Chromen julkaisu 90

Google on julkaissut Chrome 90 -selaimen. Chromen perustana toimivasta avoimen lähdekoodin Chromium-projektista on saatavilla myös vakaa versio. Chromessa on Googlen logot, kaatumisilmoitukset, DRM (Digital Restricted Management) -moduulit, automaattinen päivitysten asennus ja RDL:n (Related Search Parameters) käyttö. Seuraava julkaisu, Chrome 91, on määrä julkaista 25. toukokuuta.

Tärkeimmät muutokset Chrome 90:ssa:

• Kaikki käyttäjät voivat nyt avata verkkosivustoja HTTPS:n kautta syöttäessään isäntänimiä osoiteriville. Esimerkiksi isäntänimen example.com syöttäminen avaa oletuksena osoitteen https://example.com, ja jos ongelmia ilmenee, selain palaa osoitteeseen http://example.com. Oletusarvoisen "https://"-osoitteen käytön hallitsemiseksi on käytettävissä asetus "chrome://flags#omnibox-default-typed-navigations-to-https".
• Työpöytäpaneelin visuaalista erottelua varten on otettu käyttöön mahdollisuus määrittää ikkunoille eri nimiä. Ikkunoiden nimien muuttamisen tuki yksinkertaistaa työn organisointia, kun käytetään erillisiä selainikkunoita eri tehtäviin, kuten erillisten ikkunoiden avaamiseen työhön, henkilökohtaisiin kiinnostuksen kohteisiin, viihteeseen, tallennettuun sisältöön ja niin edelleen. Nimeä voidaan muuttaa käyttämällä "Lisää ikkunan nimi" -vaihtoehtoa pikavalikossa, joka tulee näkyviin, kun hiiren kakkospainikkeella napsautetaan tyhjää aluetta välilehtipalkissa. Nimen muuttamisen jälkeen sovelluspaneeli näyttää valitun nimen aktiivisen välilehden verkkosivuston nimen sijaan, mikä voi olla hyödyllistä avattaessa samaa verkkosivustoa eri tileihin linkitetyissä ikkunoissa. Linkki tallennetaan istuntojen välillä, ja uudelleenkäynnistyksen jälkeen ikkunat palautetaan valituilla nimillä.
• Mahdollisuus piilottaa lukulista on lisätty muuttamatta asetuksia kohdassa "chrome://flags" ("chrome://flags#read-later"). Voit nyt piilottaa sen käyttämällä "Näytä lukulista" -vaihtoehtoa, joka on kirjanmerkkipalkin hiiren kakkospainikkeella napsauttamalla näkyviin tulevan kontekstivalikon alareunassa. Muistutuksena, että edellisessä versiossa joillakin käyttäjillä tähden napsauttaminen osoiterivillä "Lisää kirjanmerkki" -painikkeen lisäksi näytti myös toisen "Lisää lukulistalle" -painikkeen. Kirjanmerkkipalkin oikeaan yläkulmaan ilmestyi "Lukulista"-valikko, jossa luetellaan kaikki aiemmin lisätyt sivut. Sivun avaaminen luettelosta merkitsee sen luetuksi. Luettelon sivut voidaan myös merkitä luetuiksi tai lukemattomiksi manuaalisesti tai poistaa luettelosta.
• Lisätty tuki verkon segmentoinnille suojaksi sivustojen välisiltä seurantamenetelmiltä, ​​jotka perustuvat tunnisteiden tallentamiseen alueille, joita ei ole tarkoitettu pysyvään tallennukseen ("superevästeet"). Koska välimuistissa olevat resurssit tallennetaan jaettuun nimiavaruuteen alkuperäverkkotunnuksesta riippumatta, yksi sivusto voi havaita resurssien lataamisen toiselta sivustolta tarkistamalla, onko resurssi välimuistissa. Tämä suojaus perustuu verkon osioinnin käyttöön, johon liittyy lisämääritysten lisääminen jaettuihin välimuisteihin. verkkotunnus, josta pääsivu avattiin, mikä rajoittaa seurantaskriptien välimuistin kattavuuden vain nykyiseen sivustoon (iframe-kehyksestä tuleva skripti ei pysty tarkistamaan, ladattiinko resurssi toiselta sivustolta). Segmentoinnin kustannuksena on välimuistin tehokkuuden heikkeneminen, mikä johtaa sivun latausajan lievään kasvuun (enintään 1.32 %, mutta 80 %:lla sivustoista 0.09–0.75 %).
