Google a dévoilé la sortie du navigateur Web Chrome 97. Parallèlement, une version stable du projet gratuit Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se distingue par l'utilisation des logos Google, la présence d'un système d'envoi de notifications en cas de crash, de modules de lecture de contenus vidéo protégés contre la copie (DRM), d'un système d'installation automatique des mises à jour et de transmission des paramètres RLZ lorsque recherche. Pour ceux qui ont besoin de plus de temps pour la mise à jour, il existe une branche Extended Stable distincte, suivie de 8 semaines, qui constitue une mise à jour de la version précédente de Chrome 96. La prochaine version de Chrome 98 est prévue pour le 1er février.
Changements clés dans Chrome 97 :
- Pour certains utilisateurs, le configurateur utilise une nouvelle interface de gestion des données stockées côté navigateur (« chrome://settings/content/all »). La principale différence de la nouvelle interface est qu'elle se concentre sur la définition des autorisations et la suppression simultanée de tous les cookies du site, sans la possibilité d'afficher des informations détaillées sur les cookies individuels et de supprimer sélectivement les cookies. Selon Google, l'accès à la gestion des cookies individuels pour un utilisateur ordinaire qui ne comprend pas les subtilités du développement Web peut entraîner des perturbations imprévisibles dans le fonctionnement des sites en raison de modifications inconsidérées des paramètres individuels, ainsi que d'une désactivation accidentelle de la confidentialité. mécanismes de protection activés via les cookies. Pour ceux qui ont besoin de manipuler des Cookies individuels, il est recommandé d'utiliser la section de gestion du stockage dans les outils pour développeurs web (Applocation/Stockage/Cookie).
- Dans le bloc d'informations sur le site, une brève description du site (par exemple, une description de Wikipédia) est affichée si le mode d'optimisation de la recherche et de la navigation est activé dans les paramètres (option « Améliorer les recherches et la navigation »).
- Prise en charge améliorée du remplissage automatique des champs dans les formulaires Web. Les recommandations avec options de remplissage automatique sont désormais affichées avec un léger décalage et sont dotées d'icônes d'information pour un aperçu plus pratique et une identification visuelle de la connexion avec le champ en cours de remplissage. Par exemple, l'icône de profil indique clairement que la saisie semi-automatique proposée affecte les champs liés à l'adresse et aux coordonnées.
- Activation de la suppression des gestionnaires de profils utilisateur de la mémoire après la fermeture des fenêtres de navigateur qui leur sont associées. Auparavant, les profils restaient en mémoire et continuaient à effectuer des travaux liés à la synchronisation et à l'exécution de scripts complémentaires en arrière-plan, ce qui entraînait un gaspillage inutile de ressources sur les systèmes utilisant plusieurs profils simultanément (par exemple, un profil d'invité et un lien vers un compte Google). ). De plus, un nettoyage plus approfondi des données restantes lors de l'utilisation du profil est assuré.
- Page améliorée avec les paramètres du moteur de recherche (« Paramètres > Gérer les moteurs de recherche »). L'activation automatique des moteurs, dont les informations sont fournies lors de l'ouverture d'un site via le script OpenSearch, a été désactivée - les nouveaux moteurs de traitement des requêtes de recherche à partir de la barre d'adresse doivent désormais être activés manuellement dans les paramètres (les moteurs précédemment activés automatiquement continueront à fonctionner sans modifications).
- À partir du 17 janvier, le Chrome Web Store n'acceptera plus les modules complémentaires utilisant la version XNUMX du manifeste Chrome, mais les développeurs de modules complémentaires précédemment ajoutés pourront toujours publier des mises à jour.
- Ajout d'un support expérimental pour la spécification WebTransport, qui définit un protocole et l'API JavaScript qui l'accompagne pour l'envoi et la réception de données entre le navigateur et le serveur. Le canal de communication est organisé sur HTTP/3 en utilisant le protocole QUIC comme transport. WebTransport peut être utilisé à la place du mécanisme WebSockets, offrant des fonctionnalités supplémentaires telles que la transmission multi-flux, les flux unidirectionnels, la livraison dans le désordre, les modes de livraison fiables et peu fiables. De plus, WebTransport peut être utilisé à la place du mécanisme Server Push, que Google a abandonné dans Chrome.
- Les méthodes findLast et findLastIndex ont été ajoutées aux objets JavaScript Array et TypedArrays, vous permettant de rechercher des éléments avec le résultat de sortie relatif à la fin du tableau. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (dernier élément pair)
- Éléments HTML fermés (pas d'attribut "open") , sont désormais consultables et connectables, et sont automatiquement développés lors de l'utilisation de la recherche de page et de la navigation par fragments (ScrollToTextFragment).
- Les restrictions de la politique de sécurité du contenu (CSP) dans les en-têtes de réponse du serveur s'appliquent désormais aux travailleurs dédiés, qui étaient auparavant traités comme des documents distincts.
- Une demande explicite pour l'autorisation de télécharger des sous-ressources du réseau interne a été fournie - avant d'accéder au réseau interne ou à l'hôte local, une demande CORS (Cross-Origin Resource Sharing) avec l'en-tête « Access-Control-Request-Private- Network : true » est désormais envoyé au serveur principal du site nécessitant une confirmation de l'opération en renvoyant l'en-tête « Access-Control-Allow-Private-Network : true ».
