režiimis on rakendatud API Region Capture, mis võimaldab jäädvustatud videot lõigata. Näiteks võib lõikamine olla vajalik veebirakendustes, mis salvestavad videot oma vahekaartide sisust, et enne saatmist teatud sisu välja lõigata. Origin Trial võimaldab töötada määratud API-ga rakendustest, mis on laaditud localhostilt või 127.0.0.1, või pärast registreerimist ja erilise ajapiiranguga žetooni saamist, mis on kindlale saidile saadaval piiratud ajaks.
• CSS-i omadusele «contain-intrinsic-size» on lisatud toe väärtusele «auto», mille määramisel kasutatakse viimati mäletatud elementi suurust (koos «content-visibility: auto» kasutamisega ei pea arendaja ära arvama joonistatud suurust).
• On lisatud omadus AudioContext.outputLatency, mis võimaldab teada saada prognoositud viivituse teavet enne heli väljastamist (viivitus heli taotluse ja vastuvõetud andmete töötlemise alguse vahel kõlaväljundseadmest).
• CSS-i omadus color-scheme, mis võimaldab määrata, millistes värviskeemides saab elementi õigesti kuvada („light“, „dark“, „day mode“ ja „night mode”), sisaldab nüüd parameetrit „only“, mis võimaldab välistada teatud HTML-elementide värviskeemi sundmuutmise. Näiteks kui määrata „div { color-scheme: only light }“, siis kasutatakse div elemendi puhul ainult heledat teemat, isegi kui brauseris on sunditud aktiveeritud tume kujundus.
• CSS-i on lisatud toetus media-päringutele ‘dynamic-range’ ja ‘video-dynamic-range’, et määrata, kas ekraan toetab HDR-i (kõrge dünaamiline ulatus).
• funktsioonile window.open() on lisatud võimalus valida link uue vahekaartina, uues aknas või hüpikaknas avamine. Lisaks tagastab omadus window.statusbar.visible nüüd ‘false’ hüpikakende puhul ja ‘true’ vahekaartide ja akende puhul. const popup = window.open(‘_blank’,»,’popup=1′); // Avada hüpikaknasse const tab = window.open(‘_blank’,»,’popup=0′); // Avada vahekaardina
• Aknade ja töötlusprogrammide jaoks on rakendatud meetodit structuredClone(), mis võimaldab luua rekursiivseid koopiaid objektidest, sealhulgas mitte ainult määratud objekti omadustest, vaid ka kõikidest muudest objektidest, millega hetkeobjekt on seotud.
• Web Authentication API-s on lisatud toetus FIDO CTAP2 spetsifikatsiooni laiendusele, mis võimaldab määrata minimaalne lubatud PIN-koodi suurus (minPinLength).
• Iseseisvalt installitavatele veebirakendustele on lisatud koostisosad Window Controls Overlay, mis laiendab rakenduse ekraaniala kogu aknale, sealhulgas päise alale, millele on paigutatud tavalised aknahalduse nupud (sulgemine, minimeerimine, maksimeerimine). Veebirakendus saab hallata joonistamist ja sisendi töötlemist kogu aknas, välja arvatud aknahalduse nuppude kattuv ala.
• WritableStreamDefaultController'isse on lisatud signaalitöötluse omadus, mis tagastab objekti AbortSignal, millega on võimalik koheselt peatada kirjutamisoperatsioonid WritableStreams, oodates nende lõpuleviimist.
• WebRTC-st on eemaldatud SDES-võtmete läbirääkimismehhanismi toetus, mis kuulutati 2013. aastal IETF-i poolt aegunuks turvaprobleemide tõttu.
• Vaikimisi on välja lülitatud U2F API (Cryptotoken), mis kuulutati varem aegunuks ning selle asemel on tulnud Web Authentication API. U2F API eemaldatakse täielikult Chrome 104-s.
• API kataloogis on kaasatud vana väli installed_browser_version, mille asemel on pakutud uus väli pending_browser_version, mis sisaldab teavet brauseri versiooni kohta, arvestades allalaaditud, kuid mitte rakendatud värskendusi (st versioon, mis hakkab kehtima pärast brauseri taaskäivitamist).
• Eemaldatud on parameetrid, mis võimaldasid taastada TLS 1.0 ja 1.1 toe.
• Web-arendajatele on lisatud täiustusi. Lisatud on vahekaart sessioonide vahemälu (Back-forward cache) hindamiseks, mis tagab kiire ülemineku, kui kasutada nuppe 'Tagasi' ja 'Edasi'. Lisatud on võimalus emuleerida media-küsimusi forced-colors. Flexboxi redaktoris on lisatud nupud, et toetada omadusi row-reverse ja column-reverse. Vahekaardil 'Changes' on tagatud muutuste kuvamine pärast koodi vormindamist, mis lihtsustab minimeeritud lehtede analüüsi.

  Koodi vaatamise paneeli teostus on ajakohastatud koodiredaktori CodeMirror 6 väljaandmisega, mis toob märkimisväärse jõudluse paranemise väga suurte failide (WASM, JavaScript) töötlemisel, lahendatakse juhuslikud nihked navigeerimisel ja paranevad automaatse täiendamise süsteemi soovitused koodi redigeerimisel. CSS omaduste paneelile on lisatud võimalus filtreerida väljundit omaduse nime või väärtuse järgi.

  

Uues versioonis on lisaks uuendustele ja tõrgete parandamisele kõrvaldatud 27 haavatavust. Paljusid haavatavusi tuvastati automatiseritud testimise tööriistade AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL abil. Kriitilisi probleeme, mis lubaksid ületada kõik brauseri kaitsetasemed ja käivitada koodi süsteemis väljaspool sandbox-keskkonda, ei leitud. Haavatavuste avastamise rahalise preemia programmi raames maksis Google selle väljaande eest 19 preemiat, mille kogusumma on 88 tuhat USA dollarit (kaks preemiat 20000 dollarit, üks preemia 12000 dollarit, kaks preemiat 7500 dollarit, neli preemiat 1000 dollarit ja ühe preemia summad 7000, 5000, 3000 ja 2000 dollarit).

Allikas: opennet.ru