Versión de Chrome 93

Google presentou a versión do navegador web Chrome 93. Ao mesmo tempo, está dispoñible unha versión estable do proxecto Chromium gratuíto, que serve como base de Chrome. O navegador Chrome distínguese polo uso de logotipos de Google, a presenza dun sistema de envío de notificacións en caso de fallo, módulos para reproducir contido de vídeo protexido (DRM), un sistema de instalación automática de actualizacións e transmisión de parámetros RLZ durante a busca. A próxima versión de Chrome 94 está programada para o 21 de setembro (o desenvolvemento foi trasladado a un ciclo de lanzamento de 4 semanas).

Cambios clave en Chrome 93:

• Modernizouse o deseño do bloque con información da páxina (información da páxina), no que se implantou o soporte para bloques anidados e substituíronse as listas despregables con dereitos de acceso por interruptores. As listas garanten que a información máis importante se mostra primeiro. O cambio non está activado para todos os usuarios; para activalo, podes usar a configuración "chrome://flags/#page-info-version-2-desktop".
• Para unha pequena porcentaxe de usuarios, como experimento, o indicador de conexión segura na barra de enderezos foi substituído por un símbolo máis neutro que non provoca dobre interpretación (o bloqueo foi substituído por un signo "V"). Para conexións establecidas sen cifrado, o indicador "non seguro" segue amosándose. O motivo citado para substituír o indicador é que moitos usuarios asocian o indicador de cadeado co feito de que se pode confiar no contido do sitio, en lugar de velo como un sinal de que a conexión está cifrada. A xulgar por unha enquisa de Google, só o 11% dos usuarios entende o significado da icona cun bloqueo.
• A lista de pestanas pechadas recentemente mostra agora o contido dos grupos pechados de pestanas (anteriormente a lista simplemente mostraba o nome do grupo sen detallar o contido) coa posibilidade de devolver tanto o grupo completo como as pestanas individuais do grupo á vez. A función non está habilitada para todos os usuarios, polo que é posible que teñas que cambiar a configuración "chrome://flags/#tab-restore-sub-menus" para activala.
• Para as empresas, implementáronse novas configuracións: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites e JavaScriptJitBlockedForSites, que permiten controlar o modo sen JIT, que desactiva o uso da compilación JIT ao executar JavaScript (só se utiliza o intérprete Ignition) e prohibe a asignación de ficheiros executables. memoria durante a execución do código. Desactivar JIT pode ser útil para mellorar a seguridade de traballar con aplicacións web potencialmente perigosas a costa de reducir o rendemento da execución de JavaScript nun 17 % aproximadamente. Cabe destacar que Microsoft foi aínda máis lonxe e implementou un modo experimental "Super Duper Secure" no navegador Edge, que permite ao usuario desactivar JIT e activar mecanismos de seguridade de hardware non compatibles con JIT CET (Controlflow-Enforcement Technology), ACG (Arbitrary). Code Guard) e CFG (Control Flow Guard) para procesos que procesan contido web. Se o experimento resulta ser exitoso, podemos esperar que se transfira á parte principal de Chrome.
• A páxina da nova pestana ofrece unha lista dos documentos máis populares gardados en Google Drive. O contido da lista corresponde á sección Prioridade en drive.google.com. Para controlar a visualización do contido de Google Drive, podes usar as opcións de configuración "chrome://flags/#ntp-modules" e "chrome://flags/#ntp-drive-module".
• Engadíronse novas tarxetas de información á páxina Abrir nova pestana para axudarche a atopar o contido visto recentemente e a información relacionada. As tarxetas están deseñadas para que sexa máis doado seguir traballando coa información cuxa visualización foi interrompida, por exemplo, as tarxetas axudarano a atopar unha receita dun prato que se atopou recentemente en liña pero que se perdeu despois de pechar a páxina ou a seguir elaborando compras en tendas. Como experimento, ofrécense aos usuarios dous novos mapas: "Receitas" (chrome://flags/#ntp-recipe-tasks-module) para buscar receitas culinarias e mostrar receitas vistas recentemente; "Compras" (chrome://flags/#ntp-chrome-cart-module) para recordatorios sobre produtos seleccionados nas tendas en liña.
• A versión de Android engade compatibilidade opcional para un panel de busca continua (chrome://flags/#continuous-search), que che permite manter visibles os resultados recentes da busca de Google (o panel segue mostrando resultados despois de pasar a outras páxinas).
• Engadiuse un modo experimental para compartir citas á versión de Android (chrome://flags/#webnotes-stylize), que che permite gardar un fragmento seleccionado dunha páxina como cita e compartilo con outros usuarios.
• Cando se publiquen novas incorporacións ou actualizacións de versións na Chrome Web Store, agora é necesaria a verificación do programador en dous factores.
• Os usuarios da conta de Google teñen a opción de gardar a información de pago na súa conta de Google.
• No modo de incógnito, se a opción para borrar os datos de navegación está activada, implementouse un novo diálogo de confirmación da operación, que explica que borrar os datos pechará a xanela e finalizará todas as sesións no modo de incógnito.
• Debido ás incompatibilidades identificadas co firmware dalgúns dispositivos, engadiuse a compatibilidade co novo método de acordo de claves en Chrome 91, resistente ás adiviñas en ordenadores cuánticos, baseado no uso da extensión CECPQ1.3 (Combined Elliptic-Curve and Post-Quantum 2) en TLSv2, que combina un mecanismo clásico de intercambio de claves X25519 cun esquema HRSS baseado no algoritmo NTRU Prime deseñado para criptosistemas poscuánticos.
• Os portos 989 (ftps-data) e 990 (ftps) engadíronse ao número de portos de rede prohibidos para bloquear o ataque ALPACA. Anteriormente, para protexerse contra ataques de slipstreaming NAT, xa estaban bloqueados os portos 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080.
• TLS xa non admite cifrados baseados no algoritmo 3DES. En particular, eliminouse a suite de cifrado TLS_RSA_WITH_3DES_EDE_CBC_SHA, que é susceptible ao ataque Sweet32.
• O soporte para Ubuntu 16.04 foi descontinuado.
• É posible utilizar a API WebOTP entre distintos dispositivos conectados a través dunha conta común de Google. WebOTP permite que unha aplicación web lea códigos de verificación únicos enviados por SMS. O cambio proposto permite recibir un código de verificación nun dispositivo móbil con Chrome para Android e aplicalo nun sistema de escritorio.
• A API User-Agent Client Hints foi ampliada, desenvolvida como substitución da cabeceira User-Agent. As suxestións de cliente do axente de usuario permítenche organizar a entrega selectiva de datos sobre parámetros específicos do navegador e do sistema (versión, plataforma, etc.) só despois dunha solicitude do servidor. O usuario, pola súa banda, pode determinar que información se pode proporcionar aos propietarios do sitio. Cando se usan as suxestións de cliente de axente de usuario, o identificador do navegador non se transmite sen unha solicitude explícita e, por defecto, só se especifican os parámetros básicos, o que dificulta a identificación pasiva.