- Ajout de la propriété CSS font-synthesis, qui vous permet de contrôler si le navigateur peut synthétiser les styles de police manquants (oblique, gras et petites majuscules) qui ne font pas partie de la famille de polices sélectionnée.
- Pour les transformations CSS, la fonction perspective() implémente un paramètre « aucun », qui est traité comme une valeur infinie lors de l'organisation de l'animation.
- L'en-tête HTTP Permissions-Policy (Feature Policy), utilisé pour déléguer l'autorité et activer des fonctionnalités avancées, prend désormais en charge la valeur Keyboard-Map, qui permet l'utilisation de l'API Keyboard. La méthode Keyboard.getLayoutMap() a été implémentée, qui permet de déterminer quelle touche est enfoncée, en tenant compte des différentes dispositions de clavier (par exemple, une touche est enfoncée sur une disposition russe ou anglaise).
- Ajout de la méthode HTMLScriptElement.supports(), qui unifie la définition des nouvelles fonctionnalités disponibles dans l'élément « script », par exemple, vous pouvez connaître la liste des valeurs prises en charge pour l'attribut « type ».
- Le processus de normalisation des nouvelles lignes lors de la soumission de formulaires Web a été aligné sur les moteurs de navigateur Gecko et WebKit. La normalisation des sauts de ligne et des retours chariot (en remplaçant /r et /n par \r\n) dans Chrome s'effectue désormais à l'étape finale plutôt qu'au début du traitement de soumission du formulaire (c'est-à-dire que les processeurs intermédiaires utilisant l'objet FormData verront les données comme ajouté par l'utilisateur, et non sous une forme normalisée).
- La dénomination des noms de propriété a été standardisée pour l'API Client Hints, qui est développée en remplacement de l'en-tête User-Agent et vous permet de fournir de manière sélective des données sur des paramètres spécifiques du navigateur et du système (version, plate-forme, etc.) uniquement après une requête du serveur. Les propriétés sont désormais spécifiées avec le préfixe "sec-ch-", par exemple, sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt , sec-ch-downlink et sec-ch-ect.
- La deuxième étape de l'arrêt du support de l'API WebSQL a été appliquée, dont l'accès depuis les scripts tiers sera désormais bloqué. À l’avenir, nous prévoyons de supprimer progressivement et complètement le support de WebSQL, quel que soit le contexte d’utilisation. Le moteur WebSQL est basé sur le code SQLite et pourrait être utilisé par des attaquants pour exploiter les vulnérabilités de SQLite.
- Pour la plate-forme Windows, un assembly avec contrôles d'intégrité du flux d'exécution (CFG, Control Flow Guard) est inclus, bloquant les tentatives d'insertion de code dans le processus Chrome. De plus, l'isolation sandbox est désormais appliquée aux services réseau exécutés dans des processus distincts, limitant les capacités du code dans ces processus.
- Chrome pour Android inclut un mécanisme de mise à jour dynamique du journal des certificats émis et révoqués (Certificate Transparency), qui était auparavant activé dans les frais pour les systèmes de bureau.
- Des améliorations ont été apportées aux outils destinés aux développeurs Web. Un support expérimental pour la synchronisation des paramètres DevTools entre différents appareils a été implémenté. Un nouveau panneau Enregistreur a été ajouté, avec lequel vous pouvez enregistrer, lire et analyser les actions des utilisateurs sur la page.
Lors de l'affichage des erreurs dans la console Web, les numéros de colonnes associés au problème sont affichés, ce qui est pratique pour déboguer les problèmes dans le code JavaScript minifié. La liste des appareils pouvant être simulés pour évaluer l'affichage des pages sur les appareils mobiles a été mise à jour. Dans l'interface d'édition des blocs HTML (Edit as HTML), la coloration syntaxique et la possibilité de saisie semi-automatique ont été ajoutées.
En plus des innovations et des corrections de bugs, la nouvelle version élimine 37 vulnérabilités. De nombreuses vulnérabilités ont été identifiées à la suite de tests automatisés utilisant les outils AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. L'une des vulnérabilités s'est vu attribuer le statut de problème critique, permettant de contourner tous les niveaux de protection du navigateur et d'exécuter du code sur le système, en dehors de l'environnement sandbox. Les détails de la vulnérabilité critique (CVE-2022-0096) n'ont pas encore été divulgués, on sait seulement qu'elle est associée à l'accès à une zone mémoire déjà libérée dans le code pour travailler avec le stockage interne (API de stockage).
Dans le cadre du programme de récompense en espèces pour la découverte de vulnérabilités dans la version actuelle, Google a versé 24 récompenses d'une valeur de 54 10000 $ (trois récompenses de 5000 4000 $, deux récompenses de 3000 1000 $, une récompense de 14 XNUMX $, trois récompenses de XNUMX XNUMX $ et une récompense de XNUMX XNUMX $). La taille de XNUMX récompenses n’a pas encore été déterminée.
Source: opennet.ru