• Verkkoporttien mustaa listaa, joiden HTTP-, HTTPS- ja FTP-pyynnöt estetään, on laajennettu suojaamaan NAT-hyökkäyksiltä, ​​jotka mahdollistavat verkkoyhteyden muodostamisen, kun hyökkääjä avaa selaimessa erityisesti valmistellun verkkosivun. palvelin hyökkääjä ei voi päästä mihinkään käyttäjän järjestelmän UDP- tai TCP-porttiin, vaikka käytetään sisäistä osoitealuetta (192.168.xx, 10.xxx). Portit 554 (RTSP-protokolla) ja 10080 (käytetään Amanda Backupissa ja VMWare vCenterissä) on lisätty estettyjen porttien luetteloon. Portit 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 ja 6566 olivat aiemmin estettyjä.
• Lisätty alustava tuki XFA-lomakkeilla varustettujen PDF-dokumenttien avaamiseen selaimessa.
• Joillekin käyttäjille on aktivoitu uusi asetusosio: "Chromen asetukset > Tietosuoja ja suojaus > Tietosuojahiekkalaatikko". Tämän osion avulla voit hallita FLoC API -asetuksia, joiden tarkoituksena on määrittää käyttäjän kiinnostuksen kohteet ilman yksilöllistä tunnistamista ja linkittämättä niitä käyttäjän selaushistoriaan tietyillä verkkosivustoilla.
• Ymmärrettävämpi ilmoitus sallittujen toimintojen luettelosta näytetään nyt, kun käyttäjä muodostaa yhteyden profiiliin, jolle keskitetty hallinta on käytössä.
• Käyttöoikeuspyyntöjen käyttöliittymää on tehty vähemmän häiritseväksi. Pyynnöt, joita käyttäjä ei todennäköisesti hyväksy, estetään nyt automaattisesti, ja osoiterivillä näkyy vastaava ilmaisin. Tämä ilmaisin antaa käyttäjälle mahdollisuuden käyttää kunkin verkkosivuston käyttöoikeuksien hallintakäyttöliittymää.
• Laitteiston suojaamiseksi return-oriented programming (ROP) -tekniikoilla rakennettujen hyökkäysten suorittamista vastaan ​​on otettu käyttöön tuki Intel Control-flow Enforcement Technology (CET) -laajennuksille.
• Selaimen muuntaminen osallistavan terminologian käyttöön on jatkunut. Tiedoston "master_preferences" nimi on muutettu muotoon "initial_preferences", jotta vältetään loukkaamasta käyttäjiä, jotka tulkitsevat sanan "master" viittaukseksi esi-isiensä entiseen orjuuteen. Yhteensopivuuden säilyttämiseksi "master_preferences"-tiedoston tuki säilyy selaimessa vielä jonkin aikaa. Selain on jo poistanut termit "whitelist", "blacklist" ja "native".
• Versiossa for Android Kun "Lite"-tiedonsäästötila on käytössä, mobiiliverkkojen kautta ladattavien videoiden bittinopeus pienenee, mikä vähentää dataintensiivisten liittymien kustannuksia. "Lite"-tila pakkaa myös julkisesti saatavilla olevista resursseista (jotka eivät vaadi todennusta) HTTPS-yhteyden kautta pyydetyt kuvat.
• Olemme lisänneet AV1-videoenkooderin, joka on erityisesti optimoitu käytettäväksi WebRTC-pohjaisissa videoneuvotteluissa. AV1:n käyttö videoneuvotteluissa parantaa pakkaustehokkuutta ja mahdollistaa lähetykset kanavilla, joiden kaistanleveys on 30 kbps.
