גרסה 93 של Chrome

גוגל חשפה את השחרור של דפדפן האינטרנט Chrome 93. במקביל, זמינה מהדורה יציבה של פרויקט Chromium החינמי, המשמש כבסיס לכרום. דפדפן כרום מתאפיין בשימוש בסמלי לוגו של גוגל, בנוכחות מערכת לשליחת התראות במקרה של קריסה, מודולים להפעלת תוכן וידאו מוגן (DRM), מערכת להתקנה אוטומטית של עדכונים והעברת פרמטרי RLZ בעת חיפוש. המהדורה הבאה של Chrome 94 מתוכננת ל-21 בספטמבר (הפיתוח הועבר למחזור שחרור של 4 שבועות).

שינויים מרכזיים ב-Chrome 93:

• עיצוב הבלוק עם מידע העמוד (מידע עמוד) עבר מודרניזציה, במסגרתו הוטמעה תמיכה בלוקים מקוננים, ורשימות נפתחות עם זכויות גישה הוחלפו במתגים. הרשימות מבטיחות שהמידע החשוב ביותר יוצג ראשון. השינוי אינו מופעל עבור כל המשתמשים; כדי להפעיל אותו, אתה יכול להשתמש בהגדרה "chrome://flags/#page-info-version-2-desktop".
• עבור אחוז קטן מהמשתמשים, כניסוי, מחוון החיבור המאובטח בשורת הכתובת הוחלף בסמל ניטרלי יותר שאינו גורם לפרשנות כפולה (המנעול הוחלף בסימן "V"). עבור חיבורים שנוצרו ללא הצפנה, מחוון "לא מאובטח" ממשיך להופיע. הסיבה שצוינה להחלפת המחוון היא שמשתמשים רבים מקשרים את מחוון המנעול לעובדה שניתן לסמוך על תוכן האתר, במקום לראות בו סימן לכך שהחיבור מוצפן. אם לשפוט לפי סקר של גוגל, רק 11% מהמשתמשים מבינים את המשמעות של הסמל עם מנעול.
• רשימת הכרטיסיות שנסגרו לאחרונה מציגה כעת את התוכן של קבוצות הכרטיסיות הסגורות (בעבר הרשימה פשוט הציגה את שם הקבוצה מבלי לפרט את התוכן) עם אפשרות להחזיר גם את כל הקבוצה וגם כרטיסיות בודדות מהקבוצה בבת אחת. התכונה אינה מופעלת עבור כל המשתמשים, לכן ייתכן שיהיה עליך לשנות את ההגדרה "chrome://flags/#tab-restore-sub-menus" כדי להפעיל אותה.
• עבור ארגונים, הוטמעו הגדרות חדשות: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites ו-JavaScriptJitBlockedForSites, המאפשרות לך לשלוט במצב ללא JIT, אשר משבית את השימוש בהידור JIT בעת הפעלת JavaScript (בשימוש רק במתורגמן Ignition) ואוסר על הקצאת הפעלה. זיכרון במהלך ביצוע קוד. השבתת JIT יכולה להיות שימושית כדי לשפר את האבטחה בעבודה עם יישומי אינטרנט שעלולים להיות מסוכנים במחיר של הפחתת ביצועי ביצוע JavaScript בכ-17%. ראוי לציין כי מיקרוסופט הרחיקה לכת והטמיעה מצב "Super Duper Secure" ניסיוני בדפדפן Edge, המאפשר למשתמש להשבית את JIT ולהפעיל מנגנוני אבטחת חומרה שאינם תואמים JIT CET (Controlflow-Enforcement Technology), ACG (שרירותי) Code Guard) ו-CFG (Control Flow Guard) לתהליכי עיבוד תוכן אינטרנט. אם הניסוי יתברר כמוצלח, אנו יכולים לצפות שהוא יועבר לחלק העיקרי של Chrome.
• דף הכרטיסייה החדשה מספק רשימה של המסמכים הפופולריים ביותר שנשמרו ב-Google Drive. תוכן הרשימה תואם לקטע 'עדיפות' ב-drive.google.com. כדי לשלוט בתצוגה של תוכן Google Drive, אתה יכול להשתמש בהגדרות "chrome://flags/#ntp-modules" ו-"chrome://flags/#ntp-drive-module".
