Sortie de Chrome 113

La société Google a présenté la version 113 de son navigateur web Chrome. En même temps, une version stable du projet open source Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se différencie de Chromium par l'utilisation de logos Google, la présence d'un système d'envoi de notifications en cas de plantage, de modules pour la lecture de contenu vidéo protégé (DRM), d'un système de mise à jour automatique, d'une activation permanente de l'isolement Sandbox, ainsi que de la fourniture de clés pour l'API Google et de la transmission des paramètres RLZ lors de recherches. Pour ceux qui ont besoin de plus de temps pour les mises à jour, une branche Extended Stable est maintenue, accompagnée de 8 semaines de support. La prochaine version de Chrome, la 114, est prévue pour le 30 mai.

Les principales nouveautés de Chrome 113 :

• La prise en charge de l'API graphique WebGPU et du langage de shaders WGSL (WebGPU Shading Language) est activée par défaut. WebGPU fournit une interface de programmation similaire à Vulkan, Metal et Direct3D 12 pour effectuer des opérations du côté du GPU, telles que le rendu et les calculs, et permet également d'utiliser le langage des shaders pour écrire des programmes fonctionnant sur le GPU. Pour l'instant, la prise en charge de WebGPU est uniquement activée dans les versions pour ChromeOS, macOS et Windows, tandis que pour Linux et Android, elle sera activée ultérieurement.
• Le travail sur l'optimisation des performances se poursuit. Par rapport à la version 112, la vitesse du test Speedometer 2.1 a augmenté de 5%.
• Les utilisateurs commencent à voir l'activation progressive du mode de segmentation du stockage, des Service Workers et des API de communication, qui, lors du traitement de la page, sont séparés en fonction des domaines, isolant ainsi les traitements tiers. Ce mode permet de bloquer les méthodes de suivi des déplacements des utilisateurs entre les sites, basées sur le stockage d'identifiants dans des espaces de stockage partagés et des zones non destinées au stockage permanent d'informations (« Supercookies »), comme celles fonctionnant par l'évaluation de la présence de certaines données dans les caches des navigateurs. À l'origine, lors du traitement d'une page, toutes les ressources étaient stockées dans un espace de noms commun (same-origin), indépendamment du domaine d'origine, ce qui permettait à un site de déterminer le chargement des ressources d'un autre site via des manipulations avec le stockage local, l'API IndexedDB ou en vérifiant la présence de données dans le cache.

  Lors de la segmentation par rapport à la clé utilisée pour extraire des objets du cache et des stockages de navigateur, un attribut distinct est attaché, déterminant le lien avec le principal. un domaine, à partir duquel la page principale est ouverte, ce qui limite la portée d'application des scripts de suivi des mouvements, par exemple, ceux chargés via un iframe d'un autre site. Pour activer la segmentation de manière forcée sans attendre l'activation normale, vous pouvez utiliser le paramètre « chrome://flags/#third-party-storage-partitioning ».

