크롬 90 릴리스

구글이 크롬 90 웹브라우저를 공개했고, 동시에 크롬의 기반이 되는 무료 크로미움(Chromium) 프로젝트도 안정적으로 출시됐다. Chrome 브라우저는 Google 로고 사용, 충돌 시 알림 전송 시스템, DRM(보호된 비디오 콘텐츠) 재생 모듈, 업데이트 자동 설치 시스템, 검색 시 RLZ 매개변수 전송으로 구별됩니다. Chrome 91의 다음 릴리스는 25월 XNUMX일로 예정되어 있습니다.

Chrome 90의 주요 변경 사항:

• 모든 사용자는 기본적으로 주소 표시줄에 호스트 이름을 입력할 때 HTTPS를 통해 사이트를 열 수 있습니다. 예를 들어 호스트 example.com을 입력하면 기본적으로 https://example.com 사이트가 열리며, 열 때 문제가 발생하면 http://example.com으로 롤백됩니다. 기본 “https://” 사용을 제어하기 위해 “chrome://flags#omnibox-default-typed-navigations-to-https” 설정이 제안됩니다.
• 이제 창에 서로 다른 레이블을 할당하여 데스크탑 패널에서 시각적으로 구분할 수 있습니다. 창 이름 변경 지원은 예를 들어 업무, 개인적인 관심사, 엔터테인먼트, 지연된 자료 등을 위해 별도의 창을 열 때와 같이 다양한 작업에 대해 별도의 브라우저 창을 사용할 때 작업 구성을 단순화합니다. 이름은 탭 바의 빈 곳을 마우스 오른쪽 버튼으로 클릭하면 나타나는 컨텍스트 메뉴의 “창 제목 추가” 항목을 통해 변경됩니다. 애플리케이션 패널에서 이름을 변경하면 활성 탭의 사이트 이름 대신 선택한 이름이 표시되므로 별도의 계정에 연결된 다른 창에서 동일한 사이트를 열 때 유용할 수 있습니다. 바인딩은 세션 간에 유지되며 다시 시작한 후에는 선택한 이름으로 창이 복원됩니다.
• 'chrome://flags'('chrome://flags#read-later')에서 설정을 변경하지 않고도 '읽기 목록'을 숨기는 기능이 추가되었습니다. 숨기려면 이제 북마크바를 마우스 오른쪽 버튼으로 클릭하면 표시되는 상황에 맞는 메뉴 하단에 있는 '읽기 목록 표시' 옵션을 사용할 수 있습니다. 마지막 릴리스에서는 일부 사용자가 주소 표시줄의 별표를 클릭하면 "북마크 추가" 버튼 외에 두 번째 버튼 "읽기 목록에 추가"가 나타나고 오른쪽 모서리에 북마크 패널에는 이전에 목록에 추가된 모든 페이지가 나열되는 "읽기 목록" 메뉴가 나타납니다. 목록에서 페이지를 열면 읽음으로 표시됩니다. 목록의 페이지를 수동으로 읽음 또는 읽지 않음으로 표시하거나 목록에서 제거할 수도 있습니다.
• 정보의 영구 저장을 목적으로 하지 않는 영역("슈퍼쿠키")에 식별자를 저장하는 것을 기반으로 사이트 간 사용자 이동을 추적하는 방법으로부터 보호하기 위해 네트워크 분할에 대한 지원이 추가되었습니다. 캐시된 리소스는 원래 도메인에 관계없이 공통 네임스페이스에 저장되므로 한 사이트에서는 해당 리소스가 캐시에 있는지 확인하여 다른 사이트에서 리소스를 로드하고 있는지 확인할 수 있습니다. 보호는 네트워크 분할(네트워크 분할) 사용을 기반으로 하며, 그 핵심은 공유 캐시에 기본 페이지가 열리는 도메인에 대한 추가 레코드 바인딩을 추가하는 것입니다. 이는 이동 추적 스크립트에 대해서만 캐시 적용 범위를 제한합니다. 현재 사이트로 이동합니다(iframe의 스크립트는 리소스가 다른 사이트에서 다운로드되었는지 확인할 수 없습니다). 세분화의 대가는 캐싱 효율성의 감소로 인해 페이지 로드 시간이 약간 증가합니다(최대 1.32%, 그러나 80% 사이트의 경우 0.09-0.75%).