• JavaScriptissä Array, String ja TypedArrays toteuttavat at()-metodin, joka mahdollistaa suhteellisen indeksoinnin (taulukon indeksi määritetään suhteellisen sijainnin avulla), mukaan lukien negatiiviset arvot suhteessa loppuun (esimerkiksi "arr.at(-1)" palauttaa taulukon viimeisen elementin).
• JavaScriptin säännöllisillä lausekkeilla on nyt uusi ominaisuus ".indices", joka sisältää taulukon osumaryhmien alku- ja loppukohdista. Ominaisuus täytetään vain, kun säännöllinen lauseke suoritetaan "/d"-lipulla. const re = /(a)(b)/d; const m = re.exec('ab'); console.log(m.indices[0]); // 0 — kaikki osumaryhmät // → [0, 2] console.log(m.indices[1]); // 1 — ensimmäinen osumaryhmä // → [0, 1] console.log(m.indices[2]); // 2 — toinen osumaryhmä // → [1, 2]
• Suorituskykyä on optimoitu "super"-ominaisuuksille (esim. super.x), jotka hyödyntävät inline-välimuistia. Suorituskyky "super"-ominaisuuksia käytettäessä on nyt lähellä tavallisten ominaisuuksien käyttöä.
• WebAssembly-funktioiden kutsumista JavaScriptistä on merkittävästi nopeutettu käyttämällä inline-unwrapping-ominaisuutta. Tämä optimointi on vielä kokeellinen ja vaatii "--turbo-inline-js-wasm-calls"-lipun käyttöä.
• WebXR Depth Sensing -sovellusliittymä on lisätty, minkä avulla käyttäjät voivat esimerkiksi määrittää ympäristönsä kohteiden ja laitteen välisen etäisyyden luodakseen realistisempia lisätyn todellisuuden sovelluksia. Muistutuksena, WebXR-sovellusliittymä mahdollistaa yhtenäiset työnkulut eri virtuaalitodellisuuslaitteiden luokissa, kiinteistä 3D-laseista mobiilipohjaisiin ratkaisuihin.
• WebXR AR -valaistuksen arviointia on vakautettu, minkä ansiosta WebXR AR -istunnot voivat arvioida ympäristön valaistusolosuhteita, jotta mallit näyttäisivät luonnollisemmilta ja integroituisivat saumattomasti käyttäjän ympäristöön.
• Origin Trials (kokeelliset ominaisuudet, jotka vaativat erillisen aktivoinnin) on lisännyt useita uusia API-rajapintoja, jotka ovat tällä hetkellä alustakohtaisia. AndroidOrigin-kokeiluversion avulla voit käyttää määritettyä API:a sovelluksista, jotka on ladattu localhostista tai osoitteesta 127.0.0.1, tai rekisteröitymisen ja tietyllä verkkosivustolla rajoitetun ajan voimassa olevan erityisen tunnuksen vastaanottamisen jälkeen.
  • getCurrentBrowsingContextMedia()-metodin avulla voit tallentaa MediaStream-videovirran, joka näyttää nykyisen välilehden sisällön. Toisin kuin vastaavanlainen getDisplayMedia()-metodi, getCurrentBrowsingContextMedia()-metodia kutsuttaessa käyttäjälle näytetään yksinkertainen valintaikkuna, jossa hän voi vahvistaa tai estää videon siirron välilehden sisällön kanssa.
  • Insertable Streams API mahdollistaa MediaStreamTrack API:n kautta lähetettyjen raakamediavirtojen, kuten kamera- ja mikrofonidatan, näyttökaappausten tulosten tai koodekin välidekoodausdatan, käsittelyn. WebCodec-rajapintoja käytetään raakakuvien esittämiseen, minkä jälkeen muodostetaan virta, joka on samanlainen kuin WebRTC Insertable Streams API:n RTCPeerConnections-yhteyksien perusteella luoma virta. Käytännössä uusi API mahdollistaa toimintoja, kuten koneoppimismenetelmien soveltamisen objektien tunnistamiseen tai merkitsemiseen reaaliajassa tai tehosteiden lisäämisen, kuten taustan leikkaamisen ennen koodekin koodausta tai sen jälkeen.
