Chrome izdanje 93

Google je predstavio izdanje web preglednika Chrome 93. Istovremeno je dostupno stabilno izdanje besplatnog projekta Chromium koji je osnova Chromea. Preglednik Chrome odlikuje se upotrebom Google logotipa, prisutnošću sustava za slanje obavijesti u slučaju pada, modulima za reprodukciju zaštićenog video sadržaja (DRM), sustavom automatskog ažuriranja i prijenosom prilikom traženja RLZ parametara. Sljedeće izdanje Chromea 94 zakazano je za 21. rujna (razvoj je pomaknut na 4-tjedni ciklus izdavanja).

Ključne promjene u Chromeu 93:

• Moderniziran je dizajn bloka s informacijama o stranici (page info) u kojem su podržani ugniježđeni blokovi, a padajuće liste s pravima pristupa zamijenjene su prekidačima. Popisi daju izlaz najvažnijih informacija na prvom mjestu. Promjena nije omogućena za sve korisnike, možete je aktivirati pomoću postavke "chrome://flags/#page-info-version-2-desktop".
• Za mali postotak korisnika, kao eksperiment, indikator sigurne veze u adresnoj traci zamijenjen je neutralnijim i nedvostrukim simbolom (katanac je zamijenjen znakom "V"). Veze uspostavljene bez enkripcije nastavljaju prikazivati ​​indikator "nije sigurno". Razlog za zamjenu indikatora je taj što mnogi korisnici povezuju indikator zaključavanja s činjenicom da se sadržaju stranice može vjerovati i ne doživljavaju ga kao znak šifriranja veze. Prema anketi Googlea, samo 11% korisnika razumije značenje ikone lokota.
• Na popisu nedavno zatvorenih kartica prikazuje se sadržaj zatvorenih grupa kartica (prije je popis samo prikazivao naziv grupe bez detaljnog sadržaja) s mogućnošću vraćanja cijele grupe i pojedinačnih kartica iz grupe na jednom. Značajka nije omogućena za sve korisnike, pa ćete možda morati promijeniti postavku "chrome://flags/#tab-restore-sub-menus" da biste je omogućili.
• Za poduzeća su implementirane nove postavke DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites i JavaScriptJitBlockedForSites za kontrolu načina rada bez JIT-a, koji onemogućuje JIT kompilaciju prilikom izvođenja JavaScripta (koristi se samo Ignition interpreter) i zabranjuje dodjelu izvršne memorije tijekom izvođenja koda. Onemogućavanje JIT-a može biti korisno za poboljšanje sigurnosti rada s potencijalno opasnim web aplikacijama po cijenu smanjenja performansi izvršavanja JavaScripta za oko 17%. Važno je napomenuti da je Microsoft otišao još dalje i implementirao eksperimentalni način rada "Super Duper Secure" u pregledniku Edge, koji korisniku omogućuje da onemogući JIT i aktivira mehanizme zaštite hardvera koji nisu kompatibilni s JIT-om CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code). Guard) i CFG (Control Flow Guard) za procese koji obrađuju web sadržaj. Ako se eksperiment pokaže uspješnim, možemo očekivati ​​da će biti prebačen u glavni sastav Chromea.
• Stranica nove kartice pruža popis najtraženijih dokumenata spremljenih na Google disku. Sadržaj popisa odgovara odjeljku Prioritet na drive.google.com. Možete koristiti postavke "chrome://flags/#ntp-modules" i "chrome://flags/#ntp-drive-module" za upravljanje prikazom sadržaja Google diska.
• Stranica nove kartice ima nove informacijske kartice koje vam pomažu pronaći nedavno pregledani sadržaj i povezane informacije. Karte su osmišljene kako bi olakšale nastavak rada s informacijama koje su bile prekinute, primjerice, karte će vam pomoći da pronađete recept za jelo koje ste nedavno pronašli na internetu, ali ste ga izgubili nakon zatvaranja stranice ili da nastavite kupovati u trgovinama. Kao eksperiment, korisnicima su ponuđene dvije nove karte: "Recepti" (chrome://flags/#ntp-recipe-tasks-module) za traženje recepata i prikaz nedavno pregledanih recepata; "Purchases" (chrome://flags/#ntp-chrome-cart-module) za podsjetnike na odabrane proizvode u online trgovinama.
