Chrome 80 väljaanne

Google esituse veebibrauseri väljaande Chrome 80. Samuti saadaval stabiilne vabaarendusprojekt Chromium, mis on Chrome'i aluseks. Chrome'i brauser erineb Google'i logode kasutamise, crash-ületuste saatmise süsteemi, Flash-moduli allalaadimise võimaluse, kaitstud videosisu (DRM) esitamiseks mõeldud modulaarsete lisade, automaatse värskendamise installimise süsteemi ja otsingute RLZ-parameetrite edastamisega RLZ parameetrite. Järgmist Chrome 81 väljalaset on plaanitud 17. märtsiks.

Peamised muudatused ühes Chrome 80:

• Väikesele protsendile kasutajatest on pakutud vahekaardigrupeerimise funktsioon, mis võimaldab ühendada mitu sarnaste eesmärkidega vahekaarti visuaalselt eraldatud gruppidesse. Igal grupil võib olla oma värv ja nimi. Kasutajad, kes ei kuulunud esimesse aktiveerimisvooru, saavad grupi toetuse sisse lülitada valikuga „chrome://flags/#tab-groups”.
  
• On lisatud toetust funktsiooni Scroll-To-Text, mis võimaldab luua linke eraldi sõnadele või fraasidele, ilma et dokumenti oleks vajalikud siltide „a name” või omaduse „id” selged viidatud. Selliste linkide süntaks plaanitakse kinnitada veebistandardina, mis on praegu mustandiga. Ülemineku mask (praktiliselt toimub kerimine otsinguga) eristatakse tavalisest ankrust märgiga „:~:”. Näiteks, kui avada link „https://opennet.ru/52312/#:~:text=Chromе”, nihkub leht positsioonile, kus esmakordselt mainitakse sõna „Chromе” ning see sõna on välja toodud.
• Kasutatud ranget on ranget, mis kehtestab rangem piirangud kolmandate osapoolte küpsiste edastamisele mitte-HTTPS päringute puhul, keelates küpsiste töötlemise, mis on seadistatud, kui on pöördutud lehtedesse, mis ei ole praeguse lehe domeen. Selliseid küpsiseid kasutatakse kasutaja liikumiste jälgimiseks lehtede vahel reklaamivõrkude, sotsiaalmeedia vidinate ja veebi analüüsi süsteemide koodis. Tuletame meelde, et küpsiste edastamise haldamiseks kasutatakse Set-Cookie pealkirjas näidatud SameSite atribuuti, mis on nüüd vaikimisi seadistatud väärtusele „SameSite=Lax“, piirates küpsiste saatmist kolmandate osapoolte alampäringute jaoks, nagu pildi päring või sisu laadimine iframe kaudu teiselt saidilt. Saidid saavad vaikimisi SameSite režiimi ümber määrata, seadistades küpsisele selgesõnaliselt väärtuse SameSite=None. Samuti võib SameSite=None väärtust küpsiste jaoks seadistada ainult turvalises režiimis (kehtib HTTPS ühenduste puhul). Muudatus hakkab järk-järgult rakenduda 17. veebruaril, alguses väikese protsendi kasutajatest, ja seejärel järk-järgult laienedes.
• Lisatud häirimatute teavituste kaitse, mis on seotud volituste kinnitamisega. Kuna selline tegevus, näiteks rämpspostina tulevad push-teavituste taotlused, katkestab kasutaja töö ning tõmbab tähelepanu kinnituste dialooge, kuvab Chrome 80 eraldi dialooge asemel aadressiribal nüüd teavituse, mis hoiatab volituste taotluse blokeerimise eest ja mis seejärel sulandub indikaatoriks, millel on kujutis larissav kella. Indikaatorile klõpsates saab soovi korral volituse aktiveerida või tagasi lükata. Uus režiim lülitub automaatselt valikuliselt sisse kasutajatele, kes on varem tavaliselt selliseid taotlusi blokeerinud, ning ka veebilehtedele, kus registreeritakse kõrge taotluste tagasilükkamise protsent. Uue režiimi aktiveerimiseks kõigi taotluste jaoks on seadistustesse lisatud eraldi valik (chrome://flags/#quiet-notification-prompts).
  
