Version du navigateur web Chrome 131

La société Google a publié la version du navigateur web Chrome 131. En même temps, une version stable du projet libre Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se distingue de Chromium par l'utilisation des logos Google, un système d'envoi de notifications en cas de crash, des modules pour la lecture de contenu vidéo protégé (DRM), un système de mise à jour automatique, une isolation Sandbox toujours activée, la fourniture de clés pour l'API Google et le passage des paramètres RLZ lors des recherches. Pour ceux qui ont besoin de plus de temps pour les mises à jour, une branche Extended Stable est maintenue, accompagnée pendant 8 semaines. La prochaine version de Chrome 132 est prévue pour le 14 janvier.

Principales modifications de Chrome 131 :

• Le visualiseur PDF intégré a amélioré la reconnaissance du texte dans les documents PDF scannés, où le texte est présenté sous forme d'image. Le texte est reconnu sur le système local à l'aide d'un moteur de reconnaissance optique de caractères (OCR) intégré, basé sur l'apprentissage automatique. Contrairement aux versions précédentes, les documents scannés sont désormais automatiquement convertis en représentation texte, pour laquelle des fonctions de sélection, de recherche et de copie dans le presse-papiers sont disponibles.
• Une possibilité d'intégrer des vérifications avancées dans le système de répartition de la mémoire PartitionAlloc a été présentée, permettant de bloquer les vulnérabilités causées par l'accès à des zones de mémoire déjà libérées (use-after-free). Par défaut, ces vérifications sont désactivées en raison de leur impact potentiel sur la performance. Cependant, pour les déploiements où la sécurité est plus importante que la performance, des politiques d'entreprise distinctes sont désormais fournies pour activer une protection supplémentaire.
• La confiance envers l'autorité de certification Entrust a été suspendue dans le magasin de certificats racines intégré (Chrome Root Store) en raison de multiples violations des exigences pour les autorités de certification, du non-respect des délais de réaction sur les certificats problématiques, des retards dans la révocation des certificats, de la mauvaise gestion des rapports d'incidents et du non-respect des règles lors de l'émission. des certificats TLS Le niveau EV (Extended Validation) nécessite la vérification des documents prouvant la propriété du domaine et la confirmation du propriétaire de la ressource. En raison de l'absence d'actions visant à remédier aux défauts identifiés, les certificats TLS émis par Entrust après le 11 novembre 2024 seront considérés comme non fiables dans Chrome. Les certificats émis avant le 11 novembre continueront d'être perçus comme normaux.
• La version pour Android inclut la possibilité de connecter des fournisseurs tiers pour le remplissage automatique des formulaires et l'enregistrement des mots de passe, sans dépendre de l'API Accessibility.
• La version pour Android simplifie la connexion au compte Google et la gestion de la synchronisation des données entre différents navigateurs. La synchronisation n'est plus présentée comme une fonctionnalité distincte dans les paramètres, mais a été intégrée à la fonction de connexion au compte Google, permettant d'utiliser et de sauvegarder dans le Google Account des informations telles que les mots de passe et les favoris.
• Le déploiement progressif d'un nouveau mode d'économie d'énergie a commencé, dans lequel les onglets consommant beaucoup de ressources CPU sont automatiquement suspendus lorsqu'ils n'émettent pas de son et sont cachés depuis plus de 5 minutes. Les onglets liés à la gestion d'appareils externes ou à la tenue de conférences vidéo et audio sont exemptés (ces onglets sont identifiés sur la base de l'accès à l'API pour travailler avec USB, Bluetooth, caméra, dispositifs d'entrée et microphone, ainsi que l'organisation d'une connexion utilisant RTCDataChannel ou MediaStreamTrack). Pour gérer l'activation de la mise en veille automatique, vous pouvez utiliser le paramètre « chrome://flags/#freezing-on-energy-saver ».
• Des modes expérimentaux d'économie de mémoire (Memory saver) ont été ajoutés : Modéré, Équilibré et Maximum, permettant de choisir une méthode de libération de mémoire pour les onglets inactifs. En mode Modéré, les onglets ne sont désactivés que lorsqu'il y a un manque de mémoire dans le système ; en mode Maximum, les onglets sont désactivés peu de temps après être devenus inactifs, et en mode Équilibré, les onglets inactifs sont désactivés en fonction de la mémoire libre dans le système.
• Des paramètres de performance supplémentaires ont été ajoutés, par exemple la possibilité de spécifier des sites qui restent constamment actifs (sans ralentissement en arrière-plan), de choisir la méthode d'indication visuelle des onglets désactivés et d'afficher la consommation de mémoire dans les vignettes contextuelles des onglets.
• Un outil « Detection de Performance » a été ajouté, identifiant les problèmes de performance des pages consultées et fournissant une notification avec des recommandations de solution en un clic. Par exemple, pour accélérer l'onglet actuel, le navigateur peut suggérer de désactiver d'autres onglets consommant beaucoup de ressources.