  • Mahdollisuus pakata resursseja paketteihin (WebBundle) tehokkaamman suuren määrän toisiinsa liittyvien tiedostojen (CSS-tyylit, JavaScript, kuvat, iframe-kehykset) lataamisen mahdollistamiseksi. Nykyisen JavaScript-tiedostopakettituen (webpack) puutteita, joihin WebBundle pyrkii puuttumaan, ovat: itse paketti, mutta ei sen osia, voidaan tallentaa HTTP-välimuistiin; kääntäminen ja suorittaminen voivat alkaa vasta, kun paketti on ladattu kokonaan; lisäresurssit, kuten CSS ja kuvat, on koodattava JavaScript-merkkijonoina, mikä lisää tiedostokokoa ja vaatii ylimääräisen jäsennysvaiheen.
  • Poikkeusten käsittelyn tuki WebAssemblyssä.
• Deklaratiivista varjo-DOM-rajapintaa on vakautettu uusien juurihaarojen luomiseksi varjo-DOMiin esimerkiksi tuodun kolmannen osapuolen elementtityylin ja siihen liittyvän DOM-alahaaran erottamiseksi päädokumentista. Tämä deklaratiivinen rajapinta mahdollistaa DOM-haarojen irrottamisen käyttämällä vain HTML:ää ilman JavaScriptiä.
• CSS-ominaisuus kuvasuhteen määrittämiseksi, jonka avulla voit nimenomaisesti sitoa kuvasuhteen mihin tahansa elementtiin (puuttuvan koon laskemiseksi automaattisesti, kun määrität vain korkeuden tai leveyden), mahdollistaa nyt arvojen interpoloinnin animaation aikana (sujuva siirtyminen kuvasuhteesta toiseen).
• Lisätty mahdollisuus heijastaa mukautettujen HTML-elementtien tilaa CSS:ssä pseudoluokan ":state()" kautta. Toiminto toteutetaan analogisesti standardien HTML-elementtien kyvyn kanssa muuttaa tilaansa käyttäjän vuorovaikutuksesta riippuen.
• CSS-ominaisuus "appearance" tukee nyt arvoa 'auto', joka on oletusarvoisesti asetettu kohteelle Ja ja alustalla Android lisäksi , , , Ja .
• CSS-ominaisuus "overflow" tukee nyt "clip"-arvoa. Kun tämä arvo on asetettu, ylivuotoinen sisältö rajataan lohkon sallitun ylivuotoalueen reunaan, mikä estää vierityksen. Arvo, joka määrittää, kuinka pitkälle sisältö voi ulottua varsinaisen lohkon rajan ulkopuolelle ennen rajautumista, asetetaan uudella CSS-ominaisuudella "overflow-clip-margin". Verrattuna "overflow: hidden" -ominaisuuteen "overflow: clip" -ominaisuuden käyttö parantaa suorituskykyä.
• Feature-Policy HTTP-otsake on korvattu uudella Permissions-Policy-otsakkeella, jolla hallitaan käyttöoikeuksien delegointia ja otetaan käyttöön edistyneitä ominaisuuksia. Otsikko tukee nyt jäsenneltyjä kenttäarvoja (esimerkiksi voit nyt määrittää "Permissions-Policy: geolocation=()" "Feature-Policy: geolocation 'none'" sijaan).
• Suojausta protokollapuskurien käyttöä vastaan ​​prosessoreissa suoritettavien ohjeiden spekulatiivisen suorittamisen aiheuttamissa hyökkäyksissä on vahvistettu. Tämä suojaus on toteutettu lisäämällä "application/x-protobuffer" MIME-tyyppi niiden MIME-tyyppien luetteloon, joita ei koskaan tunnisteta ja jotka käsitellään Cross-Origin-Read-Blocking-mekanismin avulla. Aiemmin "application/x-protobuf" MIME-tyyppi oli jo lisätty tähän luetteloon, mutta "application/x-protobuffer" jätettiin pois.
