Chrome 80 kiadása

A Google vállalat bemutatta webböngésző kiadása Chrome 80. Egyszerre elérhető stabil kiadás egy nyílt projekt alapja Chromium, amely a Chrome alapjául szolgál. A Chrome böngésző különbözik a Google logóinak használatával, a leállás esetén küldött értesítési rendszerével, a Flash modul kérés szerinti betöltésével, a védett videóanyagok (DRM) lejátszásához szükséges modulokkal, az automatikus frissítések telepítési rendszerével és a keresés során történő átvitelével RLZ-paraméterekA Chrome 81 következő verziója március 17-ére van ütemezve.

Fő változások be. Chrome 80:

• A felhasználók kis százaléka számára bevezetésre került egy fülek csoportosítását lehetővé tévő funkció, amely lehetővé teszi több, hasonló céllal rendelkező fül vizuálisan elkülönített csoportokba való összegyűjtését. Minden csoporthoz saját színt és nevet lehet hozzárendelni. A felhasználók, akik nem kerültek az első aktiválási hullámba, a "chrome://flags/#tab-groups" opcióval engedélyezhetik a csoportosítás támogatását.
  
• Hozzáadva a funkció támogatása Scroll-To-Text, amely lehetővé teszi, hogy hivatkozásokat hozzunk létre külön szavakra vagy kifejezésekre, anélkül hogy a dokumentumban kifejezett címkézést kellene végezni "a name" tag segítségével vagy az "id" tulajdonsággal. Az ilyen hivatkozások szintaxisának web-standardként való megerősítése folyamatban van, amely jelenleg draft. A hivatkozás maszkja (tulajdonképpen görgetéses keresést hajt végre) a szokásos horgonyt az "~:" jellel különbözteti meg. Például, ha megnyitjuk a "https://opennet.ru/52312/#:~:text=Chromе" hivatkozást, az oldal a "Chromе" szó első említéséhez fog elmozdulni, és ez a szó ki lesz emelve.
• Alkalmazva lett szigorúbb korlátozást a Cookie-k átvitelére a weboldalak között, a nem HTTPS kérések esetében tiltotta a harmadik fél Cookie-k feldolgozását, amelyeket olyan weboldalakhoz való hivatkozáskor adnak meg, amelyek eltérnek az aktuális oldal domainjétől. Az ilyen Cookie-kat a felhasználó weboldalak közötti mozgásának nyomon követésére használják hirdetési hálózatok, közösségi média widgetek és web-analitikai rendszerek kódjában. Ne felejtsük el, hogy a Cookie-k átvitelének kezelésére a Set-Cookie fejléçben megadott SameSite attribútumot használják, amely alapértelmezés szerint mostantól "SameSite=Lax" értékre van beállítva, korlátozva a Cookie-k küldését inter-webes al-kérések esetén, például kérek vagy tartalom betöltése iframe-ben egy másik weboldalról. A weboldalak felülírhatják az alapértelmezett SameSite módot a Cookie beállításakor a SameSite=None érték kifejezett megadásával. Fontos, hogy a SameSite=None érték csak Secure módban állítható be (HTTPS kapcsolatokra vonatkozik). A változás fokozatosan fog MITM végrehajtására, de blokkolódnak a Firefox tanúsítvány-tárolójának használatakor); kezdődni február 17-én, kezdetben a felhasználók kis százalékának, majd fokozatosan bővítve a lefedettséget.
• Hozzáadva védelme a kellemetlen értesítésektől, amelyek az engedélyek megerősítésével kapcsolatosak. Mivel az ilyen tevékenységek, például a push-értesítéseket kérő spamüzenetek megszakítják a felhasználói élményt, és elvonják a figyelmet a megerősítési párbeszédekről, a Chrome 80-ban a különálló párbeszéd helyett most egy információs tipp jelenhet meg a címsorban az engedélykérés blokkolására vonatkozó figyelmeztetéssel, amely később egy kiemelt, áthúzott harang ikonra húzódik össze. A kiemelt ikonra kattintva bármikor aktiválhatja vagy visszautasíthatja a kért engedélyt. Az új mód automatikusan csak azok számára kerül aktiválásra, akik korábban általában blokkolták az ilyen kéréseket, valamint azokra az oldalakra, ahol a kérések elutasításának magas arányát észlelik. Az összes kérés új módjának aktiválásához egy speciális opciót adtak hozzá a beállításokhoz (chrome://flags/#quiet-notification-prompts).
  