  A nova versión admite o parámetro Sec-CH-UA-Bitness para devolver datos sobre o bitness da plataforma, que se poden usar para servir ficheiros binarios optimizados. Por defecto, o parámetro Sec-CH-UA-Platform envíase con información xeral da plataforma. O valor UADataValues ​​devolto ao chamar a getHighEntropyValues() implícase por defecto para devolver parámetros xeneralizados se é imposible devolver unha opción detallada. Engadiuse o método toJSON ao obxecto NavigatorUAData, o que che permite usar construcións como JSON.stringify(navigator.userAgentData).

• Estabilizouse e ofrécese por defecto a capacidade de empaquetar recursos en paquetes no formato Web Bundle, axeitado para organizar a carga máis eficiente dun gran número de ficheiros acompañantes (estilos CSS, JavaScript, imaxes, iframes). Entre as deficiencias do soporte existente para paquetes para ficheiros JavaScript (webpack), que o Web Bundle está tentando eliminar: o paquete en si, pero non os seus compoñentes, pode acabar na caché HTTP; a compilación e execución só poden comezar despois de que o paquete fose completamente descargado; Os recursos adicionais como CSS e imaxes deben codificarse en forma de cadeas JavaScript, o que aumenta o tamaño e require outro paso de análise.
• Inclúese a API de detección de planos WebXR, que ofrece información sobre superficies planas nun ambiente 3D virtual. A API especificada fai posible evitar o procesamento intensivo de recursos dos datos obtidos mediante a chamada MediaDevices.getUserMedia(), utilizando implementacións propietarias de algoritmos de visión por ordenador. Lembrámosche que a API de WebXR permíteche unificar o traballo con varias clases de dispositivos de realidade virtual, desde cascos 3D estacionarios ata solucións baseadas en dispositivos móbiles.
• Engadíronse varias API novas ao modo Origin Trials (funcións experimentais que requiren unha activación separada). Origin Trial implica a capacidade de traballar coa API especificada desde aplicacións descargadas desde localhost ou 127.0.0.1, ou despois de rexistrarse e recibir un token especial que é válido por un tempo limitado para un sitio específico.
  • Propúxose a API Multi-Screen Window Placement, que permite colocar fiestras en calquera pantalla conectada ao sistema actual, así como gardar a posición da xanela e, se é necesario, ampliar a xanela á pantalla completa. Por exemplo, usando a API especificada, unha aplicación web para mostrar unha presentación pode organizar a visualización de diapositivas nunha pantalla e mostrar unha nota para o presentador noutra.
  • A cabeceira Cross-Origin-Embedder-Policy, que controla o modo de illamento Cross-Origin e permite definir regras de uso seguras na páxina Operacións con privilexios, agora admite un parámetro "sen credenciais" para desactivar a transmisión de información relacionada coas credenciais, como Cookies e certificados de cliente.
  • Para as aplicacións web autónomos (PWA, Progressive Web Apps) que controlan a representación do contido da xanela e xestionan a entrada, ofrécese unha superposición con controis de xanela, como unha barra de título e botóns para expandir/contraer. Unha superposición estende a área editable para cubrir toda a xanela e permítelle engadir os seus propios elementos á área do título.
  • Engadida a posibilidade de crear aplicacións PWA que se poden usar como controladores de URL. Por exemplo, a aplicación music.example.com pode rexistrarse como un controlador de URL https://*.music.example.com e todas as transicións de aplicacións externas que utilicen estas ligazóns, por exemplo, de mensaxería instantánea e clientes de correo electrónico, levarán a cabo á apertura destas aplicacións PWA, non unha nova pestana do navegador.
• É posible cargar ficheiros CSS mediante a expresión "importar", de forma similar á carga de módulos JavaScript, o que é conveniente á hora de crear os seus propios elementos e permite prescindir de asignar estilos mediante código JavaScript. importar folla desde './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [folla]; shadowRoot.adoptedStyleSheets = [folla];