• File System Access API toteuttaa ominaisuuden siirtää nykyisen tiedoston sijaintia sen lopun jälkeen ja täyttää syntyvä aukko nollilla myöhemmän kirjoituksen aikana kutsumalla FileSystemWritableFileStream.write(). Tämä ominaisuus mahdollistaa harvojen tiedostojen luomisen tyhjillä välilyönneillä ja yksinkertaistaa merkittävästi tiedostoon kirjoittamisen organisointia virroissa, joissa saapuvat datalohkot ovat järjestämättömiä (kuten BitTorrentissa käytetyissä).
• Lisätty StaticRange-konstruktori, joka mahdollistaa kevyiden Range-tyyppien toteutuksen. Nämä eivät vaadi kaikkien liittyvien objektien päivittämistä joka kerta, kun DOM-puu muuttuu.
• Toteutettu mahdollisuus määrittää elementtien leveys- ja korkeusparametrit , määritelty elementin sisällä Tämän ominaisuuden avulla voit laskea elementtien kuvasuhteen. , samalla tavalla kuin se tehdään , Ja .
• WebRTC on poistanut RTP-datakanavien standardoimattoman tuen ja suosittelee sen sijaan SCTP-pohjaisten datakanavien käyttöä.
• navigator.plugins- ja navigator.mimeTypes-ominaisuudet palauttavat nyt aina tyhjän arvon (näitä ominaisuuksia ei enää tarvittu Flash-tuen lopettamisen jälkeen).
• Verkkokehitystyökaluihin on tehty suuri määrä pieniä parannuksia, ja uusi CSS flexbox -virheenkorjaustyökalu on lisätty.

Uusien ominaisuuksien ja virheenkorjausten lisäksi uusi versio korjaa 37 haavoittuvuutta. Monet haavoittuvuuksista tunnistettiin automaattisella testauksella käyttäen AddressSanitizeria, MemorySanitizeria, Control Flow Integritya, LibFuzzeria ja AFL:ää. Kriittisiä ongelmia, jotka voisivat mahdollistaa kaikkien selaimen suojauskerrosten ohittamisen ja koodin suorittamisen hiekkalaatikkoympäristön ulkopuolella, ei tunnistettu. Osana nykyisen julkaisun haavoittuvuuspalkkio-ohjelmaa Google on myöntänyt 19 palkkiota, joiden yhteissumma on 54 000 dollaria (yksi 20 000 dollarin palkkio, yksi 10 000 dollarin palkkio, kaksi 5 000 dollarin palkkiota, kolme 3 000 dollarin palkkiota, yksi 2 000 dollarin palkkio, yksi 1 000 dollarin palkkio ja neljä 500 dollarin palkkiota). Kuuden palkkion suuruutta ei ole vielä määritetty.

On syytä huomata, että eilen, korjaavan version 89.0.4389.128 julkaisemisen jälkeen, mutta ennen Chrome 90:n julkaisua, julkaistiin toinen hyökkäys, joka käytti uutta 0 päivän haavoittuvuutta, jota ei korjattu Chromessa 89.0.4389.128. Ei ole vielä selvää, onko tämä ongelma korjattu Chrome 90:ssä. Kuten ensimmäisessä tapauksessa, hyökkäys kattaa vain yhden haavoittuvuuden eikä sisällä koodia hiekkalaatikon eristämisen ohittamiseksi (kun Chromea käytetään "--no-sandbox" -lipulla, hyökkäys vapautetaan, kun alustalla avataan verkkosivu). Windows (mahdollistaa Muistio-ohjelman käynnistymisen). Uuteen hyväksikäyttöön liittyvä haavoittuvuus vaikuttaa WebAssembly-teknologiaan.

Lähde: opennet.ru