A Chrome 97 kiadása

A Google bemutatta a Chrome 97 webböngésző verzióját. Emellett elérhető a Chrome alapját képező Chromium szabad projekt stabil kiadása is. A Chrome böngésző megkülönböztető jellemzője a Google logóinak használata, a rendszeres balesetek esetén küldött értesítések, a másolásvédett videó tartalmak (DRM) lejátszására szolgáló modulok, az automatikus frissítések telepítésének rendszere, valamint az RLZ-paraméterek kereséseken történő továbbítása. Azok számára, akiknek több időre van szükségük a frissítéshez, külön támogatott egy Extended Stable ág, amely 8 hetes időtartam alatt elkészíti a Chrome 96 előző verzió frissítését. A következő Chrome 98 kiadásának időpontja február 1-jére van tervezve.

A Chrome 97 főbb változásai:

• A felhasználók egy részénél új adatkezelési kezelőfelület került bevezetésre a böngésző oldalán tárolt adatok konfigurálásához ("chrome://settings/content/all"). Az új felület legfontosabb jellemzője, hogy a jogosultságok beállítására és az összes webhely cookie-jának egyszerre történő törlésére összpontosít, lehetőség nélkül az egyes cookie-k részletes információinak megtekintésére vagy a szelektív törlésre. A Google véleménye szerint az egyes cookie-k kezeléséhez való hozzáférés a hétköznapi felhasználóknak, akik nem járatosak a webfejlesztés részleteiben, kiszámíthatatlan problémákhoz vezethet a weboldalak működésében, mivel az egyes paraméterek meggondolatlan módosítása zavart okozhat, valamint a cookie-k által aktivált adatvédelmi mechanizmusok véletlen letiltásához is vezethet. Azoknak, akik egyes cookie-kat szeretnének manipulálni, ajánlott a webfejlesztői eszközökben található tárolás kezelő részének használata (Applocation/Storage/Cookie).
• A weboldal információs blokkban megjelenik a weboldal rövid leírása (például a Wikipédia leírása), ha a beállításokban aktív az optimalizált keresés és navigáció mód ("Make searches and browsing better" opció).
• Javult a webformák automatikus kitöltési támogatása. Az automatikus kitöltési javaslatok mostantól egy kis eltolással jelennek meg, és információs ikonokkal rendelkeznek, hogy könnyebb legyen a gyors előnézet és nyilvánvalóbbá tegyék a kapcsolatot a kitöltendő mezővel. Például a profil ikonja jelzi, hogy az ajánlott automatikus kitöltés az cím- és kapcsolati információval kapcsolatos mezőket érinti.
• Biztosítva van, hogy a felhasználói profilok kezelőinek törlése a böngészőhöz kapcsolódó ablakok bezárása után megtörténjen. Korábban a profilok a memóriában maradtak, és folytatták az adatbázink szinkronizálásához és a kiegészítők háttérszkripteinek végrehajtásához kapcsolódó feladatokat, ami indokolatlan erőforráshasználathoz vezetett olyan rendszereken, ahol egyszerre több profilt, például vendégprofilt és Google-fiókhoz való kapcsolódást használnak. Emellett alaposabb takarítást is biztosít a profil használata során megmaradó adatokra vonatkozóan.
• Javítva lett a keresőmotorok beállításainak oldala („Beállítások>Keresőmotorok kezelése”). Megszüntették a motorok automatikus aktiválását, amelyek információi akkor jelennek meg, amikor weboldalt nyitnak meg az OpenSearch szkripten keresztül – az új keresőmotorokat, amelyeket a címsorból hoznak létre, mostantól manuálisan kell aktiválni a beállításokban (a korábban automatikusan aktivált motorok változatlanul működnek).
• Január 17-től a Chrome Web Store katalógusába már nem fogadnak el kiegészítőket, amelyek a Chrome második változatú manifestjét használják, de a korábban hozzáadott kiegészítők fejlesztői, mint eddig, publikálhatnak frissítéseket.
• Kísérleti támogatás került hozzáadásra a WebTransport specifikációhoz, amely meghatározza a protokollt és a kapcsolódó JavaScript API-t az adatok böngésző és a szerverrel. A kommunikációs csatorna HTTP/3 felett jön létre a QUIC protokoll alkalmazásával szállítóként. A WebTransport helyettesítheti a WebSockets mechanizmusát, további lehetőségeket kínálva, például több szálban történő adatátvitelt, egyirányú adatfolyamokat, csomagok sorrendjétől független szállítást (out-of-order), megbízható és megbízhatatlan szállítási módokat. Ezen kívül a WebTransport a Server Push mechanizmus helyett is használható, amelyről a Google visszavonta a Chrome-ban való használatát.
• A JavaScript Array és TypedArrays objektumokhoz hozzáadták a findLast és findLastIndex metódusokat, amelyek lehetővé teszik, hogy elemeket keressenek a tömb vége felől kinyert eredménnyel. [1,2,3,4].findLast((el) => el % 2 === 0) /→ 4 (az utolsó páros elem)
• A zárt (open attribútum nélküli) HTML <details> elemek mostantól kereshetők és hivatkozhatók, és automatikusan megnyílnak, amikor az oldalon keresést végeznek vagy a szövegrészletek közötti navigáció során (ScrollToTextFragment).
• A Content Security Policy (CSP) restrictions in response headers a szerver now also apply to dedicated workers, which were previously treated as separate documents.
• A clear request for permission to load any subresources from the internal network is ensured — before accessing the internal network or localhost on the main site's server, a CORS (Cross-Origin Resource Sharing) request with the header 'Access-Control-Request-Private-Network: true' is now sent, requiring confirmation of the operation through the return of the header 'Access-Control-Allow-Private-Network: true'.
• A CSS property font-synthesis has been added, allowing control over the browser's ability to synthesize missing font styles (oblique, bold, and small-cap) that are not available in the selected font family.
• For CSS transformations, a parameter 'none' has been implemented in the perspective() function, which is processed as an infinite value when organizing animations.
• Support for the value keyboard-map has been added to the HTTP header Permissions-Policy (Feature Policy), which is used for delegating permissions and enabling enhanced capabilities, allowing the use of the Keyboard API. The method Keyboard.getLayoutMap() has been implemented, allowing determination of which key is pressed considering different keyboard layouts (for example, if the key is pressed in the Russian layout or English).
• The method HTMLScriptElement.supports() has been added, unifying the definition of new capabilities available in the 'script' element, for example, it is possible to find out the list of supported values for the 'type' attribute.
• The normalization process of new lines when sending web forms has been aligned with the browser engines Gecko and WebKit. Normalization of line feed and carriage return characters (replacing /r and /n with \r\n) in Chrome is now performed at the final stage, rather than at the beginning of the form submission process (i.e., intermediate handlers using the FormData object will see the data as added by the user, not in normalized form).
• The naming of property names for the Client Hints API has been standardized, which is being developed as a replacement for the User-Agent header and allows selective provision of data about specific browser and system parameters (version, platform, etc.) only after a request from the server. Properties are now prefixed with 'sec-ch-', for example, sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink, and sec-ch-ect.
• A WebSQL API de támogatás második szakasza érvénybe lépett, amely blokkolja a harmadik féltől származó szkriptek WebSQL-hívásait. A jövőben fokozatosan teljesen megszüntetik a WebSQL támogatását, függetlenül a felhasználási környezettől. A WebSQL kezelője az SQLite kódján alapul, és károsítókat engedett hozzáférni az SQLite sebezhetőségeihez.
• Windows platformon aktiválva lett a végrehajtási folyamat integritásellenőrzése (CFG, Control Flow Guard), amely megakadályozza a kód beszúrására irányuló kísérleteket a Chrome folyamatába. Ezen kívül a különböző folyamatokban futó hálózati szolgáltatásokra most már szandálizálásos elszigetelés vonatkozik, amely korlátozza a folyamatokban lévő kód lehetőségeit.
• A Chrome Android verziójában aktiválva lett a kiadott és visszavont tanúsítványok dinamikus frissítésének mechanizmusa (Certificate Transparency), amely korábban már elérhető volt az asztali rendszerek számára készült verziókban.
• Fejlesztések kerültek bevezetésre a webfejlesztők számára készült eszközökben. Kísérleti támogatást kaptak a DevTools beállításainak szinkronizálásához különböző eszközök között. Új Recorder panel került hozzáadásra, amely lehetővé teszi a felhasználói tevékenységek rögzítését, visszajátszását és elemzését a weboldalon.