• Keelatud pop-up akende kuvamine (meetodi window.open() kutsumine) ja sünkroonsete XMLHttpRequest päringute saatmine lehe sulgemise või varjamise sündmuste käitlejates (unload, beforeunload, pagehide ja visibilitychange);
• Pakutud algne kaitse segatud multimeedia sisu laadimise eest (kui HTTPS-lehe laadimiseks kasutatakse http:// protokolli). HTTPS-iga avatud lehtedel asendatakse nüüd automaatselt 'http://' lingid 'https://' heli- ja videofailide esitamisega seotud plokkides. Kui heli- või videoresurss ei ole hõlpsasti kättesaadav https kaudu, siis selle laadimine blokeeritakse (käepideme blokeeringut saab käsitsi märkida menüüst, mis on saadaval aadressiriba lukuikooni kaudu).

  Pildid laaditakse jätkuvalt kasutamata muudatusi (automaatne asendus kehtib Chrome 81-s), kuid piltide https-le ümbervahetamiseks või blokeerimiseks on veebiarendajatele antud CSP omadused upgrade-insecure-requests ja block-all-mixed-content. Skriptide ja iframe-ide jaoks oli segatud sisu blokeerimine varem juba rakendatud.

• Alustatud järkjärguline toetuse lõpetamine FTP-le. Vaikimisi säilib FTP toe tugi, kuid see teostatakse eksperiment, mille raames teatud protsendil kasutajatest FTP-tugi keelatakse (tagasi toomiseks tuleb käivitada brauser valikuga „—enable-ftp”). Tuletame meelde, et varasemates versioonides oli juba keelatud brauseri aknas FTP-protokolli kaudu laaditud ressursside sisu kuvamine (näiteks HTML-dokumentide ja README-failide kuvamine lõpetati), keelatud oli FTP kasutamine dokumentidest alamressursside laadimisel ning lõpetati FTP-proksi tugi. Siiski on endiselt võimalik failide laadimine otse linkide kaudu ja kataloogide sisu kuvamine.
• Lisatud
  võimalus kasutada vektorgraafika SVG-pilte saidi ikoonina (favicon).
• Seadistustesse on lisatud valikuline võimalus keelata teatud tüüpi andmete edastamine brauserite vahelise sünkroonimise ajal.
• Keskhalduslike ettevõtte kasutajatele on lisatud reegel BlockExternalExtensions, mis võimaldab keelata välistäienduste installimise seadmesse.
• On rakendatud võimalus ühikuline kontrolli kogu omaduste või kutsesid JavaScriptis. Näiteks varem pidi "db.user.name.length" juurde pääsemiseks läbi vaatama kõik komposiitkomponendid, nagu "if (db && db.user && db.user.name)". Nüüd saab kasutada operaatorit "?." ja pääseda väärtusele "db?.user?.name?.length" ilma eelnevate kontrollideta ning see ei põhjusta valeviga. Probleemide korral (kui mõni element on null või undefined) antakse väljundiks väärtus "undefined".
• JavaScripts on ette pandud uus loogiline operaator ühendamiseks "??" , mis tagastab parema operaatori, kui vasak operaator on NULL või undefined, ja vastupidi. Näiteks "const foo = bar ?? 'default string'" tagastab, kui bar on null, stringi või bar väärtuse muul juhul, sealhulgas siis, kui bar on 0 ja ' ', erinevalt operaatorist "||".
• Origin Trials režiimis (eksperimenteerimisvõimalused, mis nõuavad eraldi aktiveerimist) on ette pandud API Sisulehe Indekseerimine. Origin Trial tähendab võimalust kasutada antud API-d rakendustes, mis on laaditud localhostilt või 127.0.0.1, või pärast registreerimist ja spetsiaalse ajutise tokeni saamist, mis kehtib piiratud aja jooksul konkreetse saidi jaoks. API Sisu indekseerimine, annab metainformatsiooni sisu kohta, mis on varem vahemälu salvestatud Progressive Web Apps (PWS) režiimis töötavate veebirakenduste poolt. Rakendus võib salvestada brauseri poolele erinevaid andmeid, sealhulgas pilte, videoid ja artikleid, ning kasutada neid, kui võrguyhendus katkevad, API Cache Storage ja IndexedDB abil. Content Indexing API võimaldab lisada, leida ja eemaldada selliseid ressursse. Brauseris kasutatakse seda API-d juba lehtede ja multimeediaandmete loendi koostamiseks, mis on saadaval offline vaadatamiseks.
  
