크롬 104 릴리스

구글이 크롬 104 웹브라우저를 공개했고, 동시에 크롬의 기반이 되는 무료 크로미움(Chromium) 프로젝트도 안정적으로 출시됐다. Chrome 브라우저는 Google 로고 사용, 충돌 시 알림 전송 시스템 존재, 복사 방지된 비디오 콘텐츠(DRM) 재생 모듈, 업데이트 자동 설치 시스템, 샌드박스 격리를 영구적으로 활성화한다는 점에서 Chromium과 다릅니다. , Google API에 키를 제공하고 검색 시 RLZ- 매개변수를 전송합니다. 업데이트에 시간이 더 필요한 분들을 위해 Extended Stable 브랜치가 별도로 지원되며, 이후 8주가 소요됩니다. Chrome 105의 다음 릴리스는 30월 XNUMX일로 예정되어 있습니다.

Chrome 104의 주요 변경 사항:

• 쿠키 수명 제한이 도입되었습니다. Expires 및 Max-Age 속성을 통해 설정된 만료 시간이 400일을 초과하더라도 모든 새 쿠키 또는 업데이트된 쿠키는 존재 후 400일 후에 자동으로 삭제됩니다(해당 쿠키의 경우 수명이 단축됩니다). 최대 400일). 제한이 시행되기 전에 생성된 쿠키는 400일을 초과하더라도 수명을 유지하지만, 업데이트되면 제한됩니다. 변경 사항은 새 사양 초안에 명시된 새로운 요구 사항을 반영합니다.
• 로컬 파일 시스템('filesystem://')을 참조하는 iframe URL 차단을 활성화했습니다.
• 페이지 로딩 속도를 높이기 위해 버튼을 놓거나 터치 스크린에서 손가락을 떼는 것을 기다리지 않고 링크를 클릭하는 순간 대상 호스트에 대한 연결이 설정되도록 하는 새로운 최적화가 추가되었습니다.
• 개인 정보 보호 샌드박스 이니셔티브의 일부로 승격된 '주제 및 관심 그룹' 관리를 위한 설정이 추가되었습니다. 이를 통해 쿠키를 추적하는 대신 사용자 관심 카테고리를 정의하고 이를 사용하여 개별 사용자를 식별하지 않고도 비슷한 관심을 가진 사용자 그룹을 식별할 수 있습니다. . 또한 한 번 표시되는 정보 대화 상자가 추가되어 사용자에게 기술의 본질을 설명하고 설정에서 지원을 활성화하도록 제안합니다.
• 4ms 미만의 간격으로 실행되는 setTimeout 및 setInterval 타이머에 대한 중첩 호출을 제한하기 위해 임계값이 증가했습니다("setTimeout(..., <4ms)"). 이러한 통화에 대한 총 한도가 5회에서 100회로 늘어났습니다. 이를 통해 개별 통화를 공격적으로 줄이지 않으면서 동시에 브라우저 성능에 영향을 미칠 수 있는 남용을 방지할 수 있습니다.
• 활성화는 페이지가 내부 네트워크(192.168.xx)의 하위 리소스에 액세스할 때 "Access-Control-Request-Private-Network: true" 헤더와 함께 CORS(Cross-Origin Resource Sharing) 인증 확인 요청을 기본 사이트 서버로 보내는 것입니다. , 10.xxx, 172.16-31.xx) 또는 로컬 호스트(127.xxx)로. 이 요청에 대한 응답으로 작업을 확인할 때 서버는 "Access-Control-Allow-Private-Network: true" 헤더를 반환해야 합니다. Chrome 버전 104에서는 확인 결과가 아직 요청 처리에 영향을 미치지 않습니다. 확인이 없으면 웹 콘솔에 경고가 표시되지만 하위 리소스 요청 자체는 차단되지 않습니다. 승인 없음 차단 활성화는 Chrome 107까지는 예상되지 않습니다. 이전 릴리스에서 차단을 활성화하려면 "chrome://flags/#private-network-access-Respect-preflight-results" 설정을 활성화하면 됩니다.

  사이트 오픈 시 로드되는 스크립트로부터 로컬 네트워크나 사용자 컴퓨터(localhost)의 리소스에 접근하는 것과 관련된 공격에 대한 보호를 강화하기 위해 서버에 의한 권한 확인이 도입되었습니다. 이러한 요청은 공격자가 라우터, 액세스 포인트, 프린터, 기업 웹 인터페이스 및 로컬 네트워크의 요청만 수락하는 기타 장치 및 서비스에 대해 CSRF 공격을 수행하는 데 사용됩니다. 이러한 공격으로부터 보호하기 위해 내부 네트워크에서 하위 리소스에 액세스하는 경우 브라우저는 이러한 하위 리소스를 로드할 수 있는 권한을 명시적으로 요청합니다.

