Chrome Version 92

Google a dévoilé la sortie du navigateur Web Chrome 92. Parallèlement, une version stable du projet gratuit Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se distingue par l'utilisation des logos Google, la présence d'un système d'envoi de notifications en cas de crash, de modules de lecture de contenus vidéo protégés (DRM), d'un système d'installation automatique des mises à jour et de transmission des paramètres RLZ lors de la recherche. La prochaine version de Chrome 93 est prévue pour le 31 août.

Changements clés dans Chrome 92 :

• Des outils ont été ajoutés aux paramètres pour contrôler l’inclusion des composants Privacy Sandbox. L'utilisateur a la possibilité de désactiver la technologie FLoC (Federated Learning of Cohorts), développée par Google pour remplacer les cookies de suivi de mouvement par des « cohortes » qui permettent d'identifier les utilisateurs ayant des intérêts similaires sans identifier d'individus. Les cohortes sont calculées côté navigateur en appliquant des algorithmes d'apprentissage automatique aux données d'historique de navigation et au contenu ouvert dans le navigateur.
• Pour les utilisateurs d'ordinateur de bureau, le cache Back-forward est activé par défaut, offrant une navigation instantanée lors de l'utilisation des boutons Précédent et Suivant ou lors de la navigation dans les pages précédemment consultées du site actuel. Auparavant, le cache de saut n'était disponible que dans les versions pour la plate-forme Android.
• Isolement accru des sites et des modules complémentaires dans différents processus. Si auparavant le mécanisme d'isolation de site assurait l'isolation des sites les uns des autres dans différents processus et séparait également tous les modules complémentaires dans un processus distinct, la nouvelle version implémente la séparation des modules complémentaires de navigateur les uns des autres en déplaçant chaque module complémentaire. dans un processus distinct, ce qui a permis de créer une autre barrière à la protection contre les modules complémentaires malveillants.
• Augmentation significative de la productivité et de l’efficacité de la détection du phishing. La vitesse de détection du phishing basée sur l'analyse d'images locales a augmenté jusqu'à 50 fois dans la moitié des cas, et dans 99 % des cas, elle s'est avérée au moins 2.5 fois plus rapide. En moyenne, le temps de classification du phishing par image est passé de 1.8 seconde à 100 ms. Dans l'ensemble, la charge CPU créée par tous les processus de rendu a diminué de 1.2 %.
• Les ports 989 (ftps-data) et 990 (ftps) ont été ajoutés à la liste des ports réseau interdits. Auparavant, les ports 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 et 10080 étaient déjà bloqués. Pour les ports sur liste noire, l'envoi de requêtes HTTP, HTTPS et FTP est bloqué afin de se protéger du NAT. attaque slipstreaming, qui permet lors de l'ouverture d'une page Web spécialement préparée par l'attaquant dans un navigateur, d'établir une connexion réseau depuis le serveur de l'attaquant vers n'importe quel port UDP ou TCP du système de l'utilisateur, malgré l'utilisation de la plage d'adresses interne (192.168.xx , 10.xxx).
• Une exigence a été introduite pour utiliser la vérification du développeur à deux facteurs lors de la publication de nouveaux ajouts ou mises à jour de version sur le Chrome Web Store.
• Il est désormais possible de désactiver les modules complémentaires déjà installés dans le navigateur s'ils sont supprimés du Chrome Web Store en raison d'une violation des règles.
• Lors de l'envoi de requêtes DNS, dans le cas de l'utilisation de serveurs DNS classiques, en plus des enregistrements « A » et « AAAA » pour déterminer les adresses IP, l'enregistrement DNS « HTTPS » est désormais également demandé, à travers lequel sont passés des paramètres pour accélérer l'établissement de connexions HTTPS, telles que les paramètres de protocole, les clés de chiffrement TLS ClientHello et une liste de sous-domaines d'alias.
• L'appel des boîtes de dialogue JavaScript window.alert, window.confirm et window.prompt est interdit à partir des blocs iframe chargés à partir de domaines autres que le domaine de la page actuelle. Ce changement contribuera à protéger les utilisateurs contre les abus associés aux tentatives de présentation d'une notification tierce sous la forme d'une demande provenant du site principal.
