Rilis Chrome 98

Google telah meluncurkan rilis browser web Chrome 98. Pada saat yang sama, rilis stabil proyek Chromium gratis, yang menjadi dasar Chrome, juga tersedia. Browser Chrome dibedakan dengan penggunaan logo Google, kehadiran sistem untuk mengirimkan pemberitahuan jika terjadi kerusakan, modul untuk memutar konten video yang dilindungi hak cipta (DRM), sistem untuk menginstal pembaruan secara otomatis, dan mentransmisikan parameter RLZ ketika mencari. Rilis Chrome 99 berikutnya dijadwalkan pada 1 Maret.

Perubahan penting di Chrome 98:

• Peramban ini memiliki penyimpanan bawaan sertifikat root dari otoritas sertifikasi (Chrome Root Store), yang akan menggantikan penyimpanan eksternal khusus untuk setiap sistem operasi. Penyimpanan ini diimplementasikan serupa dengan penyimpanan sertifikat root independen Firefox, yang digunakan sebagai tautan pertama untuk memverifikasi rantai kepercayaan sertifikat saat membuka situs HTTPS. Penyimpanan baru ini belum digunakan secara default. Untuk menyederhanakan migrasi konfigurasi yang terhubung ke penyimpanan sistem dan memastikan portabilitas, akan ada masa transisi di mana Chrome Root Store akan mencakup koleksi lengkap sertifikat yang disetujui di sebagian besar platform yang didukung.
• Implementasi rencana untuk memperkuat perlindungan terhadap serangan yang melibatkan akses ke sumber daya di jaringan lokal atau di komputer pengguna (localhost) dari skrip yang dimuat saat membuka situs web sedang berlangsung. Permintaan tersebut digunakan oleh penyerang untuk melakukan serangan CSRF pada router, titik akses, printer, antarmuka web perusahaan, dan perangkat serta layanan lain yang hanya menerima permintaan dari jaringan lokal.

  Untuk melindungi dari serangan semacam itu, saat mengakses sub-sumber daya apa pun di jaringan internal, browser akan mulai mengirimkan permintaan izin eksplisit untuk memuat sub-sumber daya tersebut. Permintaan izin dilakukan dengan mengirimkan permintaan ke server Permintaan CORS (Cross-Origin Resource Sharing) situs utama dengan header "Access-Control-Request-Private-Network: true" diperiksa sebelum mengakses jaringan internal atau localhost. Saat mengkonfirmasi operasi, server harus mengembalikan header "Access-Control-Allow-Private-Network: true" sebagai respons terhadap permintaan ini. Di Chrome 98, pemeriksaan ini diimplementasikan dalam mode uji, dan jika konfirmasi tidak diberikan, peringatan akan ditampilkan di konsol web, tetapi permintaan sub-sumber daya itu sendiri tidak diblokir. Pemblokiran direncanakan akan diaktifkan paling cepat di Chrome 101.

