Chrome 93 väljalase

Google esitles web-brauseri Chrome 93. Samuti on saadaval stabiilne vabavaraline projekt Chromium, mis on Chrome'i alus. Chrome'i brauserit iseloomustab Google'i logo, võimalus saada teateid krahhi korral, kaitstud videosisu (DRM) taasesituse moodulid, automaatsete uuenduste süsteem ja RLZ-parameetrite edastamine otsimise käigus. Järgmine Chrome'i versioon 94 on kavandatud 21. septembriks (arendustööd on üleminekul neljanädalasele väljaandetsüklile).

Peamised muudatused Chrome'is 93:

• On moderniseeritud leheinfo (page info) bloki kujundust, kus toetatakse sisemise bloki funktsioone ning juurdepääsuõiguste rippmenüüd on asendatud lülititega. Nimekirjades onkuv info esitatud kõige olulisemas järjekorras. Muudatus ei ole aktiveeritud kõigile kasutajatele, aktiveerimiseks saab kasutada seadet "chrome://flags/#page-info-version-2-desktop".
• Mõningate kasutajate jaoks on katsetusena aadressiribal kaitstud ühenduse indikaator asendatud neutraalse ja mitmeti tõlgendatava sümboliga (lukku sümbol on asendatud märgiga „V”). Ühenduste puhul, mis on loodud ilma krüpteerimiseta, jätkab indikaatori „kaitsmata” kuvamist. Indikaatori vahetamise põhjuseks on see, et paljud kasutajad seostavad luku sümbolit veebisaidi usaldusväärsusega, mitte ei tõlgenda seda kui signaali ühenduse krüpteerimise kohta. Google'i küsitluse kohaselt mõistab vaid 11% kasutajatest lukuikooni tähendust.
• Hiljuti suletud vahekaartide nimekirjas on tagatud suletud vahegruppide sisu kuvamine (varem näidati nimekirjas lihtsalt grupi nime ilma sisu detailideta) koos võimalusega korraga taastada nii kogu grupp kui ka eraldi vahekaarte grupist. See võimalus ei ole aktiveeritud kõigi kasutajate jaoks, seega võib olema vajalik muuta seadet „chrome://flags/#tab-restore-sub-menus”.
• Ettevõtetele on rakendatud uued seadistused DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites ja JavaScriptJitBlockedForSites, mis võimaldavad juhtida JIT-less režiimi, mis keelab JIT-kompileerimise JavaScripti täitmisel (kasutatakse ainult Ignition tõlkijat) ja keeldub sooritama täitmisprotsessi mälestuste eraldamist koodi täitmise ajal. JIT-i väljalülitamine võib olla kasulik potentsiaalselt ohtlike veebirakendustega töötamise turvalisuse suurendamiseks, kuid see võib vähendada JavaScripti täitmise jõudlust umbes 17%. Huvitav on, et Microsoft on läinud veel kaugemale ja rakendanud Edge brauserisse eksperimentaalrežiimi „Super Duper Secure“, mis võimaldab kasutajal JIT-i keelata ja aktiveerida JIT-iga mitteühilduvaid riistvaralisi kaitsemehhanisme CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) ja CFG (Control Flow Guard) veebisisu töötlemisel. Kui eksperiment osutub edukaks, võib oodata selle rakendamist ka Chrome'i põhiversioonis.
• Uuetel vahetustel on näidatud loetelu kõige nõudlikumatest dokumentidest, mis on salvestatud Google Drive'i. Loetelu sisu vastab osale Priority aadressil drive.google.com. Google Drive'i sisu kuvamise haldamiseks saab kasutada valikute "chrome://flags/#ntp-modules" ja "chrome://flags/#ntp-drive-module" seadeid.
• Uue vahekaardi avamiseks on pakutud uusi teabelehti, mis aitavad leida hiljuti vaadatud sisu ja sellega seotud teavet. Lehed on mõeldud selleks, et lihtsustada teabe töötlemise jätkamist, mille vaatamine on katkestatud. Näiteks aitavad lehed leida toidu retsepti, mis on hiljuti veebis leitud, kuid pärast lehe sulgemist kadunud, või jätkata ostude tegemist kauplustes. Katsena on kasutajatele pakutud kahte uut lehte: "Retseptid" (chrome://flags/#ntp-recipe-tasks-module) toiduvalmistamise retseptide otsimiseks ja hiljuti vaadatud retseptide kuvamiseks; "Ostmine" (chrome://flags/#ntp-chrome-cart-module) internetipoodides valitud toodete meenutamiseks.