• NAT 슬립스트리밍 공격으로부터 보호하기 위해 HTTP, HTTPS 및 FTP 요청 전송이 차단된 네트워크 포트의 블랙리스트가 보충되었습니다. 이를 통해 공격자가 브라우저에서 특별히 준비한 웹 페이지를 열 때 네트워크를 설정할 수 있습니다. 내부 주소 범위(192.168.xx, 10.xxx)를 사용함에도 불구하고 공격자의 서버에서 사용자 시스템의 UDP 또는 TCP 포트로의 연결. 금지된 포트 목록에 554(RTSP 프로토콜) 및 10080(Amanda 백업 및 VMWare vCenter에서 사용됨)을 추가했습니다. 이전에는 포트 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 및 6566이 이미 차단되었습니다.
• 브라우저에서 XFA 양식으로 PDF 문서를 열 수 있는 초기 지원이 추가되었습니다.
• 일부 사용자의 경우 'Chrome 설정 > 개인정보 보호 및 보안 > 개인정보 보호 샌드박스'라는 새로운 설정 섹션이 활성화되어 FLoC API의 매개변수를 관리할 수 있습니다. 이를 통해 개인 식별이나 참조 없이 사용자 관심 카테고리를 판단할 수 있습니다. 특정 사이트 방문 기록.
• 이제 중앙 집중식 관리가 활성화된 프로필에 사용자가 연결하면 허용된 작업 목록이 포함된 더 명확한 알림이 표시됩니다.
• 권한 요청 인터페이스를 덜 방해적으로 만들었습니다. 사용자가 승인하지 않을 가능성이 있는 요청은 이제 주소 표시줄에 해당 표시가 표시되어 자동으로 차단되며, 이를 통해 사용자는 사이트별로 권한을 관리하는 인터페이스로 이동할 수 있습니다.
• ROP(반환 지향 프로그래밍) 기술을 사용하여 구축된 악용으로부터 하드웨어를 보호하기 위해 Intel CET(Intel Control-flow Enforcement Technology) 확장에 대한 지원이 포함되었습니다.
• 포괄적인 용어를 사용하도록 브라우저를 계속 전환하는 작업이 진행되고 있습니다. "master_preferences" 파일은 "master"라는 단어를 조상의 이전 노예 제도에 대한 힌트로 인식하는 사용자의 감정을 상하게 하지 않도록 "initial_preferences"로 이름이 변경되었습니다. 호환성을 유지하기 위해 "master_preferences"에 대한 지원은 한동안 브라우저에 유지됩니다. 이전에는 브라우저에서 이미 "화이트리스트", "블랙리스트" 및 "네이티브"라는 단어 사용을 제거했습니다.
• 안드로이드 버전에서는 '라이트' 트래픽 절약 모드를 활성화하면 이동통신사 네트워크를 통해 연결할 때 동영상을 다운로드할 때 비트 전송률이 줄어들어 트래픽 기반 요금제를 활성화한 사용자의 비용이 절감됩니다. "라이트" 모드는 또한 HTTPS를 통해 공개적으로 사용 가능한 리소스(인증 필요 없음)에서 요청된 이미지 압축을 제공합니다.
• WebRTC 프로토콜 기반 화상 회의에 사용하도록 특별히 최적화된 AV1 비디오 형식 인코더가 추가되었습니다. 화상 회의에 AV1을 사용하면 압축 효율성을 높이고 30kbit/sec의 대역폭으로 채널에서 방송할 수 있는 기능을 제공할 수 있습니다.
• JavaScript에서 Array, String 및 TypedArrays 객체는 at() 메서드를 구현합니다. 이를 통해 끝을 기준으로 음수 값을 지정하는 것을 포함하여 상대 인덱싱(상대 위치는 배열 인덱스로 지정됨)을 사용할 수 있습니다(예: "arr.at(-1)"은 배열의 마지막 요소를 반환합니다.
• JavaScript는 일치 그룹의 시작 및 끝 위치가 포함된 배열을 포함하는 정규식에 대한 ".indices" 속성을 추가했습니다. 속성은 "/d" 플래그를 사용하여 정규식을 실행할 때만 채워집니다. const re = /(a)(b)/d; const m = re.exec('ab'); console.log(m.indices[0]); // 0 — 모든 일치 그룹 // → [0, 2] console.log(m.indices[1]); // 1은 일치하는 첫 번째 그룹입니다. // → [0, 1] console.log(m.indices[2]); // 2 - 두 번째 일치 그룹 // → [1, 2]
• 인라인 캐시가 활성화된 "super" 속성(예: super.x)의 성능이 최적화되었습니다. "super"를 사용하는 성능은 이제 일반 속성에 액세스하는 성능에 가깝습니다.
• 인라인 배포를 사용함으로써 JavaScript에서 WebAssembly 함수를 호출하는 속도가 크게 빨라졌습니다. 이 최적화는 현재 실험적이며 "-turbo-inline-js-wasm-calls" 플래그를 사용하여 실행해야 합니다.