• כרטיסי מידע חדשים נוספו לדף פתח כרטיסייה חדשה כדי לעזור לך למצוא תוכן שנצפה לאחרונה ומידע קשור. הקלפים נועדו להקל על המשך העבודה עם מידע שהצפייה בו נקטעה, למשל, הקלפים יעזרו לכם למצוא מתכון למנה שנמצאה לאחרונה באינטרנט אך אבדה לאחר סגירת העמוד, או להמשיך להכין רכישות בחנויות. כניסוי, מוצעות למשתמשים שתי מפות חדשות: "מתכונים" (chrome://flags/#ntp-recipe-tasks-module) לחיפוש מתכונים קולינריים והצגת מתכונים שנצפו לאחרונה; "שופינג" (chrome://flags/#ntp-chrome-cart-module) לתזכורות לגבי מוצרים שנבחרו בחנויות מקוונות.
• גרסת האנדרואיד מוסיפה תמיכה אופציונלית לפאנל חיפוש מתמשך (chrome://flags/#continuous-search), המאפשרת לשמור על תוצאות החיפוש האחרונות של גוגל גלויות (הפאנל ממשיך להציג תוצאות לאחר מעבר לדפים אחרים).
• לגרסת האנדרואיד (chrome://flags/#webnotes-stylize) נוסף מצב שיתוף ציטוטים ניסיוני, המאפשר לשמור קטע נבחר של עמוד בתור ציטוט ולשתף אותו עם משתמשים אחרים.
• בעת פרסום תוספות חדשות או עדכוני גרסה לחנות האינטרנט של Chrome, נדרש כעת אימות מפתח דו-גורמי.
• למשתמשי חשבון Google יש אפשרות לשמור פרטי תשלום בחשבון Google שלהם.
• במצב גלישה בסתר, אם האפשרות לנקות נתוני ניווט מופעלת, יושמה שיח חדש לאישור פעולה, המסביר שניקוי נתונים יסגור את החלון ותסיים את כל הפעלות במצב גלישה בסתר.
• עקב אי תאימות מזוהה עם הקושחה של חלק מהמכשירים, נוספה תמיכה בשיטת הסכם המפתח החדשה ל-Chrome 91, עמידה בפני ניחושים במחשבים קוונטיים, בהתבסס על השימוש בתוסף CECPQ1.3 (Combined Elliptic-Curve ו-Post-Quantum 2) ב- TLSv2, המשלב מנגנון החלפת מפתחות X25519 קלאסי עם ערכת HRSS המבוססת על אלגוריתם NTRU Prime המיועד למערכות הצפנה פוסט-קוונטיות.
• יציאות 989 (ftps-data) ו-990 (ftps) נוספו למספר יציאות הרשת האסורות על מנת לחסום את מתקפת ה-ALPACA. בעבר, על מנת להגן מפני התקפות Slipstreaming של NAT, יציאות 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 ו-10080 כבר היו חסומות.
• TLS כבר לא תומך בצפנים המבוססים על אלגוריתם 3DES. בפרט, חבילת הצפנים TLS_RSA_WITH_3DES_EDE_CBC_SHA, הרגישה למתקפת Sweet32, הוסרה.
• התמיכה באובונטו 16.04 הופסקה.
• אפשר להשתמש ב-WebOTP API בין מכשירים שונים המחוברים דרך חשבון גוגל משותף. WebOTP מאפשר לאפליקציית אינטרנט לקרוא קודי אימות חד-פעמיים שנשלחים באמצעות SMS. השינוי המוצע מאפשר לקבל קוד אימות במכשיר נייד עם Chrome עבור אנדרואיד, ולהחיל אותו על מערכת שולחנית.
• ה-User-Agent Client Hints API הורחב, ופותח כתחליף לכותרת User-Agent. User-Agent Client Hints מאפשר לך לארגן מסירה סלקטיבית של נתונים לגבי פרמטרים ספציפיים של דפדפן ומערכת (גרסה, פלטפורמה וכו') רק לאחר בקשה של השרת. המשתמש, בתורו, יכול לקבוע איזה מידע ניתן לספק לבעלי האתר. בעת שימוש ב-User-Agent Client Hints, מזהה הדפדפן אינו מועבר ללא בקשה מפורשת, וכברירת מחדל מצוינים רק פרמטרים בסיסיים, מה שמקשה על זיהוי פסיבי.