• a párhuzamos két letöltés indítása az "a" tag "download" attribútumával. felugró ablakok megjelenítése (a window.open() metódus meghívása) és szinkron XMLHttpRequest kérések küldése az oldal bezárási vagy elrejtési eseményeinek kezelői alatt (unload, beforeunload, pagehide és visibilitychange);
• Javasolt kezdeti védelem a vegyes multimédiás tartalom betöltése ellen (amikor egy HTTPS-oldalon http:// protokollon keresztül töltődnek be az erőforrások). A HTTPS-en megnyitott oldalak esetében most automatikusan cserélik az "http://" linkeket "https://"-ra a hang- és videofájlok lejátszásával kapcsolatos blokkokban. Ha a hang- vagy videoforrás nem érhető el https-en, akkor annak betöltése blokkolva lesz (kézileg jelezheti a blokkolást a címsorban található lakat szimbólumon keresztül elérhető menüben).

  A képek változatlanul továbbra is betöltődnek (az automatikus csere a Chrome 81-ben lesz alkalmazva), de a képek https-re való cseréjére vagy blokkolására a weboldal fejlesztőinek a CSP-attribútumokat, mint például upgrade-insecure-requests és block-all-mixed-content, biztosították. A szkriptek és iframe-ek esetében a vegyes tartalom blokkolása már korábban megvalósult.

• Elkezdődött a fokozatos leállítás az FTP támogatásának. Alapértelmezés szerint az FTP támogatása eddig megmarad, de lesz végrehajtva kísérlet, amelynek keretében a felhasználók egy bizonyos százalékának az FTP támogatása le lesz tiltva (az újraaktiváláshoz el kell indítani a böngészőt a „—enable-ftp” opcióval). Emlékeztetjük, hogy a korábbi kiadásokban már le lett tiltva az FTP protokollon keresztül betöltött erőforrások böngészőablakban való megjelenítése (például a HTML-dokumentumok és README fájlok megjelenítése megszűnt), tilos a beszúrási erőforrások FTP-n keresztüli betöltése a dokumentumokból, és megszűnt az FTP proxy támogatása. Azonban eddig továbbra is lehetőség volt fájlokat közvetlen linkeken keresztül letölteni és a könyvtárak tartalmát megjeleníteni.
• Hozzáadva
  lehetősége vektoros SVG-képek használatára mint a weboldal ikonjára (favicon).
• A beállításokba új lehetőség került, amely lehetővé teszi bizonyos adatátviteli típusok szelektív letiltását a böngészők közötti szinkronizálás során.
• Központilag kezelt vállalati felhasználók számára új szabály került bevezetésre BlockExternalExtensions, amely lehetővé teszi külső kiegészítők telepítésének tilalmát a készüléken.
• a parancsok lehetőség egyszeri ellenőrzés az összes JavaScript tulajdonság vagy hívás láncolatán. Például, amikor a „db.user.name.length” kifejezésre hivatkozunk, korábban lépésről lépésre kellett ellenőrizni az összes összetevő definícióját, például „if (db && db.user && db.user.name)”. Most a „?.” operátor segítségével a „db?.user?.name?.length” értékre hivatkozhatunk előzetes ellenőrzések nélkül, és ez a hivatkozás nem okoz hibát. Probléma esetén (ha bármelyik elem null vagy undefined értékkel rendelkezik) a kimeneti érték „undefined” lesz.
• A JavaScript új logikai összekapcsoló operátort javasolt „????», amely a jobb operandust adja vissza, ha a bal operandus NULL vagy undefined értéket vesz fel, és fordítva. Például, ha „const foo = bar ?? 'default string'”, ha bar null értékű, visszaadja a 'default string'-et vagy bar értékét máskülönben, beleértve a 0 és ' ' esetét is, ellentétben a „||” operátorral.
• Az Origin Trials módban (kísérleti lehetőségek, amelyek külön aktiválást igényelnek, aktiválás) bemutatásra került a Content Indexing API. Az Origin Trial lehetőséget jelent arra, hogy a megadott API-t localhost vagy 127.0.0.1-ről betöltött alkalmazásokból használják, vagy a regisztráció és egy speciális token megszerzése után, amely egy korlátozott ideig érvényes a konkrét webhelyre. Content Indexing, metaadatokat biztosít a tartalomról, amelyet korábban a Progressive Web Apps (PWA) üzemmódban futó webalkalmazások gyorsítótárba helyeztek. Az alkalmazás különböző adatokat, beleértve a képeket, videókat és cikkeket tárolhat a böngésző oldalán, és hálózati kapcsolatok hiányában ezeket az API Cache Storage és IndexedDB segítségével használhatja. A Content Indexing API lehetőséget ad az ilyen források hozzáadására, keresésére és törlésére. A böngészőben ez az API már a megtekinthető offline oldalak és multimédiás adatok listázására használatos.
  