• La nouvelle page à onglet fournit une liste des documents les plus populaires enregistrés dans Google Drive.
• Il est possible de changer le nom et l'icône des applications PWA (Progressive Web Apps).
• Pour un petit nombre aléatoire de formulaires Web qui nécessitent que vous saisissiez une adresse ou un numéro de carte de crédit, les recommandations de remplissage automatique seront désactivées à titre expérimental.
• Dans la version de bureau, l'option de recherche d'images (l'élément « Rechercher une image » dans le menu contextuel) a été modifiée pour utiliser le service Google Lens au lieu du moteur de recherche Google habituel. Lorsque vous cliquez sur le bouton correspondant dans le menu contextuel, l'utilisateur sera redirigé vers une application Web distincte.
• Dans l'interface en mode navigation privée, les liens vers l'historique de navigation sont masqués (les liens sont inutiles, car ils conduisaient à l'ouverture d'un stub contenant des informations selon lesquelles l'historique n'est pas collecté).
• Ajout de nouvelles commandes qui sont analysées lorsqu'elles sont saisies dans la barre d'adresse. Par exemple, pour afficher un bouton permettant d'accéder rapidement à la page de vérification de la sécurité des mots de passe et des modules complémentaires, tapez simplement « contrôle de sécurité », et pour accéder aux paramètres de sécurité et de synchronisation, tapez simplement « gérer les paramètres de sécurité » et « gérer la synchronisation ».
• Modifications spécifiques dans la version Android de Chrome :
  • Le panneau comporte un nouveau bouton personnalisable « Magic Toolbar » qui affiche différents raccourcis sélectionnés en fonction de l'activité actuelle de l'utilisateur et inclut des liens susceptibles d'être nécessaires pour le moment.
  • La mise en œuvre du modèle d'apprentissage automatique sur l'appareil pour détecter les tentatives de phishing a été mise à jour. Lorsque des tentatives de phishing sont détectées, en plus d'afficher une page d'avertissement, le navigateur enverra désormais des informations sur la version du modèle d'apprentissage automatique, le poids calculé pour chaque catégorie et l'indicateur d'application du nouveau modèle au service externe de navigation sécurisée. .
  • Suppression du paramètre « Afficher les suggestions de pages similaires lorsqu'une page est introuvable », ce qui entraînait la recommandation de pages similaires sur la base de l'envoi d'une requête à Google si la page n'était pas trouvée. Ce paramètre a été précédemment supprimé de la version de bureau.
  • L'utilisation du mode d'isolation de site pour des processus individuels a été étendue. Pour des raisons de consommation de ressources, seuls les grands sites sélectionnés ont jusqu'à présent été déplacés vers des processus séparés. Dans la nouvelle version, l'isolement commencera également à s'appliquer aux sites sur lesquels l'utilisateur est connecté avec une authentification via OAuth (par exemple, en se connectant via un compte Google) ou qui définissent l'en-tête HTTP Cross-Origin-Opener-Policy. Pour ceux qui souhaitent activer l'isolation dans les processus individuels de tous les sites, le paramètre « chrome://flags/#enable-site-per-process » est fourni.
  • Les mécanismes de protection intégrés du moteur V8 contre les attaques par canal secondaire telles que Spectre sont désactivés, ce qui n'est pas considéré comme aussi efficace que l'isolement des sites dans des processus séparés. Dans la version de bureau, ces mécanismes ont été désactivés dans la version de Chrome 70.
  • Accès simplifié aux paramètres d'autorisations du site, tels que l'accès au microphone, à la caméra et à la localisation. Pour afficher une liste des autorisations, il suffit de cliquer sur le symbole du cadenas dans la barre d'adresse, puis de sélectionner la section « Autorisations ».
• Plusieurs nouvelles API ont été ajoutées au mode Origin Trials (fonctionnalités expérimentales nécessitant une activation séparée). Origin Trial implique la possibilité de travailler avec l'API spécifiée à partir d'applications téléchargées depuis localhost ou 127.0.0.1, ou après s'être enregistré et avoir reçu un jeton spécial valable pour une durée limitée pour un site spécifique.