  הגרסה החדשה תומכת בפרמטר Sec-CH-UA-Bitness כדי להחזיר נתונים על bitness הפלטפורמה, שניתן להשתמש בהם כדי להגיש קבצים בינאריים אופטימליים. כברירת מחדל, הפרמטר Sec-CH-UA-Platform נשלח עם מידע כללי על הפלטפורמה. ערך UADataValues ​​שהוחזר בעת קריאה ל-getHighEntropyValues() מיושם כברירת מחדל להחזרת פרמטרים כלליים אם אי אפשר להחזיר אפשרות מפורטת. שיטת toJSON נוספה לאובייקט NavigatorUAData, המאפשרת לך להשתמש במבנים כמו JSON.stringify(navigator.userAgentData).

• היכולת לארוז משאבים לחבילות בפורמט Web Bundle, המתאימה לארגון טעינה יעילה יותר של מספר רב של קבצים נלווים (סגנונות CSS, JavaScript, תמונות, iframes), התייצבה ומוצעת כברירת מחדל. בין החסרונות בתמיכה הקיימת בחבילות לקבצי JavaScript (webpack), אותם מנסים ה-Web Bundle לבטל: החבילה עצמה, אך לא חלקיה המרכיבים, יכולה להגיע ל-HTTP cache; הידור וביצוע יכולים להתחיל רק לאחר הורדת החבילה במלואה; יש לקודד משאבים נוספים כמו CSS ותמונות בצורה של מחרוזות JavaScript, מה שמגדיל את הגודל ודורש שלב ניתוח נוסף.
• ה-API של WebXR Plane Detection כלול, המספק מידע על משטחים מישוריים בסביבת תלת מימד וירטואלית. ה-API שצוין מאפשר להימנע מעיבוד עתיר משאבים של נתונים המתקבלים באמצעות הקריאה MediaDevices.getUserMedia(), תוך שימוש בהטמעות קנייניות של אלגוריתמי ראייה ממוחשבת. נזכיר לכם שה-API של WebXR מאפשר לכם לאחד עבודה עם מחלקות שונות של מכשירי מציאות מדומה, החל מקסדות תלת מימד נייחות ועד לפתרונות המבוססים על מכשירים ניידים.
• מספר ממשקי API חדשים נוספו למצב נסיונות Origin (תכונות ניסוי הדורשות הפעלה נפרדת). ניסיון של Origin מרמז על היכולת לעבוד עם ה-API שצוין מיישומים שהורדו מ-localhost או 127.0.0.1, או לאחר רישום וקבלת אסימון מיוחד שתקף לזמן מוגבל עבור אתר ספציפי.
  • הוצע ה-API של Multi-Screen Window Placement, המאפשר למקם חלונות בכל תצוגה המחוברת למערכת הנוכחית, וכן לשמור את מיקום החלון ובמידת הצורך להרחיב את החלון למסך מלא. לדוגמה, באמצעות ה-API שצוין, יישום אינטרנט להצגת מצגת יכול לארגן את הצגת השקופיות במסך אחד, ולהציג הערה עבור המציג במסך אחר.
  • הכותרת Cross-Origin-Embedder-Policy, השולטת במצב בידוד Cross-Origin ומאפשרת לך להגדיר כללי שימוש מאובטחים בדף ה-Privileged Operations, תומכת כעת בפרמטר "ללא אישורים" כדי להשבית את שידור המידע הקשור לאישורים כגון קובצי Cookie ואישורי לקוח.
  • עבור יישומי אינטרנט עצמאיים (PWA, Progressive Web Apps) השולטים בעיבוד של תוכן החלון ומטפלים בקלט, מסופק שכבת-על עם פקדי חלון, כגון שורת כותרת וכפתורי הרחבה/כיווץ. שכבת-על מרחיבה את האזור הניתן לעריכה כדי לכסות את כל החלון ומאפשרת לך להוסיף אלמנטים משלך לאזור הכותרת.
  • נוספה את היכולת ליצור יישומי PWA שיכולים לשמש כמטפלי כתובות URL. לדוגמה, אפליקציית music.example.com יכולה לרשום את עצמה כמטפל ב-URL https://*.music.example.com וכל המעבר מיישומים חיצוניים באמצעות קישורים אלה, למשל, מסרים מידיים ומלקוחות דוא"ל, יובילו לפתיחת יישומי PWA- זה, לא לשונית דפדפן חדשה.
