Sortie du navigateur Web Chrome 131

Google a publié la version du navigateur Web Chrome 131. Parallèlement, une version stable du projet gratuit Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se distingue de Chromium par l'utilisation des logos Google, la présence d'un système d'envoi de notifications en cas de crash, de modules de lecture de contenu vidéo protégé contre la copie (DRM), d'un système d'installation automatique des mises à jour, permettant en permanence l'isolation Sandbox , fournissant les clés de l'API Google et transmettant les paramètres RLZ lors des recherches. Pour ceux qui ont besoin de plus de temps pour mettre à jour, la branche Extended Stable est prise en charge séparément, suivie de 8 semaines. La prochaine version de Chrome 132 est prévue pour le 14 janvier.

Changements clés dans Chrome 131 :

• La visionneuse PDF intégrée a étendu la capacité de reconnaître le texte dans les documents PDF numérisés dans lesquels le texte est placé sous forme d'image. Le texte est reconnu sur le système local à l'aide d'un moteur de reconnaissance optique de caractères (OCR) intégré basé sur l'apprentissage automatique. Contrairement aux versions précédentes, les documents numérisés sont désormais automatiquement convertis en une représentation textuelle, qui peut être mise en surbrillance, recherchée et copiée dans le presse-papiers.
• La possibilité d'activer des contrôles étendus dans le système d'allocation de mémoire PartitionAlloc a été introduite, ce qui vous permet de bloquer les vulnérabilités causées par l'accès à des zones de mémoire déjà libérées (use-after-free). Par défaut, ces vérifications sont désactivées en raison d'un éventuel impact négatif sur les performances. Toutefois, pour les déploiements où la sécurité est plus importante que les performances, des politiques d'entreprise distinctes sont désormais fournies pour permettre une protection supplémentaire.
• Le Chrome Root Store a retiré sa confiance à l'autorité de certification Entrust en raison de multiples violations des exigences relatives aux autorités de certification, de l'absence de réponse aux certificats problématiques dans les délais impartis, de retards dans la révocation des certificats, de rapports d'incidents inappropriés et du non-respect des directives d'émission. Certificats TLS Les certificats de niveau EV (Extended Validation) exigent la vérification des documents de propriété du domaine et la confirmation de la propriété des ressources. En raison de l'absence de mesures correctives concernant les failles identifiées, les certificats TLS émis par Entrust après le 11 novembre 2024 ne sont plus considérés comme fiables par Chrome. Les certificats émis avant cette date restent valides.
• La version Android inclut la possibilité de connecter des fournisseurs tiers pour remplir automatiquement des formulaires et enregistrer des mots de passe, ce qui n'est pas lié à l'API d'accessibilité.
• La version Android simplifie la connexion à un compte Google et la gestion de la synchronisation des données entre les différents navigateurs. La synchronisation n'est plus présentée comme une fonctionnalité distincte dans les paramètres, mais a été combinée avec la fonctionnalité de connexion au compte Google, vous permettant d'utiliser et d'enregistrer des informations telles que des mots de passe et des favoris sur votre compte Google.
• L'activation progressive auprès des utilisateurs d'un nouveau mode d'économie d'énergie (Energy saver) a commencé, dans lequel les onglets qui consomment beaucoup de ressources CPU, mais n'émettent pas de son et sont masqués pendant plus de 5 minutes, sont automatiquement gelés. Une exception est faite uniquement pour les onglets liés à la gestion des appareils externes ou à la conduite de conférences vidéo et audio (ces onglets sont déterminés en fonction de l'accès à l'API pour travailler avec USB, Bluetooth, caméra, périphériques d'entrée et microphone, ainsi que pour organiser un canal de communication en utilisant RTCDataChannel ou MediaStreamTrack ). Pour contrôler si la congélation automatique est activée, vous pouvez utiliser le paramètre « chrome://flags/#freezing-on-energy-saver ».
• Ajout des modes expérimentaux d'économie de mémoire - Modéré, Équilibré et Maximum, vous permettant de choisir une méthode pour libérer la mémoire des onglets inactifs. En mode Modéré, les onglets de mémoire ne sont désactivés que lorsque la mémoire du système est insuffisante, en mode Maximum, les onglets sont désactivés peu de temps après qu'ils soient devenus inactifs, et en mode Équilibré, les onglets inactifs sont désactivés en tenant compte de la disponibilité mémoire dans le système.
• Des paramètres supplémentaires liés aux performances ont été ajoutés, tels que la possibilité de spécifier quels sites restent actifs à tout moment (sans ralentir en arrière-plan), de choisir comment indiquer visuellement les onglets désactivés et d'afficher la consommation de mémoire dans les vignettes des onglets contextuels.
• Ajout d'un outil « Détection des performances » qui identifie les problèmes potentiels de performances des pages consultées et affiche une notification avec des recommandations pour résoudre le problème en un clic. Par exemple, pour accélérer l’onglet en cours, le navigateur peut proposer de désactiver d’autres onglets très consommateurs de ressources.