  
• Un mécanisme appelé First-Party Sets (FPS) a été proposé, permettant de déterminer les relations entre différents sites d'une même organisation ou d'un même projet pour un traitement commun des cookies entre eux. Cette possibilité est utile lorsque un site est accessible via différents domaines (par exemple, opennet.ru et opennet.me). Les cookies pour de tels domaines sont complètement séparés, mais avec FPS, ils peuvent désormais être reliés dans un espace de stockage commun. Pour activer FPS, vous pouvez utiliser le paramètre « chrome://flags/enable-first-party-sets ».
• Une optimisation substantielle a été réalisée sur l'implémentation logicielle de l'encodeur vidéo au format AV1 (libaom), ce qui a permis d'améliorer les performances des applications web utilisant WebRTC, telles que les systèmes de visioconférence. Un nouveau mode de vitesse 10 a été ajouté, adapté aux appareils avec des ressources CPU limitées. Lors des tests de l'application Google Meet sur une connexion avec une bande passante de 40 kbps, le mode AV1 Speed 10 a permis d'obtenir une augmentation de qualité de 12 % et un gain de performance de 25 % par rapport au mode VP9 speed 7.
• Avec l'activation de la protection avancée du navigateur (Safe Browsing > Enhanced protection) afin de détecter l'activité malveillante du côté de Google dans les extensions, la collecte de télémétrie sur le fonctionnement des extensions de navigateur, installées en dehors du catalogue Chrome Store, a été mise en œuvre. Des données telles que les hachages des fichiers d'extension et le contenu de manifest.json sont envoyées.
• Certains utilisateurs ont accès à des fonctionnalités supplémentaires de remplissage automatique des formulaires, visant à remplir rapidement l'adresse de livraison et les informations de paiement lors de achats dans certaines boutiques en ligne.
• Une restructuration du menu affiché lors du clic sur l'icône « trois points » a été effectuée. Les éléments « Extensions » et « Chrome Web Store » ont été déplacés au premier niveau du menu.
• Ajout de la possibilité de traduire uniquement une partie sélectionnée de la page, plutôt que l'ensemble de la page (la traduction est initiée depuis le menu contextuel). Pour gérer l'activation de la traduction partielle, une option « chrome://flags/#desktop-partial-translate » a été proposée.
• Sur la page affichée lors de l'ouverture d'un nouvel onglet, une fonctionnalité a été ajoutée pour reprendre les travaux interrompus (« Journey »), permettant, par exemple, de continuer une recherche à partir de l'endroit où elle a été interrompue.
• Dans la version Android, une nouvelle page de service « chrome://policy/logs » a été mise en place pour le débogage des politiques administratives appliquées aux utilisateurs par la gestion centralisée.
• La version pour la plateforme Android permet désormais d'afficher un contenu plus personnalisé dans la section de contenu recommandé (Discover). De plus, la possibilité d'ajuster les types de recommandations affichées a été ajoutée (par exemple, il est possible de masquer le contenu provenant de certaines sources) pour les utilisateurs non connectés à un compte Google.
• Dans la version Android, une nouvelle interface a été proposée pour choisir des fichiers multimédias lors du téléchargement de photos et de vidéos (le sélecteur multimédiaAndroid standard est désormais utilisé au lieu d'une implémentation personnalisée).
• Le CSS a intégré la syntaxe standard de la fonction image-set(), permettant de sélectionner l'image la plus appropriée parmi un ensemble d'options avec différentes résolutions, en fonction des paramètres d'écran et de la bande passante réseau actuels. L'appel précédemment supporté avec le préfixe -webkit-image-set(), proposant une syntaxe spécifique à Chrome, a été remplacé par la fonction standard image-set.
• Le CSS a ajouté la prise en charge de nouvelles requêtes médiatiques (@media) overflow-inline et overflow-block, permettant de déterminer comment le débordement de contenu sera géré en dehors des limites initiales d'un bloc.
• Le CSS a introduit la requête médiatique update, permettant de définir des styles lors de l'impression ou lors de l'affichage sur des écrans lents (comme les écrans d'e-book) et rapides (écrans classiques).
• Le CSS a ajouté la fonction linear() pour appliquer une interpolation linéaire entre un nombre défini de points, ce qui peut être utilisé pour créer des animations complexes, telles que des effets de rebond et d'étirement.
• La méthode Headers.getSetCookie() permet d'extraire des valeurs à partir de plusieurs en-têtes Set-Cookie envoyés dans une seule requête sans les combiner.
• Une extension largeBlob a été ajoutée à l'API WebAuthn pour le stockage de grandes données binaires associées aux identifiants.
• L'API Private State Token a été activée pour séparer les utilisateurs sans utiliser d'identifiants intersites.
• Il est interdit aux sites d'initialiser la propriété document.domain afin d'appliquer des conditions same-origin aux ressources chargées depuis différents sous-domaines. Si un canal de communication entre les sous-domaines doit être établi, utilisez la fonction postMessage() ou l'API Channel Messaging.
• Des améliorations ont été apportées aux outils pour les développeurs web. Dans le panneau d'inspection des activités réseau, la possibilité de remplacer ou de créer de nouveaux en-têtes HTTP de réponse retournés par le serveur web a été ajoutée (Réseau > En-têtes > En-têtes de réponse). De plus, il est désormais possible de modifier toutes les substitutions à un seul endroit via l'édition du fichier .headers dans la section Sources > Substitutions et de créer des remplacements par motif. Le débogage des applications utilisant les frameworks web Nuxt, Vite et Rollup a été amélioré. Le diagnostic des problèmes CSS dans le panneau Styles a été optimisé (les erreurs dans les noms de propriétés et dans les valeurs attribuées sont signalées séparément). Dans la console web, la possibilité d'afficher des recommandations d'autocomplétion en appuyant sur la touche Entrée a été ajoutée (et pas seulement en appuyant sur tabulation ou sur la flèche droite).

En plus des nouveautés et des corrections de bugs, la nouvelle version corrige 15 vulnérabilités. Beaucoup de ces vulnérabilités ont été détectées grâce à des tests automatisés avec les outils AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. Aucun problème critique permettant de contourner tous les niveaux de protection du navigateur et d'exécuter du code sur le système en dehors de l'environnement de sandbox n'a été identifié. Dans le cadre du programme de récompense pour la découverte de vulnérabilités pour cette version, Google a accordé 10 primes d'un montant total de 30,5 mille dollars américains (une prime de 7500 $, 5000 $ et 4000 $, deux primes de 3000 $, trois primes de 2000 $ et deux primes de 1000 $).

Source : opennet.ru