• Dodana izborna podrška za Android verziju trake za kontinuirano pretraživanje (chrome://flags/#continuous-search) kako bi nedavni rezultati Google pretraživanja bili vidljivi (traka nastavlja prikazivati ​​rezultate nakon navigacije na druge stranice).
• Verziji za Android dodan je eksperimentalni način razmjene citata (chrome://flags/#webnotes-stylize) koji omogućuje spremanje odabira u obliku citata i dijeljenje s drugim korisnicima.
• Kod objavljivanja novih dodataka ili ažuriranja verzije u Chrome web-trgovini sada je potrebna dvostruka provjera programera.
• Korisnici Google računa imaju opciju spremanja podataka o plaćanju na svoj Google račun.
• U anonimnom načinu rada, ako je opcija brisanja navigacijskih podataka aktivirana, implementiran je novi dijaloški okvir za potvrdu operacije, koji objašnjava da će brisanje podataka zatvoriti prozor i prekinuti sve sesije u anonimnom načinu rada.
• Zbog identificiranih nekompatibilnosti s firmverom nekih uređaja, podrška za novu metodu dogovora ključa dodana je u Chromeu 91, otporna na odabir na kvantnim računalima, na temelju upotrebe proširenja CECPQ1.3 (Kombinirana eliptična krivulja i post-kvantna 2) u TLSv2, koji kombinira klasični X25519 mehanizam za razmjenu ključeva sa HRSS shemom temeljenom na NTRU Prime algoritmu razvijenom za postkvantne kriptosustave.
• Portovi 989 (ftps-data) i 990 (ftps) dodani su na popis zabranjenih mrežnih portova kako bi se blokirao napad ALPACA. Prethodno su priključci 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 i 10080 već bili blokirani radi zaštite od NAT slipstreaming napada.
• TLS je ukinuo podršku za šifre temeljene na 3DES algoritmu. Konkretno, uklonjen je paket šifri TLS_RSA_WITH_3DES_EDE_CBC_SHA, podložan napadu Sweet32.
• Distribucija Ubuntua 16.04 je prekinuta.
• Omogućena je mogućnost korištenja WebOTP API-ja između različitih uređaja povezanih putem zajedničkog Google računa. WebOTP omogućuje web aplikaciji čitanje jednokratnih kodova za provjeru poslanih putem SMS-a. Predložena promjena omogućuje primanje kontrolnog koda na mobilni uređaj s Chromeom za Android i njegovu primjenu na stolnom sustavu.
• Proširen API savjeta za korisničke agente, razvijen kao zamjena za zaglavlje korisničkog agenta. User-Agent Client Hints omogućuje organiziranje selektivnog vraćanja podataka o određenim preglednicima i parametrima sustava (verzija, platforma itd.) samo nakon zahtjeva poslužitelja. Korisnik, zauzvrat, može odrediti koje se informacije mogu dati vlasnicima stranica. Kada koristite savjete klijenta korisničkog agenta, identifikator preglednika ne prosljeđuje se bez eksplicitnog zahtjeva, a prema zadanim su postavkama navedeni samo osnovni parametri, što otežava pasivnu identifikaciju.

  Nova verzija podržava parametar Sec-CH-UA-Bitness za vraćanje podataka o bitnosti platforme, koji se mogu koristiti za vraćanje optimiziranih binarnih datoteka. Prema zadanim postavkama, parametar Sec-CH-UA-Platforma šalje se s općim podacima o platformi. U vrijednosti UADataValues ​​koja se vraća prilikom pozivanja getHighEntropyValues(), prema zadanim postavkama implementira se vraćanje generičkih parametara ako nije moguće vratiti detaljnu verziju. Objektu NavigatorUAData dodana je metoda toJSON, koja omogućuje korištenje konstrukcija JSON.stringify(navigator.userAgentData).

