Version 124 du navigateur web Chrome

La société Google a publié la version 124 de son navigateur web Chrome. En même temps, une version stable du projet open source Chromium, qui sert de base à Chrome, est également disponible. Le navigateur Chrome se distingue de Chromium par l'utilisation des logos de Google, la présence d'un système d'envoi de notifications en cas de crash, de modules pour la reproduction de contenu vidéo protégé (DRM), d'un système de mise à jour automatique, d'un mode Sandbox constamment activé, de la livraison de clés pour l'API Google et de la transmission des paramètres RLZ lors de la recherche. Pour ceux qui ont besoin de plus de temps pour la mise à jour, une branche Extended Stable est séparément supportée, accompagnée de 8 semaines. La prochaine version de Chrome 125 est prévue pour le 14 mai.

Les principaux changements dans Chrome 124 :

• Dans la version pour la plateforme Android, le gestionnaire de signets a ajouté le support de la sauvegarde des signets et de la liste de lecture en attente sur serveurs Google lié au compte utilisateur.
• Dans Chrome pour Android, une nouvelle méthode de stockage des mots de passe locaux, qui ne sont pas synchronisés avec d'autres appareils, a été mise en place. Auparavant, les mots de passe locaux étaient stockés dans le profil Chrome, et maintenant ils seront placés dans un stockage de mots de passe fourni par les services Google Play, qui est déjà utilisé pour stocker le mot de passe du compte Google.
• Dans les versions pour Windows, macOS et Linux, le support du mécanisme d'encapsulation de clés (KEM, Key Encapsulation Mechanism) est activé par défaut dans TLS, utilisant l'algorithme hybride X25519Kyber768, résistant à la recherche sur ordinateurs quantiques. X25519Kyber768 est une combinaison du mécanisme d'échange de clés X25519, basé sur des courbes elliptiques et actuellement utilisé dans TLS, avec l'algorithme Kyber-768, qui utilise des méthodes de cryptographie basées sur la résolution de problèmes de théorie des réseaux, dont le temps de résolution n'est pas différent sur les ordinateurs classiques et quantiques.
• Lors du rendu de texte avec la bibliothèque Skia, les paramètres de contraste et de couleur définis dans Windows pour la technologie de lissage de texte ClearType, permettant d'améliorer considérablement la qualité d'affichage des polices sur les écrans LCD, ont été pris en compte. Dans les versions pour Linux, les polices utilisées dans l'interface ont considérablement changé.
• Il est désormais possible d'installer toute page web sous forme d'application PWA autonome (Progressive Web Apps), même si cette page ne correspond pas aux critères PWA.
• Conformément aux exigences de la législation européenne DMA (Digital Markets Act), un dialogue permettant de choisir le moteur de recherche qui sera utilisé par défaut a été mis en place. Les moteurs de recherche proposés sont disponibles dans la section des paramètres « chrome://settings/search ». Les moteurs de recherche dans la liste sont affichés dans un ordre aléatoire. Dans Chrome 120, ce dialogue a été testé sur 1 % des utilisateurs et est maintenant activé pour tous.
• Une demande d'autorisation est désormais présentée à l'utilisateur lorsque l'application web accède à l'API Web MIDI, permettant d'interagir avec les appareils musicaux connectés à l'ordinateur disposant d'une interface MIDI. Auparavant, les demandes d'autorisation étaient affichées uniquement lors de l'envoi ou de la réception de messages SysEx, mais elles apparaîtront désormais lors de chaque accès à l'API Web MIDI. La raison de ce changement évoque des situations où des pages web aléatoires prennent le contrôle exclusif d'un contrôleur MIDI, empêchant d'autres applications de l'utiliser. Des problèmes de sécurité sont également notés, car l'API Web MIDI permet de contrôler entièrement un appareil MIDI, jusqu'à la possibilité d'installer ses propres firmwares.
• Le support de l'API Web SQL a été entièrement interrompu, car elle n'est pas normalisée, est peu utilisée et nécessite une refonte pour répondre aux exigences modernes en matière de sécurité. Web SQL a été désactivé par défaut à partir de Chrome 119, mais une option permettant de le réactiver était disponible. Cette option a maintenant été supprimée. Pour les développeurs nécessitant cette fonctionnalité, une alternative utilisant une bibliothèque SQLite compilée en WebAssembly est proposée.
• La possibilité de contrôler la direction de l'écriture du texte, affiché verticalement dans les éléments de formulaire web (select, meter, progress, button, textarea et input), a été ajoutée lors du choix de l'orientation verticale via la propriété CSS writing-mode. Pour afficher le texte de haut en bas, on peut maintenant utiliser la propriété « ltr » de l'élément de formulaire, et pour de bas en haut, « rtl ».
• Dans l'API User-Agent Client Hints, qui est développée comme un remplacement de l'en-tête User-Agent, un support a été ajouté pour le paramètre Sec-CH-UA-Form-Factors, permettant au client d'informer le serveur du facteur de forme de l'appareil de l'utilisateur (Bureau, Automobile, Mobile, XR, EInk et Montre). User-Agent Client Hints permet d'organiser une livraison sélective des données sur des paramètres spécifiques du navigateur et du système (version, plateforme, etc.) uniquement sur demande. serveurL'utilisateur, pour sa part, peut définir quelles informations peuvent être fournies aux propriétaires de sites Web. Lors de l'utilisation des informations client User-Agent, l'identifiant du navigateur n'est pas transmis sans demande explicite, et par défaut, seuls les paramètres de base sont indiqués, ce qui complique l'identification passive.
• Ajout de la possibilité de gérer le clonage de racines spécifiques dans le Shadow DOM, exécuté par des commandes telles que cloneNode(). La possibilité de cloner des racines DOM est activée à l'aide du paramètre clonable (« attachShadow({clonable:true}) ») ou de l'attribut « shadowrootclonable » (<template shadowrootmode=open shadowrootclonable>).
  
