גרסה 90 של Chrome

גוגל חשפה את שחרורו של דפדפן האינטרנט Chrome 90. במקביל, זמינה מהדורה יציבה של פרויקט Chromium החינמי, המשמש כבסיס לכרום. דפדפן כרום מתאפיין בשימוש בסמלי לוגו של גוגל, בנוכחות מערכת לשליחת התראות במקרה של קריסה, מודולים להפעלת תוכן וידאו מוגן (DRM), מערכת להתקנה אוטומטית של עדכונים והעברת פרמטרי RLZ בעת חיפוש. המהדורה הבאה של Chrome 91 מתוכננת ל-25 במאי.

שינויים מרכזיים ב-Chrome 90:

• כל המשתמשים מורשים לפתוח אתרים באמצעות HTTPS כברירת מחדל בעת הקלדת שמות מארחים בשורת הכתובת. לדוגמה, כאשר אתה מזין את המארח example.com, האתר https://example.com ייפתח כברירת מחדל, ואם יתעוררו בעיות בעת הפתיחה, הוא יוחזר ל-http://example.com. כדי לשלוט בשימוש ברירת המחדל "https://", מוצעת ההגדרה "chrome://flags#omnibox-default-typed-navigations-to-https".
• כעת ניתן להקצות תוויות שונות לחלונות כדי להפריד ביניהן חזותית בלוח שולחן העבודה. תמיכה בשינוי שם החלון תפשט את ארגון העבודה בשימוש בחלונות דפדפן נפרדים למשימות שונות, למשל בפתיחת חלונות נפרדים למשימות עבודה, תחומי עניין אישיים, בידור, חומרים דחויים וכו'. השם משתנה באמצעות הפריט "הוסף כותרת חלון" בתפריט ההקשר שמופיע בעת לחיצה ימנית על אזור ריק בשורת הכרטיסיות. לאחר שינוי השם בלוח האפליקציה, במקום שם האתר מהכרטיסייה הפעילה, מוצג השם הנבחר, מה שיכול להיות שימושי בעת פתיחת אותם אתרים בחלונות שונים המקושרים לחשבונות נפרדים. הקישור נשמר בין הפעלות ולאחר הפעלה מחדש החלונות ישוחזרו עם השמות שנבחרו.
• נוספה את היכולת להסתיר את "רשימת הקריאה" מבלי לשנות הגדרות ב-"chrome://flags" ("chrome://flags#read-later"). כדי להסתיר, כעת תוכל להשתמש באפשרות "הצג רשימת קריאה" בתחתית תפריט ההקשר המוצג בעת לחיצה ימנית על סרגל הסימניות. נזכיר לך שבמהדורה האחרונה, כאשר חלק מהמשתמשים לוחצים על הכוכבית בשורת הכתובת, בנוסף ללחצן "הוסף סימניה", מופיע כפתור שני "הוסף לרשימת קריאה", ובפינה הימנית של חלונית הסימניות יופיע תפריט "רשימת קריאה", המפרט את כל הדפים שנוספו בעבר לרשימה. כאשר אתה פותח דף מהרשימה, הוא מסומן כנקראו. ניתן גם לסמן ידנית דפים ברשימה כקראו או שלא נקראו, או להסיר אותם מהרשימה.
• נוספה תמיכה בפילוח רשת להגנה מפני שיטות מעקב אחר תנועות משתמשים בין אתרים על בסיס אחסון מזהים באזורים שאינם מיועדים לאחסון קבוע של מידע ("עוגיות-על"). מכיוון שמשאבים שמורים במטמון מאוחסנים במרחב שמות משותף, ללא קשר לתחום המקור, אתר אחד יכול לקבוע שאתר אחר טוען משאבים על ידי בדיקה אם המשאב הזה נמצא במטמון. ההגנה מבוססת על שימוש בפילוח רשת (Network Partitioning), שעיקרו להוסיף למטמונים משותפים כריכה נוספת של רשומות לדומיין שממנו נפתח העמוד הראשי, מה שמגביל את כיסוי המטמון עבור סקריפטים למעקב תנועה בלבד לאתר הנוכחי (סקריפט מ-iframe לא יוכל לבדוק אם המשאב הורד מאתר אחר). מחיר הפילוח הוא ירידה ביעילות האחסון במטמון, מה שמוביל לעלייה קלה בזמן טעינת הדפים (מקסימום ב-1.32%, אך עבור 80% מהאתרים ב-0.09-0.75%).