• Penjelajahan Aman yang Disempurnakan, yang mengaktifkan pemeriksaan tambahan untuk melindungi dari phishing, aktivitas berbahaya, dan ancaman web lainnya, kini terintegrasi ke dalam pengaturan akun Anda. Saat Anda mengaktifkan mode ini di akun Google Anda, Anda akan diminta untuk mengaktifkannya juga di Chrome.
• Model deteksi upaya phishing sisi klien telah ditambahkan. Model ini, yang diimplementasikan menggunakan platform pembelajaran mesin TFLite (TensorFlow Lite), tidak memerlukan pengiriman data untuk verifikasi sisi Google. Namun, telemetri yang berisi informasi tentang versi model dan bobot yang dihitung untuk setiap kategori akan dikirimkan. Jika upaya phishing terdeteksi, pengguna akan diperlihatkan halaman peringatan sebelum membuka situs web yang mencurigakan.
• Dalam API Client Hints, yang sedang dikembangkan sebagai pengganti header User-Agent dan memungkinkan pengembalian data secara selektif berdasarkan parameter browser dan sistem tertentu (versi, platform, dll.) hanya setelah permintaan. serverKemampuan untuk mengganti nama browser fiktif ke dalam daftar pengidentifikasi browser telah diimplementasikan, mirip dengan mekanisme GREASE (Generate Random Extensions And Sustain Extensibility) yang digunakan dalam TLS. Misalnya, selain "Chrome"; v="98" dan "Chromium"; v="98", pengidentifikasi acak untuk browser yang tidak ada, ""(Not;Browser"; v="12"), dapat ditambahkan ke daftar. Penggantian ini akan membantu mengidentifikasi masalah dengan penanganan pengidentifikasi browser yang tidak dikenal, yang memaksa browser alternatif untuk berpura-pura menjadi browser populer lainnya untuk melewati pemeriksaan validasi.
• Mulai 17 Januari, Toko Web Chrome berhenti menerima add-on yang menggunakan Manifes Chrome versi 2. Add-on baru kini hanya akan diterima menggunakan manifes versi 3. Pengembang add-on yang telah diajukan sebelumnya akan tetap dapat menerbitkan pembaruan menggunakan manifes versi 2. Dukungan penuh untuk manifes versi 2 dijadwalkan pada Januari 2023.
• Dukungan telah ditambahkan untuk font vektor berwarna dalam format COLRv1 (subset font OpenType yang berisi lapisan informasi warna selain glif vektor). Font ini dapat digunakan, misalnya, untuk membuat emoji multiwarna. Berbeda dengan format COLRv0 yang sebelumnya didukung, COLRv1 kini mendukung gradien, overlay, dan transformasi. Format ini juga menawarkan penyimpanan yang ringkas, kompresi yang efisien, dan memungkinkan penggunaan kembali garis luar, sehingga mengurangi ukuran font secara signifikan. Misalnya, font Noto Color Emoji berukuran 9MB dalam format raster, sementara dalam format vektor COLRv1 berukuran 1.85MB.
• Mode Origin Trials (fitur eksperimental yang memerlukan aktivasi terpisah) mengimplementasikan Region Capture API, yang memungkinkan pemotongan video yang direkam. Misalnya, pemotongan mungkin diperlukan dalam aplikasi web yang merekam video dari konten tab mereka untuk memotong konten tertentu sebelum dikirim. Origin Trials memungkinkan akses ke API ini dari aplikasi yang dimuat dari localhost atau 127.0.0.1, atau setelah mendaftar dan menerima token khusus yang berlaku untuk waktu terbatas di situs web tertentu.
• Properti CSS "contain-intrinsic-size" sekarang mendukung nilai "auto", yang jika ditentukan, akan menggunakan ukuran elemen terakhir yang diingat (jika digunakan bersama dengan "content-visibility: auto", pengembang tidak perlu menebak ukuran elemen yang ditampilkan).
• Menambahkan properti AudioContext.outputLatency, yang menyediakan informasi tentang latensi keluaran audio yang diharapkan (penundaan antara permintaan audio dan perangkat keluaran audio yang mulai memproses data yang diterima).
• Properti skema warna CSS, yang memungkinkan Anda menentukan skema warna yang dapat digunakan untuk menampilkan elemen dengan benar (terang, gelap, mode siang, dan mode malam), telah diperbarui dengan parameter "only". Hal ini mencegah perubahan skema warna yang dipaksakan untuk setiap elemen HTML. Misalnya, jika Anda menentukan "div { skema warna: hanya terang }", elemen div hanya akan menggunakan tema terang, meskipun mode gelap dipaksakan di peramban.