• De nouvelles méthodes setHTMLUnsafe() et parseHTMLUnsafe() ont été ajoutées pour utiliser la syntaxe Shadow DOM à partir de JavaScript. Les méthodes setHTMLUnsafe() et parseHTMLUnsafe(), similaires à innerHTML et DOMParser.parseFromString(), permettent d'insérer ou de traiter du contenu au format HTML dans un élément, mais se distinguent par leur prise en charge du traitement des éléments template avec l'attribut shadowrootmode.
• Ajout du support de l'API WebSocket Stream, qui permet de transmettre des données entre le navigateur et le serveur en mode streaming sans utiliser de polling, ce qui est optimal pour organiser la transmission et la réception de données en continu, par exemple dans une mise en œuvre de chat. const wss = new WebSocketStream(WSS_URL); const {readable, writable} = await wss.opened; const reader = readable.getReader(); const writer = writable.getWriter(); while (true) { const {value, done} = await reader.read(); if (done) { break; } const result = await process(value); await writer.write(result); }
• Les capacités de l'API View Transitions ont été étendues, simplifiant la création d'effets d'animation de transition entre différents états du DOM (par exemple, une transition fluide d'une image à une autre). Dans cette nouvelle version, un support pour l'événement « pageswap » a été ajouté, généré pour l'objet « window », lorsque le document associé est remplacé par un nouveau lors de la navigation. Une propriété « render-blocking » a également été ajoutée, permettant de bloquer le rendu du document jusqu'à la fin de l'analyse du contenu important.
• Un paramètre disallowReturnToOpener a été ajouté, passé lors de l'appel de la méthode requestWindow, qui permet de supprimer le bouton « retour » dans une fenêtre ouverte en mode « image dans l'image », interdisant le retour à l'onglet d'où la fenêtre a été ouverte.
• Ajout de la possibilité d'assigner la valeur NULL à l'attribut CSSImportRule.styleSheet pour indiquer l'absence de table de styles liée. Ajout de l'attribut CSSKeyframesRule.length, spécifiant le nombre de propriétés indexables.
• Pour les champs éditables, un attribut « writingsuggestions » a été implémenté pour gérer l'activation de l'affichage des suggestions lors de la saisie.
• L'API WebGPU prend désormais en charge ServiceWorker et SharedWorker.
• Ajout du support de l'en-tête HTTP « Priority », à travers lequel des informations sur la priorité de traitement de la demande peuvent être transmises (RFC 9218) lors de la première requête au resource.
• Des améliorations ont été apportées aux outils pour développeurs web. Un nouveau panneau Autofill a été ajouté pour inspecter les informations utilisées lors de l'autocomplétion des formulaires.

  Le panneau d'inspection des styles CSS a amélioré la prise en charge des styles imbriqués. Dans le panneau de mesure de performance, il est désormais possible de masquer les fonctions inutiles et les appels enfants associés pour réduire le bruit du graphique. Le panneau de débogage des animations prend en charge les animations liées au défilement du contenu (Scroll-driven Animation). Le panneau d'inspection du réseau a implémenté la possibilité de définir des paramètres de perte de paquets et de taille de file d'attente réseau pour vérifier le fonctionnement des applications WebRTC en cas de problèmes réseau.

  

Outre les nouveautés et les corrections de bugs, la nouvelle version corrige 22 vulnérabilités. Beaucoup de ces vulnérabilités ont été détectées grâce au test automatisé avec des outils comme AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. Aucune problématique critique permettant de contourner tous les niveaux de protection du navigateur et d'exécuter du code en dehors de l'environnement sandbox n'a été identifiée. Dans le cadre du programme de récompense pour la découverte de vulnérabilités pour cette version, Google a versé 13 primes totalisant 65 000 dollars (une prime de 20 000 $, 10 000 $, 7 000 $ et 2 000 $, trois primes de 5 000 $ et 3 000 $, et deux primes de 1 000 $). Le montant d'une prime n'a pas encore été déterminé.

Source : opennet.ru