  • API File Handling, qui vous permet d'enregistrer des applications Web en tant que gestionnaires de fichiers. Par exemple, une application Web exécutée en mode PWA (Progressive Web Apps) avec un éditeur de texte peut s'enregistrer en tant que gestionnaire de fichiers « .txt », après quoi elle peut être utilisée dans le gestionnaire de fichiers système pour ouvrir des fichiers texte.
  • API Shared Element Transitions, qui permet d'utiliser des effets prêts à l'emploi fournis par le navigateur qui visualisent les changements d'état de l'interface en monopage (SPA, applications monopages) et multipages (MPA, applications multipages ) des applications Web.
• Le paramètre size-adjust a été ajouté à la règle CSS @font-face, qui vous permet de redimensionner la taille du glyphe pour un style de police spécifique sans changer la valeur de la propriété CSS font-size (la zone sous le caractère reste la même , mais la taille du glyphe dans cette zone change).
• En JavaScript, les objets Array, String et TypedArray implémentent la méthode at(), qui vous permet d'utiliser l'indexation relative (la position relative est spécifiée comme index du tableau), notamment en spécifiant des valeurs négatives par rapport à la fin (par exemple, "arr.at(-1)" renverra le dernier élément du tableau).
• La propriété dayPeriod a été ajoutée au constructeur JavaScript Intl.DateTimeFormat, qui permet d'afficher l'heure approximative de la journée (matin, soir, après-midi, nuit).
• Lors de l'utilisation des objets SharedArrayBuffers, qui permettent de créer des tableaux en mémoire partagée, vous devez désormais définir les en-têtes HTTP Cross-Origin-Opener-Policy et Cross-Origin-Embedder-Policy, sans lesquels la requête sera bloquée.
• Les actions « togglemicrophone », « togglecamera » et « raccrocher » ont été ajoutées à l'API Media Session, permettant aux sites qui implémentent des systèmes de visioconférence d'attacher leurs propres gestionnaires pour les boutons muet/réveil, caméra marche/arrêt et fin affichés dans le appel d'interface image dans l'image.
• L'API Web Bluetooth a ajouté la possibilité de filtrer les appareils Bluetooth trouvés par fabricant et identifiants de produit. Le filtre est défini via le paramètre « options.filters » dans la méthode Bluetooth.requestDevice().
• La première étape de suppression du contenu de l'en-tête HTTP User-Agent a été implémentée : l'onglet Problèmes de DevTools affiche désormais un avertissement concernant la dépréciation de navigator.userAgent, navigator.appVersion et navigator.platform.
• Une partie des améliorations a été apportée aux outils destinés aux développeurs Web. La console Web offre la possibilité de redéfinir les expressions « const ». Dans le panneau Éléments, les éléments iframe ont la possibilité d'afficher rapidement les détails via un menu contextuel qui apparaît lorsque vous cliquez avec le bouton droit sur l'élément. Débogage amélioré des erreurs CORS (Cross-origin Resource Sharing). La possibilité de filtrer les requêtes réseau de WebAssembly a été ajoutée au panneau d'inspection de l'activité réseau. Un nouvel éditeur CSS Grid a été proposé (« display : grid » et « display : inline-grid ») avec une fonction de prévisualisation des modifications.

En plus des innovations et des corrections de bugs, la nouvelle version élimine 35 vulnérabilités. De nombreuses vulnérabilités ont été identifiées à la suite de tests automatisés utilisant les outils AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. Aucun problème critique n'a été identifié qui permettrait de contourner tous les niveaux de protection du navigateur et d'exécuter du code sur le système en dehors de l'environnement sandbox. Dans le cadre du programme de récompense en espèces pour la découverte de vulnérabilités dans la version actuelle, Google a versé 24 récompenses d'une valeur de 112000 15000 $ (deux récompenses de 10000 8500 $, quatre récompenses de 7500 5000 $, une récompense de 3000 500 $, deux récompenses de 11 XNUMX $, trois récompenses de XNUMX XNUMX $, une récompense de XNUMX XNUMX $ et une récompense de XNUMX $. ). La taille de XNUMX récompenses n’a pas encore été déterminée.

Source: opennet.ru