• Stabiliseeritud ja nüüd jagatakse väljaspool Origin Trials programmiga seotud liidest Kontaktide valija, mis võimaldab kasutajal valida kontakte aadressiraamatus ja edastada teatud üksikasjad neist saidile. Päringu korral määratakse, millised omadused tuleb saada. Need omadused kuvatakse selgelt kasutajale, kes otsustab, kas edastada need omadused või mitte. API-d saab kasutada näiteks veebipostikliendil, et valida saajaid saadetava e-kirja jaoks, VoIP-funktsiooniga veebirakenduses konkreetse numbri helistamiseks või sotsiaalmeedias juba registreeritud sõprade leidmiseks. Samuti on kavandatud Origin Trials raames mõned uued Contact Picker omadused: varem saadaval olnud nimi, e-posti aadress ja telefoninumber, on lisatud võimalus edastada postiaadress ja pilt.
• Veebitöötajates pakutud uus meetod ECMAScripti moodulite laadimiseks, mis võimaldab vältida importScripts() funktsiooni kasutamist, mis blokeerib töötaja töö importitava skripti töötlemise ajal ja täidab selle globaalses kontekstis. Uus meetod hõlmab spetsiaalsete moodulite loomist veebitöötajatele, mis toetavad JavaScripti standardseid impordimehhanisme ja mida saab laadida dünaamiliselt, blokeerimata töötaja täitmist. Moodulite laadimiseks töötaja konstruktoris on ette nähtud uus ressursitüüp – 'module':

  const worker = new Worker('worker.js', {
  type: 'module'
  });

• On rakendatud sisseehitatud võimalus JavaScriptis kokkusurutud voogude töötlemiseks, mis ei nõua välist raamatukogu kasutamist. Kokkupressimiseks ja lahti pakkimiseks on lisatud API CompressionStream ja DecompressionStream. Toetatakse gzip ja deflate algoritmide kasutamist kokkupressimiseks.

  const compressionReadableStream
  = inputReadableStream.pipeThrough(new CompressionStream('gzip'));

• Lisatud CSS-i omadus „line-break: anywhere“, mis lubab murrangud igasuguste tüpograafiliste märkide tasemel, sealhulgas murrangud, mis asuvad lauses punktuatsiooni märkide, ettenähtud tühikute (<pre>) ja sõnade keskel. Samuti on lisatud CSS-i omadus „overflow-wrap: anywhere» lubab tõmmata katkematud sümbolite jadad igas kohas, kui stringis ei suudetud leida sobivat katkeasukohta.
• Krüpteeritud kujul töödeldud meediakonteksti jaoks on rakendatud meetodi toetust MediaCapabilities.decodingInfo(), mis pakub teavet brauseri võimekuse kohta kaitstud sisu dekodeerimise osas (näiteks seda meetodit saab kasutada kvaliteetse või energia säästlikuma dekodeerimise stsenaariumide valimiseks, arvestades saadaval olevat ribalaiust ja ekraani suurust).
• Uus meetod HTMLVideoElement.getVideoPlaybackQuality(), mille kaudu saab teavet video taasesituse jõudluse kohta bitikiirus, eraldusvõime ja muude video parameetrite kohandamiseks.
• API-s Payment Handler, mis lihtsustab integreerimist olemasolevate maksesüsteemidega, on lisatud võimalus delegeerimisega välise maksesüsteemi töötleja adresse ja kontaktteabe töötlemiseks (maksesüsteemi rakendusel võib olla täpsemaid andmeid kui brauseril).
• Lisa toetust HTTP päisele Sec-Fetch-Dest, võimaldades saata täiendavaid metaandmeid seonduva sisu tüübi kohta (näiteks pildi jaoks, mille kaudu päring tehakse, on näidatud tüüp „image“, fontide jaoks „font“, skriptide jaoks „script“, stiilide jaoks „style“ jne). Esitatud tüübi põhjal saab server võtta meetmeid, et kaitsta teatud tüüpi rünnakute eest (näiteks on vähe tõenäoline, et rahaülekande töötleja link oleks määratud pildi kaudu, seega selliseid päringuid ei pea töötlema).
• JavaScripti mootoris V8 on tehtud optimeerimine näidikute hoidmiseks mälus. Täieliku 64-bitise väärtuse asemel on tagatud ainult unikaalsete näidikute madalamate bitide salvestamine. Selline optimeerimine võimaldas vähendada mälu kasutust mälus 40% võrra, ohvriks toomata jõudluse vähenemist 3-8%.
  
