Tvrtka Google predstavila je izdanje web preglednika Chrome 103. Istovremeno, dostupan je stabilni izdanje slobodnog projekta Chromium, koji je temelj Chromea. Preglednik Chrome se razlikuje od Chromiuma korištenjem Googleovih logotipa, sustavom slanja obavijesti u slučaju pada, modulima za reprodukciju zaštićenog od kopiranja video sadržaja (DRM), sustavom automatskog instaliranja ažuriranja, stalnim uključivanjem Sandbox izolacije, isporukom ključeva za Google API i prijenosom RLZ parametara prilikom pretraživanja. Za one kojima je potrebno više vremena za ažuriranje, odvojeno se podržava grana Extended Stable, koja traje 8 tjedana. Sljedeće izdanje Chrome 104 planirano je za 2. kolovoza.
Glavne promjene u Chrome 103:
- Dodana je eksperimentalna alatna traka za uređivanje slika, koja se poziva za uređivanje snimaka zaslona stranica. U alatnoj traci dostupne su funkcije kao što su obrezivanje, odabir područja, crtanje kistom, odabir boje, dodavanje tekstualnih oznaka i iscrtavanje tipičnih oblika i primitva poput linija, pravokutnika, krugova i strelica. Za uključivanje alatne trake potrebno je aktivirati postavke „chrome://flags/#sharing-desktop-screenshots” i „chrome://flags/#sharing-desktop-screenshots-edit”. Nakon što se snimi snimak zaslona putem izbornika Share u adresnoj traci, alatna traka se može otvoriti pritiskom na gumb „Uredi” na stranici s pregledom snimke.
- Proširene su mogućnosti mehanizma unaprijed pripreme (prerender) sadržaja preporuka u adresnoj traci Omnibox, koji je dodan u Chrome 101. Unaprijed priprema dopunjuje prethodno dostupnu mogućnost učitavanja najvjerojatnijih preporuka za prelazak bez čekanja na klik korisnika. Osim učitavanja, sadržaj povezanih stranica s preporukama sada može biti pripremljen u međuspremniku (uključujući izvršavanje skripti i oblikovanje DOM stabla), što omogućuje trenutno prikazivanje preporuka nakon klika. Za upravljanje unaprijed pripremom predložene su postavke „chrome://flags/#enable-prerender2”, „chrome://flags/#omnibox-trigger-for-prerender2” i „chrome://flags/#search-suggestion-for-prerender2”.
U Chrome 103 za Android dodan je API Speculations Rules, koji omogućuje autorima web stranica da prenose pregledniku informacije o najvjerojatnijim stranicama na koje korisnik može preći. Preglednik koristi te informacije za proaktivno učitavanje i renderiranje sadržaja stranica.
- U verziji za Android implementiran je novi upravitelj lozinki, koji nudi isti jedinstveni sučelje za upravljanje lozinkama kao i za Android aplikacije.
- U verziju za Android dodana je podrška za uslugu 'With Google', koja korisnicima omogućuje izražavanje zahvalnosti omiljenim web stranicama registriranim u toj usluzi, slanjem plaćenih ili besplatnih digitalnih naljepnica. Usluga je trenutno dostupna samo korisnicima iz SAD-a.
- Poboljšano je automatsko popunjavanje polja s brojevima kreditnih i debitnih kartica, koje sada podržava kartice spremljene putem Google Pay-a.
- U verziji za Windows zadano je aktiviran ugrađeni DNS klijent, koji se također koristi u verzijama za macOS, Android i Chrome OS.
- Stabiliziran je i dostupan svima API Local Font Access, putem kojeg je moguće identificirati i koristiti fontove instalirane u sustavu, kao i manipulirati fontovima na niskoj razini (npr. filtrirati i transformirati glifove).
- Dodana je podrška za HTTP odgovor 103, koji omogućuje obavještavanje klijenta o sadržaju određenih HTTP zaglavlja odmah nakon zahtjeva, ne čekajući da server završite sve operacije povezane s zahtjevom i započnete slanje sadržaja. Na sličan način mogu se pružiti savjeti o elementima povezanim s isporučenom stranicom koji se mogu prethodno učitati (npr. mogu se navesti poveznice na korištene CSS i JavaScript na stranici). Primajući informacije o takvim resursima, preglednik može početi s njihovim učitavanjem ne čekajući završetak isporuke glavne stranice, što omogućuje smanjenje ukupnog vremena obrade zahtjeva.