• 화면 캡처를 기반으로 생성된 비디오에서 불필요한 콘텐츠를 잘라낼 수 있는 영역 캡처 메커니즘이 추가되었습니다. 예를 들어, getDisplayMedia API를 사용하면 웹 애플리케이션이 탭 콘텐츠의 비디오를 스트리밍할 수 있고, 영역 캡처를 사용하면 화상 회의 컨트롤이 포함된 콘텐츠의 일부를 잘라낼 수 있습니다.
• 가시 영역(뷰포트)의 최소 및 최대 크기를 결정하는 미디어 쿼리 레벨 4 사양에 정의된 새로운 미디어 쿼리 구문에 대한 지원이 추가되었습니다. 새로운 구문을 사용하면 "not", "or" 및 "and"와 같은 일반적인 수학적 비교 연산자와 논리 연산자를 사용할 수 있습니다. 예를 들어, "@media (min-width: 400px) { … }" 대신 이제 "@media (width >= 400px) { … }"를 지정할 수 있습니다.
• 몇 가지 새로운 API가 Origin Trials 모드에 추가되었습니다(별도의 활성화가 필요한 실험 기능). Origin 평가판은 localhost 또는 127.0.0.1에서 다운로드한 애플리케이션에서 또는 특정 사이트에 대해 제한된 시간 동안 유효한 특수 토큰을 등록 및 수신한 후 지정된 API로 작업할 수 있는 기능을 의미합니다.
  • 키보드의 화살표 키를 사용하여 요소 탐색을 개선하기 위해 CSS 속성 "focusgroup"을 추가했습니다.
  • 보안 결제 확인 API는 사용자가 신용 카드 설정 저장소를 비활성화할 수 있는 기능을 제공합니다. 신용 카드 매개변수 저장을 거부할 수 있는 대화 상자를 표시하기 위해 PaymentRequest() 생성자는 "showOptOut: true" 플래그를 제공합니다.
  • 단일 페이지 웹 애플리케이션에서 다양한 콘텐츠 보기 간의 원활한 전환을 구성할 수 있는 공유 요소 전환 API가 추가되었습니다.
• 추측 규칙에 대한 지원이 안정화되어 웹 사이트 작성자가 사용자가 이동할 가능성이 가장 높은 페이지에 대한 정보를 브라우저에 제공할 수 있습니다. 브라우저는 이 정보를 사용하여 페이지 콘텐츠를 사전에 로드하고 렌더링합니다.
• 하위 리소스를 웹 번들 형식의 패키지로 패키징하는 메커니즘이 안정화되어 많은 수의 동반 파일(CSS 스타일, JavaScript, 이미지, iframe)을 로드하는 효율성이 높아졌습니다. Webpack 형식의 패키지와 달리 Web Bundle 형식에는 다음과 같은 장점이 있습니다. HTTP 캐시에 저장되는 패키지 자체가 아니라 구성 요소 부분입니다. 패키지가 완전히 다운로드될 때까지 기다리지 않고 JavaScript의 컴파일 및 실행이 시작됩니다. 웹팩에서 JavaScript 문자열 형식으로 인코딩해야 하는 CSS 및 이미지와 같은 추가 리소스를 포함하는 것이 허용됩니다.
• 예를 들어 테두리나 그림자를 추가하는 데 사용할 수 있는 특정 요소 대신 영역에 표시될 이미지의 일부를 정의할 수 있는 object-view-box CSS 속성이 추가되었습니다.
• 하나의 Window 객체가 다른 Window 객체에 requestFullscreen() 호출 권한을 위임할 수 있도록 전체 화면 기능 위임 API를 추가했습니다.
• 전체 화면 도우미 창 API를 추가하여 사용자로부터 확인을 받은 후 전체 화면 콘텐츠와 팝업을 다른 화면에 배치할 수 있습니다.
• Overflow-clip-margin CSS 속성에 시각적 상자 속성이 추가되었습니다. 이 속성은 영역 경계를 벗어나는 콘텐츠 자르기를 시작할 위치를 결정합니다(content-box, padding-box 및 border- 값을 사용할 수 있음). 상자).
• Async Clipboard API에는 텍스트, 이미지, 마크업이 포함된 텍스트 외에 클립보드를 통해 전송된 데이터에 대한 특수 형식을 정의하는 기능이 추가되었습니다.
• WebGL은 텍스처에서 가져올 때 렌더링 버퍼 및 변환에 대한 색상 공간을 지정하는 지원을 제공합니다.
• OS X 10.11 및 macOS 10.12 플랫폼에 대한 지원이 중단되었습니다.
• 이전에 더 이상 사용되지 않고 기본적으로 비활성화되었던 U2F(Cryptotoken) API는 중단되었습니다. U2F API는 웹 인증 API로 대체되었습니다.
• 웹 개발자를 위한 도구가 개선되었습니다. 이제 디버거에는 함수 본문 어딘가에서 중단점에 도달한 후 함수 시작 부분에서 코드를 다시 시작할 수 있는 기능이 있습니다. 레코더 패널용 추가 기능 개발에 대한 지원이 추가되었습니다. Performance.measure() 메서드를 호출하여 웹 애플리케이션에 설정된 마크를 시각화하는 지원이 성능 분석 패널에 추가되었습니다. JavaScript 개체 속성의 자동 완성에 대한 권장 사항이 개선되었습니다. CSS 변수 자동 완성 시 색상과 관련되지 않은 값의 미리보기가 제공됩니다.

혁신과 버그 수정 외에도 새 버전에서는 27개의 취약점이 제거되었습니다. AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer 및 AFL 도구를 사용한 자동화된 테스트의 결과로 많은 취약점이 식별되었습니다. 모든 수준의 브라우저 보호를 우회하고 샌드박스 환경 외부의 시스템에서 코드를 실행할 수 있는 심각한 문제는 확인되지 않았습니다. 현재 릴리스의 취약점 발견에 대한 현금 보상 프로그램의 일환으로 Google은 22달러 상당의 84개 상(15000개 $10000 상, 8000개 $7000 상, 5000개 $4000 상, 3000개 $2000 상, 1000개 $XNUMX 상, XNUMX개 $XNUMX 상, XNUMX개 $XNUMX 상)을 지급했습니다. , $XNUMX 상 XNUMX개, $XNUMX 상 XNUMX개). 하나의 보상 규모는 아직 결정되지 않았습니다.

출처 : opennet.ru