• Androidi platvormi versioonile on lisatud valikuline pideva otsingu paneeli tugi (chrome://flags/#continuous-search), mis võimaldab hoida silma peal hiljutistel Google'i otsingutulemustel (paneel jätkab tulemuste näitamist pärast teisele lehele liikumist).
• Androidi platvormi versioonile on lisatud katsetatav tsitaatide jagamise režiim (chrome://flags/#webnotes-stylize), mis võimaldab salvestada lehe väljavalitud fragment tsitaadina ning jagada seda teiste kasutajatega.
• Uute lisandmoodulite või versioonide avaldamisel Chrome'i veebipoes on nüüd kohustuslik rakendada kahefaktorilist autentimist arendajale.
• Google'i konto kasutajatele on saadaval võimalus salvestada oma makseteave oma Google'i kontole.
• Inkognito režiimis, kui andmete puhastamise valik on aktiveeritud, on rakendatud uus kinnituse dialoog, mis selgitab, et andmete puhastamine toob kaasa akna sulgemise ja kõigi inkognito režiimi sessioonide lõpetamise.
• Mõnede seadmete leitud ühilduvuse probleemide tõttu on ajutiselt keelatud Chrome 91-s tutvustatud uue kvantkompuutritele kiirelt vastupidava võtmevahetusega meetodi tugi, mis põhineb TLSv1.3 laiendusel CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) ning kombineerib klassikalise võtmevahetuse mehhanismi X25519 koos NTRU Prime algoritmil põhineva HRSS skeemiga, mis on välja töötatud postkvantkriiptosüsteemide jaoks.
• Keelatud võrguportidesse on lisatud portid 989 (ftps-data) ja 990 (ftps), et takistada ALPACA rünnakut. Varasemalt on NAT slipstreaming rünnaku kaitseks juba blokeeritud portid 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 ja 10080.
• TLS-is on lõpetatud 3DES algoritmi põhiste krüpteerimise meetodite tugi. Eelkõige on eemaldatud krüpteerimisseade TLS_RSA_WITH_3DES_EDE_CBC_SHA, mis on vastuvõtlik Sweet32 rünnakutele.
• Ubuntu 16.04 jaotise tugi on lõpetatud.
• WebOTP API saab kasutada erinevate seadmete vahel, mis on seotud Google'i ühise kontoga. WebOTP võimaldab veebirakendusel lugeda SMS-iga saadetud ühekordseid kinnituskode. Pakutud muudatus võimaldab saada kinnituskoodi Androidi Chrome'i mobiiliseadmest ja rakendada seda lauaarvutis.
• User-Agent Client Hints API on laienenud, arendades välja User-Agent päise asendust. User-Agent Client Hints võimaldab anda andmeid konkreetsete brauseri ja süsteemi parameetrite (versioon, platvorm jne) kohta valikuliselt ainult pärast päringut. serveriga. Kasutaja omakorda saab määrata, millist teavet saab veebilehtede omanikule edastada. User-Agent Client Hints kasutamisel ei edastata brauseri identifikaatorit ilma selgesõnalise päringuta, vaikimisi esitatakse ainult põh parameetrid, mis raskendab passiivset tuvastamist.

  Uues versioonis on rakendatud Sec-CH-UA-Bitness parameetri toe, mis tagastab teavet platvormi arhitektuuri kohta, võimaldades optimeeritud binaarfailide edastamist. Vaikimisi saadetakse Sec-CH-UA-Platform parameeter koos üldiste platvormi andmetega. UADataValues väärtuse puhul, mis saadakse getHighEntropyValues() kutsumise käigus, tagastatakse vaikimisi üldised parameetrid, kui pole võimalik tagastada detailsed variandid. NavigatorUAData objekti on lisatud meetod toJSON, mis võimaldab kasutada konstruktsioone nagu JSON.stringify(navigator.userAgentData).