• Dans TLS 1.3 et QUIC, le mécanisme d'encapsulation de clé (KEM, Key Encapsulation Mechanism) « X25519Kyber768 », résistant à la recherche par les ordinateurs quantiques, a été transféré à l'utilisation de la spécification finale ML-KEM (CRYSTALS-Kyber), standardisée par l'Institut national des normes et de la technologie des États-Unis (NIST). X25519Kyber768 représente une combinaison de X25519 ECDH et de l'algorithme ML-KEM, utilisant des méthodes cryptographiques basées sur des problèmes de théorie des réseaux, des temps de résolution qui ne diffèrent pas sur les ordinateurs classiques et quantiques.
• La fonction de recherche par image via le service Google Lens, accessible par le menu contextuel, a été dotée de la prise en charge du chevauchement de la traduction dans une autre langue (le texte traduit est affiché par-dessus le texte d'origine sur l'image).
• L'API Direct Sockets a été ajoutée, permettant d'établir des connexions TCP et UDP directes avec des systèmes externes, ainsi que de créer des sockets d'écoute pour recevoir des connexions. Lors de la première tentative de connexion avec un nouvel hôte, une demande est affichée à l'utilisateur pour confirmer l'opération. La nécessité d'ajouter cette nouvelle API s'explique par la fourniture de la capacité d'interaction avec des appareils réseau utilisant leurs propres protocoles fonctionnant sur TCP et UDP, et ne prenant pas en charge l'interaction via HTTPS ou WebSockets.
• En mode « Origin trials », l'API Summarizer a été mise en œuvre pour résumer du texte (exposé succinct de l'essentiel), utilisant un grand modèle linguistique.
• En mode « Origin trials », l'API Playout Statistics a été ajoutée, définissant l'interface AudioContext.playoutStats pour obtenir des statistiques sur la qualité et les délais lors de la lecture audio via l'API WebAudio.
• Pour éviter les abus, une demande de confirmation des autorisations a été ajoutée lors de l'utilisation par le site de l'API Keyboard Lock et Pointer Lock, qui offrent un contrôle supplémentaire sur le clavier et la souris (par exemple, il est possible de masquer le pointeur de souris par défaut et d'assurer un traitement personnalisé des mouvements de la souris). L'état des autorisations accordées peut être vérifié via l'API Permissions.
• Il est permis d'indiquer des balises supplémentaires dans l'élément HTML «<select>», en plus des balises standard «<option>», «<optgroup>» et «<hr>». Ce changement a été effectué en préparation de la mise en œuvre dans les futures versions de la variante personnalisable «<select>», qui étend les possibilités de mise en forme du menu.
• Dans les propriétés CSS « clip-path », « fill », « stroke » et « marker-* », le support de l'indication de ressources SVG externes a été ajouté. Par exemple, il est maintenant possible de spécifier ‘clip-path: url(« resources.svg#myPath »)’.
• Le modèle d'héritage des propriétés de style de sélection de texte, défini par les pseudo-classes «::selection» et «::target-text», a été modifié pour s'aligner sur le modèle d'héritage des pseudo-classes «::highlight», «::spelling-error» et «::grammar-error», et dépend désormais non pas de la structure du document (chaînes d'éléments HTML), mais de la manière dont le texte est sélectionné (chaînes de sélection). Dans l'exemple ci-dessous, la couleur des éléments imbriqués avec du texte dans le paragraphe «<p class="»blue»">» sera maintenant sélectionnée en fonction du style de la pseudo-classe «::selection», et non du style de couleur spécifié pour le paragraphe. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Ceci est <em>mis en avant</em> texte. </p>
• Les restrictions empêchant l'affichage des propriétés CSS « display » pour les éléments HTML « <details> » et « <summary> » ont été supprimées. Un pseudo-élément « ::details-content » a été ajouté en CSS pour personnaliser le style du bloc repliable et dépliable.
• La propriété CSS «font-variant-emoji» a été ajoutée pour configurer le style d'affichage des Emoji. Par exemple, vous pouvez choisir une représentation textuelle ou graphique.
• Dans la règle CSS @page, destinée à modifier le style de la page avant l'impression ou l'exportation au format PDF, il est désormais possible de définir des zones pour placer le contenu dans la zone des marges de la page, par exemple, pour ajouter un en-tête personnalisé, une note sur le côté ou un pied de page.
• La propriété CSS « inset-area », utilisée pour gérer l'affichage des éléments liés à l'emplacement d'autres éléments (CSS Anchor Positioning), a été déclarée obsolète. Conformément aux recommandations du groupe de travail chargé de la normalisation CSS, la propriété « position-area », entièrement similaire, remplace « inset-area ».
• Les outils pour les développeurs web ont été améliorés. Le panneau Performance a ajouté de nouvelles fonctionnalités pour l'analyse des performances. Un panneau expérimental avec un assistant AI a été proposé, permettant de poser des questions sur des problèmes rencontrés lors du débogage ou de clarifier certains points liés au CSS.
  

En plus des nouvelles fonctionnalités et des corrections de bogues, la nouvelle version a résolu 12 vulnérabilités. De nombreuses vulnérabilités ont été identifiées grâce à des tests automatisés utilisant des outils tels qu'AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. Un problème a été classé comme très critique (problème dans le code traité par les extensions dans le moteur Blink). Aucune vulnérabilité critique permettant de contourner tous les niveaux de protection du navigateur et d'exécuter un code en dehors de l'environnement sandbox n'a été détectée. Dans le cadre du programme de récompense pour la détection de vulnérabilités, Google a versé 8 primes totalisant 1 000 dollars (chaque prime étant de 1 000 $). Le montant de 7 autres récompenses n'est pas encore déterminé.

Source : opennet.ru