• 예를 들어 보다 사실적인 증강 현실 애플리케이션을 만들기 위해 사용자 환경의 개체와 사용자 장치 사이의 거리를 확인할 수 있는 WebXR Depth Sensing API가 추가되었습니다. WebXR API를 사용하면 고정식 3D 헬멧부터 모바일 장치 기반 솔루션에 이르기까지 다양한 종류의 가상 현실 장치와의 작업을 통합할 수 있다는 점을 상기시켜 드리겠습니다.
• WebXR AR 조명 추정 기능이 안정화되어 WebXR AR 세션에서 주변 조명 매개변수를 결정하여 모델이 더욱 자연스러운 모습을 보이고 사용자 환경과 더 잘 통합되도록 할 수 있습니다.
• 오리진 트라이얼 모드(별도 활성화가 필요한 실험적 기능)에는 현재 Android 플랫폼으로 제한되는 몇 가지 새로운 API가 추가됩니다. Origin Trial은 localhost 또는 127.0.0.1에서 다운로드한 애플리케이션에서 또는 특정 사이트에 대해 제한된 시간 동안 유효한 특수 토큰을 등록하고 받은 후 지정된 API로 작업할 수 있는 기능을 의미합니다.
  • 현재 탭의 콘텐츠를 반영하는 MediaStream 비디오 스트림을 캡처할 수 있게 해주는 getCurrentBrowsingContextMedia() 메서드. 유사한 getDisplayMedia() 메서드와 달리 getCurrentBrowsingContextMedia()를 호출하면 탭의 콘텐츠가 포함된 비디오 전송 작업을 확인하거나 차단할 수 있는 간단한 대화 상자가 사용자에게 표시됩니다.
  • 카메라 및 마이크 데이터, 화면 캡처 결과 또는 중간 코덱 디코딩 데이터와 같이 MediaStreamTrack API를 통해 전송된 원시 미디어 스트림을 조작할 수 있는 삽입 가능한 스트림 API. WebCodec 인터페이스는 원시 프레임을 표시하는 데 사용되며 RTCPeerConnections를 기반으로 WebRTC 삽입 가능 스트림 API가 생성하는 것과 유사한 스트림이 생성됩니다. 실용적인 측면에서 새로운 API는 기계 학습 기술을 적용하여 실시간으로 개체를 식별하거나 주석을 달거나, 인코딩 전이나 코덱으로 디코딩한 후에 배경 클리핑과 같은 효과를 추가하는 등의 기능을 허용합니다.
  • 리소스를 패키지(웹 번들)로 패키징하여 많은 수의 동반 파일(CSS 스타일, JavaScript, 이미지, iframe) 로드를 보다 효율적으로 구성하는 기능입니다. Web Bundle이 제거하려고 하는 JavaScript 파일용 패키지(webpack)에 대한 기존 지원의 단점 중 하나는 구성 요소 부분이 아닌 패키지 자체가 HTTP 캐시에 남을 수 있다는 것입니다. 패키지가 완전히 다운로드된 후에만 컴파일 및 실행을 시작할 수 있습니다. CSS 및 이미지와 같은 추가 리소스는 JavaScript 문자열 형식으로 인코딩되어야 하며, 이로 인해 크기가 증가하고 또 다른 구문 분석 단계가 필요합니다.
  • WebAssembly에서 예외 처리를 지원합니다.
• 예를 들어 가져온 타사 요소 스타일과 관련 DOM 하위 분기를 기본 문서에서 분리하기 위해 Shadow DOM에 새 루트 분기를 생성하기 위해 Declarative Shadow DOM API가 안정화되었습니다. 제안된 선언적 API를 사용하면 JavaScript 코드를 작성할 필요 없이 HTML만 사용하여 DOM 분기를 고정 해제할 수 있습니다.
• 가로 세로 비율을 모든 요소에 명시적으로 바인딩할 수 있는 가로 세로 비율 CSS 속성(높이 또는 너비만 지정할 때 누락된 크기를 자동으로 계산)은 애니메이션 중에 값을 보간하는 기능을 구현합니다. 다른 종횡비).
• 의사 클래스 ":state()"를 통해 CSS에 사용자 정의 HTML 요소의 상태를 반영하는 기능이 추가되었습니다. 이 기능은 사용자 상호 작용에 따라 상태를 변경하는 표준 HTML 요소의 기능과 유사하게 구현됩니다.
• CSS 속성 "appearance"는 이제 기본적으로 설정되는 'auto' 값을 지원합니다. 그리고 , Android 플랫폼에서는 추가로 , , , 그리고 .