• Dans TLS 1.3 et QUIC, l'algorithme d'encapsulation de clé (KEM, Key Encapsulation Mechanism) « X25519Kyber768 », résistant à la sélection sur les ordinateurs quantiques, a été transféré pour utiliser la spécification finale ML-KEM (CRYSTALS-Kyber), standardisée par l'US National Institut des normes et de la technologie (NIST) . X25519Kyber768 est une combinaison de X25519 ECDH et de l'algorithme ML-KEM, utilisant des méthodes de cryptographie basées sur la résolution de problèmes de théorie des réseaux, dont le temps de solution est le même sur les ordinateurs conventionnels et quantiques.
• La prise en charge de la superposition de traduction dans une autre langue a été ajoutée à la fonction de recherche d'images à l'aide du service Google Lens, accessible via le menu contextuel (le texte traduit est affiché au-dessus du texte original dans l'image).
• L'API Direct Sockets a été ajoutée, vous permettant d'établir des connexions TCP et UDP directes avec des systèmes externes, ainsi que de créer des sockets d'écoute pour recevoir des connexions. Lors de la première tentative de connexion à un nouvel hôte, l'utilisateur est invité à confirmer l'opération. La nécessité d'ajouter une nouvelle API s'explique par la possibilité d'interagir avec des périphériques réseau qui utilisent des protocoles natifs exécutés sur TCP et UDP et ne prennent pas en charge la communication via HTTPS ou WebSockets.
• Le mode « Origin Trials » implémente l'API Summarizer pour résumer du texte (un résumé de l'essence) à l'aide d'un grand modèle de langage.
• Dans le mode "Origin Trials", l'API Playout Statistics a été ajoutée, qui définit l'interface AudioContext.playoutStats pour obtenir des statistiques sur la qualité et les délais de lecture audio via l'API WebAudio.
• Pour vous protéger contre les abus, un message de confirmation a été ajouté lorsque le site utilise les API Keyboard Lock et Pointer Lock, qui offrent un contrôle supplémentaire sur le clavier et la souris (par exemple, vous pouvez masquer le pointeur de la souris standard et fournir votre propre gestion de la souris). mouvement). Vous pouvez vérifier l'état d'octroi des autorisations via l'API Permissions.
• Autorisé à spécifier des balises supplémentaires dans l'élément HTML " ", en plus des balises standards " ", " " Et " " Cette modification a été effectuée en vue de la mise en œuvre dans les prochaines versions de l'option personnalisée " ", élargissant les possibilités de conception de menus.
• Ajout de la prise en charge de la spécification de ressources SVG externes pour les propriétés CSS « ​​clip-path », « fill », « Stroke » et « Marker-* ». Par exemple, vous pouvez désormais spécifier 'clip-path: url("resources.svg#myPath")'.
• Le modèle d'héritage des propriétés des styles de sélection de texte définis via les pseudo-classes « ::selection » et « ::target-text » a été modifié, qui a été amené au modèle d'héritage des pseudo-classes « ::highlight » , « ::spelling-error » et « ::grammar- error », et ne dépend désormais plus de la structure du document (chaîne d'éléments HTML), mais de la manière dont le texte est sélectionné (chaînes de sélection). Dans l'exemple ci-dessous, la couleur des éléments imbriqués avec le texte dans le paragraphe " " sera désormais sélectionné selon le style de la pseudo-classe "::selection", plutôt que le style de la couleur spécifiée pour le paragraphe. p { couleur : rose foncé ; } .blue::selection { couleur: bleu; } Il s’agit d’un texte souligné .
• Suppression des restrictions qui empêchaient de définir les propriétés CSS « d'affichage » pour les éléments HTML » " Et " " Un pseudo-élément « ::details-content » a été ajouté au CSS pour personnaliser la conception du bloc pliable et extensible.
• Ajout de la propriété CSS "font-variant-emoji" pour personnaliser le style d'affichage Emoji. Par exemple, vous pouvez choisir une représentation textuelle ou graphique.
• La règle CSS @page, conçue pour modifier le design d'une page avant de l'imprimer ou de l'exporter au format PDF, vous permet désormais de définir des zones pour placer du contenu dans les marges de la page, par exemple pour ajouter votre propre titre, note latérale ou pied de page.
• La propriété CSS "inset-area" utilisée pour contrôler l'affichage des éléments ancrés à l'emplacement d'autres éléments (CSS Anchor Positioning) est obsolète. Conformément à la recommandation du groupe de travail de normalisation CSS, la propriété « inset-area » a été remplacée par une propriété « position-area » tout à fait similaire.
• Les capacités des outils destinés aux développeurs Web ont été étendues. De nouvelles fonctionnalités d'analyse des performances ont été ajoutées au panneau Performances. Un panneau expérimental avec un assistant IA a été proposé, dans lequel, sous forme de chat, vous pouvez obtenir des réponses qui surviennent lors du débogage, ou clarifier certains points liés au CSS.
  

En plus des innovations et des corrections de bugs, la nouvelle version élimine 12 vulnérabilités. De nombreuses vulnérabilités ont été identifiées à la suite de tests automatisés utilisant les outils AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. Un problème s'est vu attribuer un niveau de gravité élevé (un problème dans le code permettant de travailler avec des extensions dans le moteur Blink). Aucun problème critique n'a été identifié qui permettrait de contourner tous les niveaux de protection du navigateur et d'exécuter du code sur le système en dehors de l'environnement sandbox. Dans le cadre du programme de récompense en espèces pour la découverte des vulnérabilités de la version actuelle, Google a payé 8 récompenses d'un montant de 1 1000 dollars américains (une récompense équivaut à 7 XNUMX dollars). La taille des XNUMX récompenses n’a pas encore été déterminée.

Source: opennet.ru