• Sposobnost pakiranja resursa u pakete formata Web Bundle stabilizirana je i ponuđena prema zadanim postavkama, prikladna za organiziranje učinkovitijeg učitavanja velikog broja povezanih datoteka (CSS stilovi, JavaScript, slike, iframes). Među nedostacima u postojećoj paketnoj podršci za JavaScript datoteke (webpack) koje Web Bundle pokušava ukloniti: sam paket se može smjestiti u HTTP predmemoriju, ali ne i njegovi sastavni dijelovi; kompilacija i izvođenje mogu započeti tek nakon što je paket u potpunosti preuzet; dodatni resursi kao što su CSS i slike moraju biti kodirani kao JavaScript nizovi, što rezultira povećanjem veličine i još jednim korakom analize.
• Omogućen WebXR Plane Detection API, koji pruža informacije o ravnim površinama u 3D virtualnom okruženju. Navedeni API omogućuje bez resursno intenzivne obrade podataka primljenih putem MediaDevices.getUserMedia() poziva, koristeći naše vlastite implementacije algoritama strojnog vida. Podsjetimo da WebXR API omogućuje objedinjavanje rada s različitim klasama uređaja virtualne stvarnosti, od stacionarnih 3D kaciga do rješenja temeljenih na mobilnim uređajima.
• Nekoliko novih API-ja dodano je načinu Origin Trials (eksperimentalne značajke koje zahtijevaju zasebnu aktivaciju). Origin Trial podrazumijeva mogućnost rada s navedenim API-jem iz aplikacija preuzetih s localhosta ili 127.0.0.1, ili nakon registracije i primanja posebnog tokena koji vrijedi ograničeno vrijeme za određenu stranicu.
  • Predložen je API za postavljanje prozora na više zaslona koji vam omogućuje postavljanje prozora na bilo koji zaslon povezan s trenutnim sustavom, kao i spremanje položaja prozora i, ako je potrebno, proširenje prozora na cijeli zaslon. Na primjer, pomoću navedenog API-ja, prezentacijska web aplikacija može prikazati slajdove na jednom zaslonu i prikazati bilješku za izlagača na drugom.
  • Zaglavlje Cross-Origin-Embedder-Policy, koje kontrolira način izolacije Cross-Origin i omogućuje vam definiranje sigurnih pravila korištenja na stranici s povlaštenim operacijama, sada podržava parametar "bez vjerodajnica" za onemogućavanje prijenosa informacija povezanih s vjerodajnicama, kao što su kolačiće i certifikate klijenata.
  • Za samostalne web-aplikacije (PWA, progresivne web-aplikacije) koje upravljaju prikazivanjem sadržaja prozora i unosom procesa, osiguran je sloj s kontrolama prozora, poput naslovne trake i gumba za proširivanje/sažimanje prozora. Prekrivanje proširuje područje za uređivanje na cijeli prozor i omogućuje vam dodavanje vlastitih elemenata u područje naslova.
  • Dodana je mogućnost stvaranja PWA aplikacija koje se mogu koristiti kao rukovatelji URL-ovima. Na primjer, aplikacija music.example.com može se registrirati kao rukovatelj URL-om https://*.music.example.com i svi prijelazi iz vanjskih aplikacija koje slijede ove veze, na primjer, iz programa za instant poruke i klijenata e-pošte, vodit će otvaranju ove PWA- aplikacije, a ne nove kartice preglednika.
• Omogućena je mogućnost učitavanja CSS datoteka pomoću naredbe "import", slično učitavanju JavaScript modula, što je zgodno pri stvaranju vlastitih elemenata i eliminira potrebu za dodjeljivanjem stilova JavaScript kodu. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [list]; shadowRoot.adoptedStyleSheets = [list];