• Stabilizálva lett, és most a Origin Trials programon kívül is elérhető az API. Kapcsolatválasztó, amely lehetővé teszi a felhasználó számára, hogy kiválasszon bejegyzéseket a címjegyzékből, és átadjon bizonyos részleteket róluk a weboldalnak. A lekérdezés során meghatározásra kerülnek azok a tulajdonságok, amelyeket meg kell kapni. Ezek a tulajdonságok egyértelműen megjelennek a felhasználó számára, aki döntést hoz arról, hogy átadja-e ezeket a tulajdonságokat vagy sem. Az API például használható egy levelező webklientben a címzettek kiválasztására egy elküldendő levélhez, egy VoIP funkcióval rendelkező webalkalmazásban egy adott számra való telefonhívás kezdeményezésére, vagy egy közösségi hálózaton a már regisztrált barátok keresésére. Az Origin Trials keretein belül néhány új Contact Picker tulajdonságot is ajánlanak: a korábban elérhető név, email és telefonszám mellett lehetővé vált a postai cím és egy kép átadása.
• Web Worker-en belül ajánlott új módszert kínál az ECMAScript modulok betöltésére, amely lehetővé teszi az importScripts() funkció alkalmazása nélküli megoldást, ami blokkolja a worker működését az importált script feldolgozása alatt, és globális kontextusban hajtja végre. Az új módszer speciális modulok létrehozását feltételezi Web Worker-ek számára, amelyek támogatják a JavaScript importálásának szabványos mechanizmusait, és dinamikusan betölthetők, anélkül, hogy blokkolnák a worker végrehajtását. A modulok betöltésére a Worker konstruktorban egy új típusú erőforrás – ‘module’ – lett bevezetve:

  const worker = new Worker(‘worker.js’, {
  type: ‘module’
  });

• a parancsok beépített lehetőség a tömörített folyamok kezelésére JavaScriptben, külső könyvtárak használata nélkül. A tömörítéshez és a kibővítéshez az API-k CompressionStream és DecompressionStreamtámogatja a gzip és deflate algoritmusokkal történő tömörítést.

  const compressionReadableStream
  = inputReadableStream.pipeThrough(new CompressionStream(‘gzip’));

• Hozzáadva a CSS tulajdonság «line-break: anywhere«, amely lehetővé teszi a töréseket bármely tipográfiai karakter szintjén, beleértve a közvetlenül a központi pontok mellett, előre definiált szóközöknél (<pre>) és szavak közepén. CSS tulajdonság is hozzáadva: «overflow-wrap: anywhere» lehetővé teszi a nem törhető karakterláncok törését bármely helyen, ha a sorban nem található megfelelő törési pozíció.
• A titkosított formátumban feldolgozott média kontextus számára megvalósították a MediaCapabilities.decodingInfo(), amely információkat nyújt a böngésző dekódolási képességeivel kapcsolatban, a védett tartalom dekódolásához kapcsolódóan (például ezt a metódust lehet használni a magas minőségű vagy energiahatékony dekódolási forgatókönyvek kiválasztásához a rendelkezésre álló sávszélesség és a képernyő mérete figyelembevételével).
• Hozzáadva a módszert HTMLVideoElement.getVideoPlaybackQuality(), amelyen keresztül információkat kaphatunk a videó lejátszásának teljesítményéről a bitráta, felbontás és egyéb videó paraméterek kiigazításához.
• Az API Payment Handler, amely megkönnyíti a létező fizetési rendszerekkel való integrációt, lehetővé tette delegálás a külső fizetési rendszerkezelőhöz cím és kapcsolattartási információk feldolgozását (a fizetési rendszer alkalmazásának pontosabb információi lehetnek, mint a böngészőnek).
• HTTP-fejlécek támogatása hozzáadva, Sec-Fetch-Dest, amely lehetővé teszi kiegészítő metaadatok küldését a kéréshez kapcsolódó tartalom típusáról (például egy img címkén keresztüli kérés esetén az „image” típust, betűtípusok esetén „font”, szkriptek esetén „script”, stílusok esetén „style” stb. jelzi). A megadott típus alapján a szerver intézkedéseket tehet bizonyos típusú támadások ellen (például valószínűtlen, hogy a pénz átutalásához kapcsolódó kezelő linkjét img címkén keresztül adják meg, így az ilyen kéréseket nem kell feldolgozni).
• A JavaScript motorban V8 optimalizálásra került a mutatók heap-beli tárolásában. A teljes 64 bites érték tárolása helyett csak az egyedi alsó bitek tárolása biztosított. Ez az optimalizáció 40%-kal csökkentette a heap memóriafogyasztást, cserébe 3-8%-os teljesítménycsökkenést eredményezett.
  