  
• Muutused veebiarenduse tööriistades:
  • Veebikonsolis on lisatud võimalus üle kirjutada let ja klassi väljendid.
    
  • Parandatud on WebAssembly silumisvahendeid. Lisatud tugi DWARF astme kaupa silumiseks, katkestuspunktide määramiseks ja virna jälgimise analüüsiks lähtekoodis, milles WebAssembly rakendus on kirjutatud.
    
  • Parandatud võrguaktiivsuse analüüsi paneel. Lisatud võimalus vaadata skriptide kutse ahelat, mis on seotud päringu algatamisega.
    

    Lisatud uued veerud Path ja URL, kus kuvatakse iga võrguressursi absoluutne tee ja täis URL. Tagatud valitud päringu esiletõstmine ülevaate diagrammil.

    
  • Võrgutingimuste vahekaardile on lisatud võimalus muuta User-Agent parameetrit.
    
  • Pakutud uus liides auditi paneeli seadistamiseks.
    
  • Vahekaardil Katvus Pakutud katvuse andmete kogumise valik iga funktsiooni või iga koodibloki jaoks (täiendav statistika, kuid nõuab rohkem ressursse).
    
• AppCache’i manifeet (tehnoloogia veebirakenduse offline-režiimis töökorraldamiseks) on piiratud praeguse veebisaidi katalooge (kui manifeet on laaditud www.example.com/foo/bar/, siis URL-i ülekirjutamise võimalus kehtib ainult /foo/bar/ sees). Chrome 82-s plaanitakse AppCache täielikult eemaldada. Põhjenduseks on soov vabaneda ühest rünnaku vektorist, mis on seotud saidisiseste skriptide ründamisega. AppCache’i asemel soovitatakse kasutada API-d. Cache.
• Lõpetatud WebVR 1.1 vananenud API tugi, mille asemel saab kasutada API-d WebXR Seade, mis võimaldab juurdepääsu komponentidele virtuaalsuse ja lisatud reaalsuse loomise jaoks ning ühtlustab erinevate seadmeklasside, alates statsionaarsetest virtuaalreaalsuse peakomplektidest kuni mobiilseadmetel põhinevate lahendusteni, toimimise.
• Protokollide töödeldajad, mis ühendatakse registerProtocolHandler() ja unregisterProtocolHandler() meetodite kaudu, saavad nüüd töötada ainult turvalises kontekstis (HTTPS-i kaudu).

Uue versiooni raames on lisaks uuendustele ja vigade parandusele kõrvaldatud 56 haavatavust. Paljud haavatavused avastati automatiseeritud testimise tööriistade abil AddressSanitizer, MemorySanitizer, Kontrollvoo terviklikkus, LibFuzzer ja AFL. Kriitilisi probleeme, mis võimaldaksid mööda minna kõigist brauseri turvatasemetest ja käivitada koodi süsteemis väljaspool sandbox-keskkonda, pole tuvastatud. Praeguse väljaande haavatavuste avastamise preemiaprogrammi raames on Google maksnud välja 37 preemiat kokku 48 000 USA dollari ulatuses (üks preemia $10000, kolm preemiat $5000, kolm preemiat $3000, neli preemiat $2000, kolm preemiat $1000 ja kuus preemiat $500). 17 preemia suurus pole veel määratud.

Allikas: opennet.ru