• Omogućena je nova statička metoda AbortSignal.abort() koja vraća AbortSignal objekt koji već ima prekinuti skup parametara. Umjesto nekoliko redaka koda za stvaranje AbortSignal objekta u prekinutom stanju, sada to možete učiniti s jednom linijom "return AbortSignal.abort()".
• Podrška za ključne riječi start, end, self-start, self-end, left i right dodana je elementu Flexbox, koji nadopunjuje ključne riječi center, flex-start i flex-end alatima za lakše usklađivanje položaja fleksibilnih predmeta.
• Error() konstruktor ima novo izborno svojstvo "uzrok" koje se može koristiti za jednostavno međusobno povezivanje pogrešaka. const parentError = nova pogreška('roditelj'); const error = new Error('parent', { uzrok: parentError }); console.log(error.cause === parentError); // → istina
• Podrška za način noplaybackrate dodana je svojstvu HTMLMediaElement.controlsList, koje vam omogućuje da onemogućite elemente sučelja koje se nalazi u pregledniku za promjenu brzine reprodukcije multimedijskog sadržaja.
• Dodano je zaglavlje Sec-CH-Prefers-Color-Scheme, koje u fazi slanja zahtjeva omogućuje prijenos podataka o preferiranoj shemi boja korisnika koja se koristi u medijskim upitima "prefers-color-scheme", što će web stranici omogućiti optimizirati učitavanje CSS-a povezanog s odabranom shemom i izbjeći vidljive prekidače s drugih grafikona.
• Dodano je svojstvo Object.hasOwn, koje je pojednostavljena verzija Object.prototype.hasOwnProperty implementirano kao statička metoda. Object.hasOwn({ prop: 42 }, 'prop') // → istina
• Dizajniran za vrlo brzu grubu kompilaciju, Sparkplug JIT kompajler je dodao način grupnog izvođenja kako bi se smanjilo opterećenje prebacivanja memorijskih stranica između načina pisanja i rada. Sparkplug sada kompilira više funkcija odjednom i poziva mprotect jednom za promjenu dopuštenja cijele grupe. Predloženi način značajno smanjuje vrijeme kompilacije (do 44%) bez negativnog utjecaja na performanse izvršavanja JavaScripta.
• Verzija za Android onemogućuje mehanizme zaštite ugrađene u V8 motor od napada trećih strana, kao što je Spectre, za koje se smatra da nisu tako učinkoviti kao izoliranje stranica u odvojenim procesima. U verziji za stolna računala ti su mehanizmi bili onemogućeni još u izdanju Chromea 70. Onemogućavanje nepotrebnih provjera omogućilo nam je povećanje performansi za 2-15%.
• Učinjena su poboljšanja alata za web programere. U načinu pregleda lista stilova omogućena je mogućnost uređivanja zahtjeva generiranih pomoću izraza @container. U načinu mrežnog pregleda implementiran je pregled resursa u formatu web paketa. U web konzoli, opcije su dodane u kontekstni izbornik za kopiranje nizova u obliku JavaScript ili JSON literala. Pojednostavljeno je otklanjanje pogrešaka povezanih s CORS-om (Cross-Origin Resource Sharing).

Uz inovacije i ispravke grešaka, u novoj verziji ispravljeno je 27 ranjivosti. Mnoge od ranjivosti identificirane su kao rezultat automatiziranih alata za testiranje AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nisu identificirani kritični problemi koji omogućuju zaobilaženje svih razina zaštite preglednika i izvršavanje koda u sustavu izvan okruženja sandboxa. U sklopu Vulnerability Bounty programa za trenutno izdanje, Google je isplatio 19 nagrada u ukupnom iznosu od 136500 USD (tri nagrade od 20000 USD, jedna nagrada od 15000 USD, tri nagrade od 10000 USD, jedna nagrada od 7500 USD, tri nagrade od 5000 USD i tri nagrade od 3000 USD). Iznos od 5 nagrada još nije određen.

Izvor: opennet.ru