• Proporcionouse un novo método estático, AbortSignal.abort(), que devolve un obxecto AbortSignal que xa se definiu como abortado. En lugar de varias liñas de código para crear un obxecto AbortSignal no estado abortado, agora podes saír adiante cunha única liña de "return AbortSignal.abort()".
• O elemento Flexbox engadiu soporte para as palabras clave de inicio, final, autoinicio, autofin, esquerda e dereita, complementando as palabras clave de centro, inicio flexible e final flexible con ferramentas para o aliñamento simplificado da posición dos elementos flexibles.
• O construtor Error() implementa unha nova propiedade opcional "causa", que permite asociar erros facilmente entre si. const parentError = new Erro ('pai'); const error = new Erro ('pai', { causa: parentError }); console.log(error.cause === parentError); // → verdadeiro
• Engadiuse compatibilidade para o modo noplaybackrate á propiedade HTMLMediaElement.controlsList, que permite desactivar elementos da interface proporcionados no navegador para cambiar a velocidade de reprodución de contido multimedia.
• Engadiuse a cabeceira Sec-CH-Prefers-Color-Scheme, que permite, na fase de envío da solicitude, transmitir datos sobre o esquema de cores preferido do usuario usado nas consultas multimedia "prefers-color-scheme", o que permitirá ao sitio optimizar a carga de CSS asociado ao esquema seleccionado e evitar cambios visibles doutros esquemas.
• Engadiuse a propiedade Object.hasOwn, que é unha versión simplificada de Object.prototype.hasOwnProperty, implementada como método estático. Object.hasOwn({ prop: 42 }, 'prop') // → verdadeiro
• Deseñado para unha compilación de forza bruta moi rápida, o compilador JIT de Sparkplug engadiu un modo de execución por lotes para reducir a sobrecarga de cambiar páxinas de memoria entre os modos de escritura e execución. Sparkplug agora compila varias funcións á vez e chama a mprotect unha vez para cambiar os permisos de todo o grupo. O modo proposto reduce significativamente o tempo de compilación (ata un 44 %) sen afectar negativamente o rendemento da execución de JavaScript.
• A versión de Android desactiva a protección integrada do motor V8 contra ataques de canle lateral como Spectre, que non se consideran tan eficaces como illar sitios en procesos separados. Na versión de escritorio, estes mecanismos desactiváronse na versión de Chrome 70. A desactivación das comprobacións innecesarias permitiu aumentar o rendemento nun 2-15%.
• Realizáronse melloras nas ferramentas para desenvolvedores web. No modo de inspección da folla de estilo, é posible editar as consultas xeradas mediante a expresión @container. No modo de inspección de rede, implícase unha vista previa dos recursos no formato de paquete web. Na consola web, engadíronse ao menú contextual opcións para copiar cadeas en forma de literais JavaScript ou JSON. Mellorouse a depuración de erros relacionados con CORS (Compartimento de recursos entre orixes).

Ademais de innovacións e correccións de erros, a nova versión elimina 27 vulnerabilidades. Moitas das vulnerabilidades identificáronse como resultado de probas automatizadas mediante as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non se identificaron problemas críticos que permitan ignorar todos os niveis de protección do navegador e executar código no sistema fóra do entorno sandbox. Como parte do programa para pagar recompensas en metálico por descubrir vulnerabilidades para a versión actual, Google pagou 19 premios por valor de 136500 dólares (tres premios de 20000 dólares, un premio de 15000 dólares, tres premios de 10000 dólares, un premio de 7500 dólares, tres premios de 5000 dólares e tres premios). O tamaño das 3000 recompensas aínda non se determinou.

Fonte: opennet.ru