• "클립" 값에 대한 지원이 "오버플로" CSS 속성에 추가되었습니다. 설정된 경우 블록 너머로 확장되는 콘텐츠는 스크롤 가능성 없이 블록의 허용되는 오버플로 한계까지 잘립니다. 클리핑이 시작되기 전에 콘텐츠가 상자의 실제 테두리를 넘어 확장될 수 있는 거리를 결정하는 값은 새로운 CSS 속성 "overflow-clip-margin"을 통해 설정됩니다. "overflow:hidden"과 비교하여 "overflow:clip"을 사용하면 더 나은 성능을 얻을 수 있습니다.
• Feature-Policy HTTP 헤더는 구조화된 필드 값에 대한 지원을 포함하는 권한 위임 및 고급 기능 활성화를 제어하기 위해 새로운 Permissions-Policy 헤더로 대체되었습니다. 예를 들어 이제 "Permissions-Policy: geolocation"을 지정할 수 있습니다 =()" 대신 "기능 정책: 지리적 위치 '없음'").
• 프로세서 내 명령의 추측 실행으로 인해 발생하는 공격에 대해 프로토콜 버퍼 사용에 대한 보호가 강화되었습니다. 보호는 Cross-Origin-Read-Blocking 메커니즘을 통해 처리되는 스니핑되지 않은 MIME 유형 목록에 "application/x-protobuffer" MIME 유형을 추가하여 구현됩니다. 이전에는 MIME 유형 "application/x-protobuf"가 이미 유사한 목록에 포함되어 있었지만 "application/x-protobuffer"는 제외되었습니다.
• 파일 시스템 액세스 API는 파일의 현재 위치를 끝 이상으로 이동하여 FileSystemWritableFileStream.write() 호출을 통해 후속 쓰기 중에 결과 공백을 XNUMX으로 채우는 기능을 구현합니다. 이 기능을 사용하면 빈 공간이 있는 희박한 파일을 생성할 수 있으며 데이터 블록이 순서 없이 도착하여 파일 스트림에 쓰기 구성을 크게 단순화합니다(예: BitTorrent에서 실행됨).
• DOM 트리가 변경될 때마다 모든 관련 객체를 업데이트할 필요가 없는 경량 Range 유형을 구현하여 StaticRange 생성자를 추가했습니다.
• 요소의 너비 및 높이 매개변수를 지정하는 기능을 구현했습니다. 요소 내부에 지정됨 . 이 기능을 사용하면 요소의 종횡비를 계산할 수 있습니다. , 그것이 수행되는 방식과 유사하게 , 그리고 .
• RTP 데이터 채널에 대한 비표준 지원이 WebRTC에서 제거되었으며 대신 SCTP 기반 데이터 채널을 사용하는 것이 좋습니다.
• navigator.plugins 및 navigator.mimeTypes 속성은 이제 항상 빈 값을 반환합니다(Flash 지원이 종료된 후에는 이러한 속성이 더 이상 필요하지 않음).
• 웹 개발자를 위한 도구에 많은 작은 개선이 이루어졌으며 새로운 CSS 디버깅 도구인 Flexbox가 추가되었습니다.

혁신과 버그 수정 외에도 새 버전에서는 37개의 취약점이 제거되었습니다. AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer 및 AFL 도구를 사용한 자동화된 테스트의 결과로 많은 취약점이 식별되었습니다. 모든 수준의 브라우저 보호를 우회하고 샌드박스 환경 외부의 시스템에서 코드를 실행할 수 있는 심각한 문제는 확인되지 않았습니다. 현재 릴리스의 취약점 발견에 대한 현금 보상 프로그램의 일환으로 Google은 $19 상당의 54000개 상($20000 상 10000개, $5000 3000개, $2000 1000개, $500 6개, $XNUMX XNUMX개, $XNUMX XNUMX개, $XNUMX XNUMX개)을 지급했습니다. ). ). XNUMX개 보상의 규모는 아직 결정되지 않았습니다.

이와 별도로 어제 수정 릴리스 89.0.4389.128이 형성된 후 Chrome 90이 출시되기 전에 Chrome 0에서 수정되지 않은 새로운 89.0.4389.128일 취약점을 사용하는 또 다른 익스플로잇이 게시되었음을 알 수 있습니다. . 이 문제가 Chrome 90에서 수정되었는지 여부는 아직 명확하지 않습니다. 첫 번째 경우와 마찬가지로 익스플로잇은 하나의 취약점만 다루고 샌드박스 격리를 우회하는 코드를 포함하지 않습니다("--no-sandbox" 플래그를 사용하여 Chrome을 실행할 때). , Windows 플랫폼에서 웹 페이지를 열어 메모장을 실행할 때 악용이 발생합니다. 새로운 악용과 관련된 취약점은 WebAssembly 기술에 영향을 미칩니다.

출처 : opennet.ru