• Ressurside pakettide pakkimise võimalus Web Bundle formaadis on stabiliseeritud ja pakutud vaikimisi, et toetada tõhusamat suure hulga seotud failide (CSS-stiilid, JavaScript, pildid, iframe) laadimist. Praeguste pakettide toetuse puudujäägid JavaScripti failide (webpack) jaoks, mida püütakse Web Bundle'is lahendada: HTTP-vahemälu võib sisaldada ainult paketti, mitte selle komponente; tõlgendamine ja täitmine võivad alata ainult pärast paketi täielikku laadimist; lisavarad, nagu CSS ja pildid, peavad olema kodeeritud JavaScripti stringidena, mis toob endaga kaasa suuruse suurenemise ja veel ühe analüüsietapi.
• WebXR tasapinna tuvastamise API on aktiveeritud, mis annab teavet tasapinnalistest pindadest virtuaalses 3D-keskkonnas. Antud API võimaldab vältida ressursimahukat andmete töötlemist, mis tuleneb MediaDevices.getUserMedia() kutsumisest, kasutades iseseisvaid arvutamisalgoritme. Tasub meenutada, et WebXR API võimaldab ühtselt hallata erinevaid virtuaalreaalsuse seadmete klasse, alates statsionaarsetest 3D-prillidest kuni mobiilsetele seadmetele suunatud lahendusteni.
• Origin Trials režiimis (katsevõimalused, mis nõuavad eraldi aktiveerimist) on lisatud mitu uut API-d. Origin Trial tähendab, et antud API-d on võimalik kasutada rakendustes, mis on laaditud localhost või 127.0.0.1 aadressilt, või pärast registreerimist ja spetsiaalse ajaliselt piiratud pääsme saamist konkreetse saidi jaoks.
  • Pakutud on Multi-Screen Window Placement API, mis võimaldab aknaid asetada igale süsteemiga ühendatud ekraanile ning salvestada akna asendit, vajadusel avades akna täisekraanile. Näiteks võib antud API abil veebirakendus, mis kuvab esitlust, korraldada slaidide kuvamise ühel ekraanil ja näidata esitlejale märkmeid teisel.
  • Cross-Origin-Embedder-Policy päises, mis juhib Cross-Origin isolatsiooni režiimi ja võimaldab määrata privileegide kasutamise turvalisuse reegleid, on lisatud parameter „credentialless”, et keelata andmete, mis on seotud akrediteerimisega, ülekandmine, nagu küpsised ja klientsertifikaadid.
  • Iseseisvalt paigaldatavate veebirakenduste (PWA, Progressive Web Apps) jaoks, mis kontrollivad akna sisu renderdamist ja käsitlevad sisendit, on loodud kattekiht aknajuhtimistööriistadega, nagu pealkiri ja akna lahti-/sulgemise nupud. Kattekiht laiendab muudetavat ala kogu aknale ja võimaldab lisada oma elemente pealkirja alasse.
  • On lisatud võimalus luua PWA-rakendusi, mida saab kasutada URL-i töötlejatena. Näiteks võib rakendus music.example.com registreerida end URL-i töötlejana https://*.music.example.com ja kõik väljastpoolt rakendustest tulenevad üleminekud nendele linkidele, näiteks vestlusrakendustest ja e-posti klientidest, avavad selle PWA-rakenduse, mitte uue vahekaart brauseris.
• CSS-failide laadimine on võimalik now „import“ väljendi kaudu, sarnaselt JavaScripti moodulite laadimisele, mis on mugav oma elementide loomisel ja võimaldab vältida stiilide määramist JavaScripti koodis. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Uus staatiline meetod AbortSignal.abort() tagastab AbortSignal objekti, mille aborted parameeter on juba seatud. Selle asemel, et luua mitu rida koodi AbortSignal objekti loomiseks aborted seisundis, saab nüüd kasutada ühte rida: „return AbortSignal.abort()“.