• הרשימה השחורה של יציאות רשת שעבורן חסומה שליחת בקשות HTTP, HTTPS ו-FTP התחדשה על מנת להגן מפני התקפות Slipstreaming של NAT, המאפשרת בעת פתיחת דף אינטרנט שהוכן במיוחד על ידי התוקף בדפדפן, להקים רשת חיבור מהשרת של התוקף לכל יציאת UDP או TCP במערכת של המשתמש, למרות השימוש בטווח הכתובות הפנימי (192.168.xx, 10.xxx). נוספו 554 (פרוטוקול RTSP) ו-10080 (בשימוש בגיבוי של Amanda ו-VMWare vCenter) לרשימת היציאות האסורות. בעבר, יציאות 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 ו-6566 כבר היו חסומות.
• נוספה תמיכה ראשונית לפתיחת מסמכי PDF עם טפסי XFA בדפדפן.
• עבור חלק מהמשתמשים, הופעל סעיף הגדרות חדש "הגדרות כרום > פרטיות ואבטחה > ארגז חול פרטיות", המאפשר לך לנהל את הפרמטרים של FLoC API, שמטרתו לקבוע את קטגוריית תחומי העניין של המשתמש ללא זיהוי אישי וללא התייחסות ל ההיסטוריה של ביקור באתרים ספציפיים.
• הודעה ברורה יותר עם רשימה של פעולות מותרות מוצגת כעת כאשר משתמש מתחבר לפרופיל שעבורו מופעל ניהול מרכזי.
• הפך את ממשק בקשת ההרשאות לפחות פולשני. בקשות שסביר שהמשתמש לא יאשר נחסמות כעת אוטומטית עם מחוון תואם המוצג בשורת הכתובת, באמצעותו המשתמש יכול לעבור לממשק לניהול הרשאות על בסיס אתר.
• תמיכה בהרחבות Intel CET (Intel Control-flow Enforcement Technology) כלולה להגנה על חומרה מפני ניצולים שנבנו באמצעות טכניקות תכנות מוכווני החזרה (ROP, Return-Oriented Programming).
• העבודה נמשכת בהעברת הדפדפן לשימוש בטרמינולוגיה כוללת. השם של הקובץ "העדפות_מאסטר" שונה ל"העדפות_ראשוניות" כדי למנוע פגיעה ברגשות המשתמשים שתופסים את המילה "מאסטר" כרמז על העבדות לשעבר של אבותיהם. כדי לשמור על תאימות, התמיכה ב-"master_preferences" תישאר בדפדפן למשך זמן מה. בעבר, הדפדפן כבר נפטר מהשימוש במילים "רשימה לבנה", "רשימה שחורה" ו"יליד".
• בגרסת האנדרואיד, כאשר מצב חיסכון בתעבורה "Lite" מופעל, קצב הסיביות מופחת בהורדת וידאו בעת חיבור לרשתות של מפעילי סלולר, מה שיוזיל את העלויות של משתמשים שהפעלתם תעריפים מבוססי תעבורה. מצב "לייט" מספק גם דחיסה של תמונות שמתבקשות ממשאבים זמינים לציבור (לא דורשים אימות) באמצעות HTTPS.
• נוסף מקודד פורמט וידאו AV1, מותאם במיוחד לשימוש בשיחות ועידה בווידאו המבוסס על פרוטוקול WebRTC. השימוש ב-AV1 בשיחות ועידה בווידאו מאפשר להגביר את יעילות הדחיסה ולספק יכולת שידור בערוצים ברוחב פס של 30 kbit/sec.
• ב-JavaScript, האובייקטים Array, String ו-TypedArrays מיישמים את שיטת at() המאפשרת לך להשתמש באינדקס יחסי (מיקום יחסי מצוין כאינדקס המערך), כולל ציון ערכים שליליים ביחס לסוף (לדוגמה, "arr.at(-1)" יחזיר את האלמנט האחרון של המערך).
• JavaScript הוסיפה את המאפיין ".indices" עבור ביטויים רגולריים, המכיל מערך עם עמדות ההתחלה והסיום של קבוצות התאמות. המאפיין מתמלא רק בעת ביצוע הביטוי הרגולרי עם הדגל "/d". const re = /(a)(b)/d; const m = re.exec('ab'); console.log(m.indices[0]); // 0 — כל קבוצות ההתאמה // → [0, 2] console.log(m.indices[1]); // 1 היא קבוצת ההתאמות הראשונה // → [0, 1] console.log(m.indices[2]); // 2 - קבוצת התאמות שנייה // → [1, 2]
• הביצועים של מאפייני "סופר" (לדוגמה, super.x) שעבורם מופעל המטמון המוטבע עבר אופטימיזציה. ביצועי השימוש ב-"סופר" קרובים כעת לביצועי הגישה לנכסים רגילים.
• הקריאה לפונקציות WebAssembly מ-JavaScript הואצה משמעותית עקב השימוש בפריסה מוטבעת. אופטימיזציה זו נותרה ניסיוני לעת עתה ודורשת ריצה עם הדגל "-turbo-inline-js-wasm-calls".