  A hibák megjelenítésekor a webkonzolon a hiba okozta oszlop számok megjelenítése biztosítja a problémák egyszerűbb hibakeresését a tömörített JavaScript kódban. Frissítették a szimulálható eszközök listáját, amelyek segítségével a weboldal mobilkészülékeken való megjelenésének értékelését végezhetjük. A HTML-blokkok szerkesztésének felületén (Edit as HTML) szintaxis kiemelés és automatikus kiegészítés lehetősége került bevezetésre.

  

Az új verzióban a bevezetett újítások és hibajavítások mellett 37 sebezhetőséget is megszüntettek. Sok sebezhetőséget automatizált tesztelések során az AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer és AFL eszközökkel fedeztek fel. Egyik sebezhetőséget kritikus problémaként jelölték meg, amely lehetővé teszi a böngésző összes védelmi szintjének megkerülését és kód végrehajtását a rendszeren belül, a szandálizálási környezeten kívül. A kritikus sebezhetőségről (CVE-2022-0096) még nem hoztak nyilvánosságra részleteket, csak annyit tudni, hogy kapcsolódik a már felszabadított memória területekhez a belső tárolókkal foglalkozó kódban (API Storage).

A sebezőségek felfedezéséért járó pénzdíjakat kifizető program keretében a Google a jelenlegi kiadásra 24 prémiumot utalt ki összesen 54 ezer amerikai dollár értékben (három prémium 10 000 dollár, két prémium 5 000 dollár, egy prémium 4 000 dollár, három prémium 3 000 dollár és egy prémium 1 000 dollár). 14 prémium összege még nem került meghatározásra.

Forrás: opennet.ru