- U režimu Origin Trials (eksperimentalne mogućnosti koje zahtijevaju zasebno aktiviranje) započelo je testiranje API-ja Federated Credential Management (FedCM) u izdanjima za Android, što omogućava stvaranje spojenih usluga identifikacije koje osiguravaju privatnost i rade bez mehanizama međusiteskog praćenja kao što je obrada vanjskih kolačića. Origin Trial omogućuje korištenje navedenog API-ja iz aplikacija preuzetih s localhost ili 127.0.0.1, ili nakon registracije i dobivanja posebnog tokena koji važi ograničeno vrijeme za određenu stranicu.
- U API-ju Client Hints, koji se razvija kao zamjena za zaglavlje User-Agent, omogućava selektivno davanje podataka o konkretnim parametrima preglednika i sustava (verzija, platforma itd.) samo na zahtjev. serverom, dodana je mogućnost umetanja fiktivnih imena u popis identifikatora preglednika, po uzoru na mehanizam GREASE (Generate Random Extensions And Sustain Extensibility) korišten u TLS-u. Na primjer, pored '"Chrome"; v="103"' i '"Chromium"; v="103"' u popis se može dodati slučajni identifikator nepostojećeg preglednika '"(Not;Browser"; v="12"'. Takvo umetanje će omogućiti uočavanje problema s obradom identifikatora nepoznatih preglednika, što dovodi do toga da alternativni preglednici moraju pretvarati se u druge popularne preglednike kako bi zaobišli provjeru putem popisa dopuštenih preglednika.
- Datoteke u AVIF formatu slika uključene su u popis dozvoljenih za dijeljenje putem API-ja iWeb Share.
- Dodana je podrška za format kompresije 'deflate-raw', koji omogućuje pristup sirovom komprimiranom toku bez zaglavlja i servisnih finalnih blokova, što se može koristiti, na primjer, za čitanje i pisanje zip-datoteka.
- Za elemente web-formi omogućena je upotreba atributa 'rel', što omogućuje primjenu parametra 'rel=noreferrer' za isključivanje slanja zaglavlja Referer ili 'rel=noopener' za isključivanje svojstva Window.opener i zabranu pristupa kontekstu iz kojeg je izvršen prijelaz.
- Implementacija događaja popstate usklađena je s ponašanjem Firefoxa. Događaj popstate sada se generira odmah nakon promjene URL-a bez čekanja na događaj load.
- Za stranice otvorene bez HTTPS-a i iz iframe blokova zabranjen je pristup API-ju Gamepad i API-ju Battery Status.
- Objekt SerialPort dobio je metodu forget() za odricanje prethodno dodijeljenih dopuštenja za pristup serijskom portu.
- U CSS svojstvo overflow-clip-margin dodat je atribut visual-box koji određuje od kojeg mjesta treba započeti obrezivanje sadržaja koji izlazi izvan okvira (može imati vrijednosti content-box, padding-box i border-box).
- U iframe blokovima s atributom sandbox zabranjeno je pozivanje vanjskih protokola i pokretanje vanjskih aplikacija. Za ukidanje ograničenja treba koristiti svojstva allow-popups, allow-top-navigation i allow-top-navigation-with-user-activation.
- Podrška za element je prekinuta, koji je izgubio smisao nakon prestanka podrške za dodatke.
- Unesena su poboljšanja u alatima za web programere. Na primjer, u panelu Styles dodana je mogućnost određivanja boje točke izvan prozora preglednika. Poboljšan je pregled vrijednosti parametara u debuggeru. Dodana je mogućnost promjene redoslijeda panela u sučelju Elements.
Osim novih značajki i ispravka grešaka, nova verzija je otklonila 14 ranjivosti. Mnoge od ranjivosti su otkrivene putem automatiziranog testiranja alatima kao što su AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Jednom problemu (CVE-2022-2156) dodijeljena je kritična razina opasnosti koja omogućuje zaobilaženje svih razina zaštite preglednika i izvršavanje koda u sustavu izvan sandbox okruženja. Detalji o toj ranjivosti za sada nisu otkriveni, poznato je samo da je uzrokovana pristupom oslobođenom bloku memorije (use-after-free).
U okviru programa za isplatu novčanih nagrada za otkrivanje ranjivosti, kompanija Google isplatila je 9 nagrada u ukupnom iznosu od 44 tisuće dolara (jedna nagrada $20000, jedna nagrada $7500, jedna nagrada $7000, dvije nagrade $3000 i po jedna nagrada od $2000, $1000 i $500). Iznos nagrade za kritičnu ranjivost još nije određen.
Izvor: opennet.ru