• נוסף ה-API של WebXR Depth Sensing, המאפשר לקבוע את המרחק בין אובייקטים בסביבת המשתמש למכשיר של המשתמש, למשל, כדי ליצור אפליקציות מציאות רבודה מציאותיות יותר. נזכיר לכם שה-API של WebXR מאפשר לכם לאחד עבודה עם סוגים שונים של מכשירי מציאות מדומה, החל מקסדות תלת מימד נייחות ועד לפתרונות המבוססים על מכשירים ניידים.
• תכונת WebXR AR Lighting Estimation התייצבה, ומאפשרת להפעלות WebXR AR לקבוע פרמטרים של תאורת סביבה כדי להעניק לדגמים מראה טבעי יותר ושילוב טוב יותר עם סביבת המשתמש.
• מצב ניסויים של Origin (תכונות נסיוניות הדורשות הפעלה נפרדת) מוסיף מספר ממשקי API חדשים המוגבלים כעת לפלטפורמת אנדרואיד. ניסיון של Origin מרמז על היכולת לעבוד עם ה-API שצוין מיישומים שהורדו מ-localhost או 127.0.0.1, או לאחר רישום וקבלת אסימון מיוחד שתקף לזמן מוגבל עבור אתר ספציפי.
  • שיטת getCurrentBrowsingContextMedia(), המאפשרת ללכוד זרם וידאו של MediaStream המשקף את התוכן של הכרטיסייה הנוכחית. בניגוד לשיטת getDisplayMedia() הדומה, בעת קריאה ל-getCurrentBrowsingContextMedia(), מוצגת דיאלוג פשוט למשתמש כדי לאשר או לחסום את פעולת העברת הווידאו עם תוכן הכרטיסייה.
  • API להכנס זרמים, המאפשר לך לתפעל זרמי מדיה גולמית המועברים דרך ה-API של MediaStreamTrack, כגון נתוני מצלמה ומיקרופון, תוצאות לכידת מסך או נתוני פענוח קודק ביניים. ממשקי WebCodec משמשים להצגת פריימים גולמיים ונוצר זרם בדומה למה שה-API של WebRTC Insertable Streams מייצר בהתבסס על RTCPeerConnections. בפן המעשי, ה-API החדש מאפשר פונקציונליות כמו יישום טכניקות למידת מכונה לזיהוי או הערות של אובייקטים בזמן אמת, או הוספת אפקטים כגון גזירת רקע לפני קידוד או לאחר פענוח על ידי רכיבי codec.
  • היכולת לארוז משאבים לחבילות (Web Bundle) כדי לארגן טעינה יעילה יותר של מספר רב של קבצים נלווים (סגנונות CSS, JavaScript, תמונות, iframes). בין החסרונות בתמיכה הקיימת בחבילות לקבצי JavaScript (webpack), אותם מנסים ה-Web Bundle לבטל: החבילה עצמה, אך לא חלקיה המרכיבים, יכולה להגיע ל-HTTP cache; הידור וביצוע יכולים להתחיל רק לאחר הורדת החבילה במלואה; יש לקודד משאבים נוספים כמו CSS ותמונות בצורה של מחרוזות JavaScript, מה שמגדיל את הגודל ודורש שלב ניתוח נוסף.
  • תמיכה בטיפול בחריגים ב-WebAssembly.
• ייצב את ה-API של Shadow DOM Declarative ליצירת ענפי שורש חדשים ב-Shadow DOM, למשל כדי להפריד בין סגנון רכיב צד שלישי מיובא לבין תת-הענף DOM המשויך לו מהמסמך הראשי. ה-API ההצהרתי המוצע מאפשר לך להשתמש רק ב-HTML כדי לבטל את ההצמדה של ענפי DOM ללא צורך בכתיבת קוד JavaScript.
• מאפיין יחס הגובה-רוחב CSS, המאפשר לך לאגד במפורש את יחס הגובה-רוחב לכל אלמנט (כדי לחשב אוטומטית את הגודל החסר כאשר מציינים רק את הגובה או הרוחב), מיישמת את היכולת לשלב ערכים במהלך הנפשה (מעבר חלק מאחד יחס גובה-רוחב לאחר).
• נוספה את היכולת לשקף את המצב של רכיבי HTML מותאמים אישית ב-CSS דרך הפסאודו-מחלקה ":state()". הפונקציונליות מיושמת באנלוגיה ליכולת של רכיבי HTML סטנדרטיים לשנות את מצבם בהתאם לאינטראקציה של המשתמש.
• מאפיין ה-CSS "מראה" תומך כעת בערך 'אוטומטי', שמוגדר כברירת מחדל עבור ו , ובפלטפורמת אנדרואיד בנוסף עבור , , , ו .