• אפשר לטעון קבצי CSS באמצעות הביטוי "ייבוא", בדומה לטעינת מודולי JavaScript, מה שנוח בעת יצירת אלמנטים משלך ומאפשר לך לעשות בלי להקצות סגנונות באמצעות קוד JavaScript. ייבוא ​​גיליון מ-'./styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [גיליון]; shadowRoot.adoptedStyleSheets = [גיליון];
• סופקה שיטה סטטית חדשה, AbortSignal.abort(), המחזירה אובייקט AbortSignal שכבר הוגדר ל- aborted. במקום מספר שורות קוד ליצירת אובייקט AbortSignal במצב ביטול, כעת תוכל להסתדר עם שורה אחת של "return AbortSignal.abort()".
• אלמנט ה-Flexbox הוסיף תמיכה עבור מילות המפתח התחלה, סיום, התחלה עצמית, סיום עצמי, שמאל וימין, ומשלים את מילות המפתח המרכזיות, ההתחלה והסיום הגמיש עם כלים ליישור מפושט של המיקום של רכיבי הגמישות.
• הבנאי Error() מיישם מאפיין "סיבה" אופציונלי חדש, המאפשר לך לשייך בקלות שגיאות זו לזו. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → נכון
• נוספה תמיכה במצב noplaybackrate למאפיין HTMLMediaElement.controlsList, המאפשר לך להשבית אלמנטים של הממשק המסופק בדפדפן לשינוי מהירות ההשמעה של תוכן מולטימדיה.
• נוספה הכותרת Sec-CH-Prefers-Color-Scheme, המאפשרת, בשלב שליחת הבקשות, להעביר נתונים לגבי ערכת הצבעים המועדפת על המשתמש המשמשת בשאילתות מדיה "prefers-color-scheme", מה שיאפשר לאתר לבצע אופטימיזציה טעינת CSS המשויך לסכימה שנבחרה והימנע מתגים גלויים מסכימות אחרות.
• הוסיף את המאפיין Object.hasOwn, שהוא גרסה פשוטה של ​​Object.prototype.hasOwnProperty, המיושמת כשיטה סטטית. Object.hasOwn({ prop: 42 }, 'prop') // → true
• מהדר JIT של Sparkplug, תוכנן להידור מהיר מאוד של כוח גס, הוסיף מצב ביצוע אצווה כדי להפחית את התקורה של מעבר דפי זיכרון בין מצבי כתיבה להפעלה. Sparkplug מרכיב כעת מספר פונקציות בבת אחת וקורא ל-mprotect פעם אחת כדי לשנות את ההרשאות של הקבוצה כולה. המצב המוצע מקטין משמעותית את זמן ההידור (עד 44%) מבלי להשפיע לרעה על ביצועי הביצוע של JavaScript.
• גרסת האנדרואיד משביתה את ההגנה המובנית של מנוע ה-V8 מפני התקפות ערוץ צדדי כמו Spectre, שאינן נחשבות ליעילות כמו בידוד אתרים בתהליכים נפרדים. בגרסת שולחן העבודה, מנגנונים אלה הושבתו עוד במהדורת Chrome 70. השבתת בדיקות מיותרות אפשרה להגדיל את הביצועים ב-2-15%.
• בוצעו שיפורים בכלים למפתחי אתרים. במצב בדיקת גיליון סגנונות, ניתן לערוך שאילתות שנוצרו באמצעות הביטוי @container. במצב בדיקת רשת, מיושמת תצוגה מקדימה של משאבים בפורמט חבילת אינטרנט. במסוף האינטרנט נוספו לתפריט ההקשר אפשרויות להעתקת מחרוזות בצורה של JavaScript או JSON מילולית. איתור באגים משופר של שגיאות הקשורות ל-CORS (שיתוף משאבים צולב).

בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 27 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות באמצעות הכלים AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ו-AFL. לא זוהו בעיות קריטיות שיאפשרו לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. כחלק מהתוכנית לתגמולים במזומן על גילוי נקודות תורפה עבור המהדורה הנוכחית, גוגל שילמה 19 פרסים בשווי $136500 (שלושה פרסים של $20000, פרס אחד של $15000, שלושה פרסים של $10000, פרס אחד של $7500, שלושה פרסים של $5000, 3000 $5 פרסים). גודלם של XNUMX התגמולים טרם נקבע.

מקור: OpenNet.ru