  
• Változások a webfejlesztői eszközökben:
  • A webkonzolban lehetőség van a let és class kifejezések felülírására.
    
  • Javultak a WebAssembly hibakeresési eszközök. Hozzáadott támogatás DWARF a WebAssembly-alkotó kódjában való lépésről lépésre történő hibakereséshez, töréspontok megadásához és veremnyomok elemzéséhez.
    
  • Fejlesztett hálózati aktivitás elemző panel. Lehetőség nyílt a kérések indításához kapcsolódó szkriptek hívási láncának megtekintésére.
    

    Új Path és URL oszlopok kerültek hozzáadásra, amelyek az egyes hálózati erőforrások abszolút útját és teljes URL-jét mutatják. A kiválasztott kérés kiemelése megvalósult az áttekintő diagramon.

    
  • A Hálózati feltételek fülön olyan lehetőség került hozzáadásra, amely lehetővé teszi a Felhasználó-ügynök paraméterének megváltoztatását.
    
  • Új felület javasolt az audítáló panel beállításához.
    
  • A Fedezettség választhatóvá vált a fedezeti adatok gyűjtése minden függvény vagy kódblokk számára (részletesebb statisztika, de több erőforrást igényel).
    
• Az AppCache manifesztum működése (a webalkalmazások offline üzemmódban való működéséhez kapcsolódó technológia) korlátozott az aktuális webhely könyvtárában (ha a manifeszt a www.example.com/foo/bar/-ról lett betöltve, akkor az URL felülírásának lehetősége csak a /foo/bar/-on belül érvényes). A Chrome 82 verzióban az AppCache teljes támogatásának eltávolítását tervezik. Ennek oka az egyik támadási vektor eltávolítása, amely a keresztoldali szkriptekhez kapcsolódik. Az AppCache helyett az API használata javasolt. Cache.
• Megszüntetve a WebVR 1.1 elavult API támogatása, amely helyett az API használata javasolt. WebXR Device, lehetővé téve virtuális és kiterjesztett valóság komponenseihez való hozzáférést, egységesítve a különböző típusú eszközökkel való munkát, a hagyományos VR sisakoktól kezdve a mobil megoldásokig.
• A registerProtocolHandler() és unregisterProtocolHandler() módszerekkel csatlakozó protokollkezelők mostantól csak biztonságos környezetben (HTTPS elérhetőséggel) működhetnek.

Az új verzió újításai és hibajavításai mellett 56 sérülékenység. Sok sebezhetőséget automatizált tesztelési eszközökkel fedeztek fel, AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer és AFL. Kritikus problémákat, amelyek lehetővé tennék a böngésző összes védelmi szintjének megkerülését, és kód végrehajtását a rendszerben a sandbox környezetén kívül nem azonosítottak. A sérülékenységek felfedezéséért járó díjprogram keretében a Google 37 díjat fizetett ki összesen 48 ezer dollár értékben (egy díj 10 ezer dollár, három díj 5 ezer dollár, három díj 3 ezer dollár, négy díj 2 ezer dollár, három díj 1 ezer dollár és hat díj 500 dollár). A 17 díj nagysága még nem meghatározott.

Forrás: opennet.ru