• Flexbox elemendis on lisatud uued võtmesõnad start, end, self-start, self-end, left ja right, mis täiendavad võtmesõnu center, flex-start ja flex-end, et lihtsustada flex-elementide positsiooni joondamist.
• Error() konstruktoris on rakendatud uus valikuline omadus „cause“, mille abil saab hõlpsasti siduda vigu omavahel. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• HTMLMediaElement.controlsList omadusse on lisatud tugi noplaybackrate režiimile, mis võimaldab keelata brauseri pakutava liidese elemendid, mis muudavad multimeedia sisu esituse kiirus.
• Lisatud on Sec-CH-Prefers-Color-Scheme päis, mis võimaldab küsitluse saatmise etapis edastada andmed kasutaja eelistatud värviskeemi kohta, mida kasutatakse meedia päringutes „prefers-color-scheme”, võimaldades saidil optimeerida CSS-i laadimist, mis vastab valitud skeemile, ja vältida nähtavaid üleminekuid teistelt skeemidelt.
• Lisatud on Object.hasOwn omadus, mis on lihtsustatud versioon Object.prototype.hasOwnProperty-st, rakendatud staatilise meetodina. Object.hasOwn({ prop: 42 }, 'prop') // → true
• Sparkplug JIT-kompilaatorisse, mis on mõeldud väga kiireks toore kompileerimise täitmiseks, on lisatud operatsioonide paketitäitmise režiim, mis vähendab mälulehed vahetatud režiimi vahel, kirjutamise ja täitmise vahel. Sparkplug kompileerib nüüd korraga mitu funktsiooni ja kutsub mprotecti välja ühe korra, et muuta juurdepääsuõigusi kogu grupile. Pakutud režiim vähendab märgatavalt kompileerimisaega (kuni 44%) ilma negatiivse mõjuta JavaScripti täitmise jõudlusele.
• Androidi versioonis on V8 mootori sisse ehitatud kaitsemehhanismid kolmandate osaliste kanalite rünnakute, näiteks Spectre, vastu keelatud, kuna need on tunnistatud mitte piisavalt tõhusateks kui veebilehtede eraldamine eraldi protsessidesse. Lauaversioonis olid nimetatud mehhanismid keelatud juba Chrome 70 väljaandes. Ülejäänud kontrollide keelamine on võimaldanud tõsta jõudlust 2-15%.
• Tehnikaprofessionaalide tööriistades on tehtud täiendusi. Stiilitabelite inspektsioonirežiimis on võimalik redigeerida päringute, mis on loodud @container väljendi abil. Võrgu inspektsioonirežiimis on rakendatud Web bundle formaadiga ressursside eelvaate funktsioon. Veebikonsolis on kontekstimenüüsse lisatud valikud JavaScript või JSON kirjandina ridade kopeerimiseks. CORS (Cross-Origin Resource Sharing) seotud vigade tõrgete tegemine on tehtud lihtsamaks.

Uue versiooni raames on välja toodud lisafunktsioonid ja parandatud vigu, sealhulgas 27 turvaauku. Paljusid turvaauke on tuvastatud automatiseeritud testimise käigus, kasutades tööriistu nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Kriitilisi probleeme, mis võiksid võimaldada kõiki brauserikaitse tasemeid vältida ning süsteemis koodi käivitada väljaspool liivakasti keskkonda, ei ole tuvastatud. Turvaaugu leidmise preemia programmi raames on Google käesoleva väljaande puhul välja maksnud 19 preemiat kogusummas 136500 USA dollarit (kolm preemiat 20000 dollarit, üks preemia 15000 dollarit, kolm preemiat 10000 dollarit, üks preemia 7500 dollarit, kolm preemiat 5000 dollarit ja kolm preemiat 3000 dollarit). Viie preemia suurus pole veel määratud.

Allikas: opennet.ru