• תמיכה בערך "קליפ" נוספה למאפיין ה-CSS "overflow", כאשר מוגדר, תוכן המשתרע מעבר לבלוק נחתך עד לגבול הגלישה המותרת של הבלוק ללא אפשרות גלילה. הערך שקובע עד כמה התוכן יכול להתרחב מעבר לגבול בפועל של התיבה לפני תחילת הגזירה מוגדר באמצעות מאפיין ה-CSS החדש "overflow-clip-margin". בהשוואה ל"overflow: hidden", שימוש ב-"overflow: clip" מאפשר ביצועים טובים יותר.
• כותרת HTTP של Feature-Policy הוחלפה בכותרת חדשה Permissions-Policy כדי לשלוט בהאצלת הרשאות והפעלת תכונות מתקדמות, הכוללת תמיכה בערכי שדות מובנים (לדוגמה, כעת ניתן לציין "הרשאות-מדיניות: מיקום גיאוגרפי" =()" במקום "פיצ'ר- מדיניות: מיקום גיאוגרפי 'ללא'").
• הגנה מוגברת מפני שימוש במאגרי פרוטוקול עבור התקפות הנגרמות מביצוע ספקולטיבי של הוראות במעבדים. ההגנה מיושמת על ידי הוספת סוג MIME "application/x-protobuffer" לרשימת סוגי MIME שמעולם לא הרחרח, אשר מעובדת באמצעות מנגנון Cross-Origin-Read-Blocking. בעבר, סוג MIME "application/x-protobuf" כבר נכלל ברשימה דומה, אך "application/x-protobuffer" נותר בחוץ.
• ה-API של גישה למערכת הקבצים מיישמת את היכולת להעביר את המיקום הנוכחי בקובץ מעבר לקצה שלו, ולמלא את הפער שנוצר באפסים במהלך הכתיבה שלאחר מכן באמצעות הקריאה FileSystemWritableFileStream.write(). תכונה זו מאפשרת ליצור קבצים דלילים עם חללים ריקים ומפשטת משמעותית את ארגון הכתיבה לקובץ זורם עם הגעה לא מסודרת של בלוקי נתונים (לדוגמה, זה מתורגל ב-BitTorrent).
• נוסף בנאי StaticRange עם הטמעת סוגי Range קלים שאינם דורשים עדכון של כל האובייקטים המשויכים בכל פעם שעץ ה-DOM משתנה.
• הטמיע את היכולת לציין פרמטרים של רוחב וגובה עבור אלמנטים שצוין בתוך האלמנט . תכונה זו מאפשרת לך לחשב את יחס הגובה-רוחב עבור אלמנטים , באנלוגיה לאיך זה נעשה עבור , ו .
• תמיכה לא סטנדרטית עבור ערוצי נתונים RTP הוסרה מ-WebRTC, ומומלץ להשתמש בערוצי נתונים מבוססי SCTP במקום זאת.
• המאפיינים navigator.plugins ו-navigator.mimeTypes מחזירים כעת תמיד ערך ריק (לאחר שהתמיכה ב-Flash הסתיימה, לא היה עוד צורך במאפיינים אלה).
• חלק גדול מהשיפורים הקטנים בוצעו בכלים עבור מפתחי אתרים ונוסף כלי חדש לניפוי באגים ב-CSS, flexbox.

בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 37 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות באמצעות הכלים AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ו-AFL. לא זוהו בעיות קריטיות שיאפשרו לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. כחלק מתוכנית התגמול במזומן לגילוי נקודות תורפה עבור המהדורה הנוכחית, גוגל שילמה 19 פרסים בשווי 54000 דולר (פרס אחד של 20000 דולר, פרס אחד של 10000 דולר, שני פרסים של 5000 דולר, שלושה פרסים של 3000 דולר, פרס אחד של 2000 דולר, פרס אחד של 1000 דולר, וארבעה פרסים של 500 דולר. ). ). גודלם של 6 התגמולים טרם נקבע.

בנפרד, ניתן לציין כי אתמול, לאחר היווצרות המהדורה המתקנת 89.0.4389.128, אך לפני שחרורו של Chrome 90, פורסם ניצול נוסף, אשר השתמש בפגיעות חדשה של 0 ימים שלא תוקנה ב-Chrome 89.0.4389.128 . עדיין לא ברור אם בעיה זו תוקנה ב-Chrome 90. כמו במקרה הראשון, הניצול מכסה רק פגיעות אחת ואינו מכיל קוד לעקוף בידוד ארגז חול (כאשר מפעיל את Chrome עם הדגל "--no-sandbox" , הניצול מתרחש כאשר פותחים דף אינטרנט בפלטפורמת Windows מאפשרת לך להפעיל את Notepad). הפגיעות הקשורה לניצול החדש משפיעה על טכנולוגיית WebAssembly.

מקור: OpenNet.ru