• CSS sekarang mendukung kueri media 'rentang dinamis' dan 'rentang dinamis video' untuk mendeteksi keberadaan layar yang mendukung HDR (Rentang Dinamis Tinggi).
• Fungsi window.open() kini memungkinkan Anda memilih untuk membuka tautan di tab baru, jendela baru, atau jendela pop-up. Selain itu, properti window.statusbar.visible kini mengembalikan nilai false untuk jendela pop-up dan true untuk tab dan jendela. const popup = window.open('_blank','popup=1'); // Buka di jendela pop-up const tab = window.open('_blank','popup=0'); // Buka di tab
• Untuk windows dan pekerja, metode structuredClone() diimplementasikan, yang memungkinkan Anda membuat salinan rekursif objek yang menyertakan properti tidak hanya dari objek yang ditentukan, tetapi juga semua objek lain yang direferensikan oleh objek saat ini.
• API Autentikasi Web sekarang mendukung ekstensi spesifikasi FIDO CTAP2, yang memungkinkan Anda menetapkan ukuran PIN minimum yang dapat diterima (minPinLength).
• Untuk aplikasi web mandiri yang terinstal, komponen Window Controls Overlay telah ditambahkan. Komponen ini memperluas area layar aplikasi hingga mencakup seluruh jendela, termasuk bilah judul, yang dilapisi dengan tombol kontrol jendela standar (tutup, minimalkan, dan maksimalkan). Aplikasi web dapat mengontrol rendering dan pemrosesan input untuk seluruh jendela, kecuali blok overlay dengan tombol kontrol jendela.
• Properti penanganan sinyal telah ditambahkan ke WritableStreamDefaultController yang mengembalikan objek AbortSignal, yang dapat digunakan untuk segera menghentikan operasi penulisan ke WritableStream tanpa menunggu hingga selesai.
• WebRTC telah menghapus dukungan untuk mekanisme perjanjian kunci SDES, yang tidak digunakan lagi oleh IETF pada tahun 2013 karena masalah keamanan.
• API U2F (Cryptotoken), yang sebelumnya tidak digunakan lagi dan digantikan oleh API Autentikasi Web, dinonaktifkan secara default. API U2F akan dihapus sepenuhnya di Chrome 104.
• Direktori API telah menghentikan penggunaan kolom installed_browser_version dan mengusulkan kolom pending_browser_version yang baru. Kolom ini berbeda karena berisi informasi tentang versi peramban, dengan mempertimbangkan pembaruan yang diunduh tetapi belum diterapkan (yaitu, versi yang akan berlaku setelah peramban dimulai ulang).
• Menghapus parameter yang memperbolehkan pengembalian dukungan untuk TLS 1.0 dan 1.1.
• Peningkatan telah dilakukan pada perangkat pengembang web. Tab untuk mengevaluasi cache Mundur-Maju telah ditambahkan, yang memastikan navigasi instan saat menggunakan tombol Mundur dan Maju. Kemampuan untuk mengemulasi kueri media dengan warna paksa telah ditambahkan. Tombol telah ditambahkan ke editor Flexbox untuk mendukung properti pembalikan baris dan pembalikan kolom. Tab "Perubahan" kini menampilkan perubahan setelah pemformatan kode, sehingga memudahkan penguraian halaman yang diperkecil.

  Panel pratinjau kode telah diperbarui untuk mendukung CodeMirror 6, versi editor kode yang secara signifikan meningkatkan kinerja saat bekerja dengan berkas berukuran sangat besar (WASM, JavaScript), mengatasi masalah offset navigasi acak, dan meningkatkan rekomendasi pelengkapan otomatis saat mengedit kode. Panel properti CSS kini dilengkapi fitur pemfilteran berdasarkan nama atau nilai properti.

  

Selain fitur baru dan perbaikan bug, versi terbaru ini juga mengatasi 27 kerentanan. Banyak kerentanan yang teridentifikasi melalui pengujian otomatis menggunakan AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer, dan AFL. Tidak ditemukan masalah kritis yang memungkinkan pengabaian semua lapisan perlindungan browser dan eksekusi kode dalam sistem di luar lingkungan sandbox. Sebagai bagian dari program hadiah kerentanan untuk rilis terbaru, Google telah memberikan 19 hadiah dengan total $88 (dua hadiah $20000, satu hadiah $12000, dua hadiah $7500, empat hadiah $1000, dan satu hadiah masing-masing senilai $7000, $5000, $3000, dan $2000).

Sumber: opennet.ru