Издание на Chrome 93

Google го претстави објавувањето на веб-прелистувачот Chrome 93. Во исто време, достапно е стабилно издание на бесплатниот проект Chromium, кој служи како основа на Chrome. Прелистувачот Chrome се одликува со употреба на логоа на Google, присуство на систем за испраќање известувања во случај на пад, модули за репродукција на заштитени видео содржини (DRM), систем за автоматско инсталирање ажурирања и пренесување на RLZ параметри при пребарување. Следното издание на Chrome 94 е закажано за 21 септември (развојот е преместен во 4-неделен циклус на издавање).

Клучни промени во Chrome 93:

• Модернизиран е дизајнот на блокот со информации за страницата (информации за страницата), во кој е имплементирана поддршка за вгнездени блокови, а паѓачките списоци со права за пристап се заменети со прекинувачи. Списоците гарантираат дека најважните информации се прикажуваат прво. Промената не е овозможена за сите корисници; за да ја активирате, можете да ја користите поставката „chrome://flags/#page-info-version-2-desktop“.
• За мал процент од корисници, како експеримент, индикаторот за безбедно поврзување во лентата за адреси беше заменет со понеутрален симбол кој не предизвикува двојно толкување (бравата беше заменета со знак „V“). За врски воспоставени без шифрирање, индикаторот „небезбеден“ продолжува да се прикажува. Причината наведена за замена на индикаторот е тоа што многу корисници го поврзуваат индикаторот за катанец со фактот дека може да се верува на содржината на страницата, наместо да ја гледаат како знак дека врската е шифрирана. Судејќи според анкетата на Google, само 11% од корисниците го разбираат значењето на иконата со заклучување.
• Списокот на неодамна затворени јазичиња сега ја прикажува содржината на затворените групи јазичиња (претходно списокот едноставно го прикажуваше името на групата без детали за содржината) со можност за враќање на целата група и поединечни јазичиња од групата одеднаш. Функцијата не е овозможена за сите корисници, па можеби ќе треба да ја промените поставката „chrome://flags/#tab-restore-sub-menus“ за да ја овозможите.
• За претпријатијата, имплементирани се нови поставки: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites и JavaScriptJitBlockedForSites, кои ви овозможуваат да го контролирате режимот без JIT, кој ја оневозможува употребата на JIT компилација при извршување на JavaScript (само се користи преведувачот за палење на сите execut-бити за палење) меморија за време на извршувањето на кодот. Оневозможувањето на JIT може да биде корисно за подобрување на безбедноста при работа со потенцијално опасни веб-апликации по цена на намалување на перформансите на извршувањето на JavaScript за приближно 17%. Вреди да се одбележи дека Microsoft отиде уште подалеку и имплементира експериментален режим „Super Duper Secure“ во прелистувачот Edge, дозволувајќи му на корисникот да го оневозможи JIT и да ги активира хардверските безбедносни механизми што не се компатибилни со JIT CET (Controlflow-Enforcement Technology), ACG (арбитрарно Code Guard) и CFG (Control Flow Guard) за процеси за обработка на веб-содржини. Доколку експериментот се покаже како успешен, тогаш можеме да очекуваме да биде префрлен во главниот дел на Chrome.
• Новата страница на јазичето обезбедува листа на најпопуларните документи зачувани во Google Drive. Содржината на списокот одговара на делот Приоритет во drive.google.com. За да го контролирате прикажувањето на содржината на Google Drive, можете да ги користите поставките „chrome://flags/#ntp-modules“ и „chrome://flags/#ntp-drive-module“.
• Додадени се нови информативни картички на страницата Отвори нова картичка за да ви помогнат да најдете неодамна прегледана содржина и поврзани информации. Картичките се дизајнирани да го олеснат продолжувањето на работата со информации чиешто гледање било прекинато, на пример, картичките ќе ви помогнат да најдете рецепт за јадење што неодамна било пронајдено на интернет, но било изгубено по затворањето на страницата, или да продолжите да правите купувања во продавници. Како експеримент, на корисниците им се нудат две нови мапи: „Рецепти“ (chrome://flags/#ntp-recipe-tasks-module) за пребарување на кулинарски рецепти и прикажување неодамна прегледани рецепти; „Шопинг“ (chrome://flags/#ntp-chrome-cart-module) за потсетници за производите избрани во онлајн продавниците.
• Верзијата на Android додава опционална поддршка за панелот за континуирано пребарување (chrome://flags/#continuous-search), кој ви овозможува да ги одржувате видливи неодамнешните резултати од пребарувањето на Google (панелот продолжува да прикажува резултати откако ќе се пресели на други страници).
• Експериментален режим на споделување понуди е додаден во верзијата на Android (chrome://flags/#webnotes-stylize), што ви овозможува да зачувате избран фрагмент од страницата како понуда и да ја споделите со други корисници.
• Кога објавувате нови дополнувања или ажурирања на верзии на веб-продавницата на Chrome, сега е потребна двофакторна потврда на програмерите.
• Корисниците на сметката на Google имаат опција да ги зачуваат информациите за плаќање на нивната сметка на Google.
• Во режимот инкогнито, ако е активирана опцијата за бришење на податоците за навигација, имплементиран е нов дијалог за потврда на операцијата, со објаснување дека бришењето на податоците ќе го затвори прозорецот и ќе ги заврши сите сесии во режимот инкогнито.
• Поради идентификувани некомпатибилности со фирмверот на некои уреди, додадена е поддршка за новиот метод на договор со клучеви во Chrome 91, отпорен на погодување на квантни компјутери, врз основа на употребата на екстензијата CECPQ1.3 (Комбинирана елиптична крива и пост-квантна 2) во TLSv2, комбинирајќи класичен механизам за размена на клучеви X25519 со HRSS шема базирана на NTRU Prime алгоритам дизајниран за пост-квантни криптосистеми.
• Портите 989 (ftps-податоци) и 990 (ftps) се додадени на бројот на забранети мрежни порти со цел да се блокира нападот ALPACA. Претходно, со цел да се заштитат од напади на NAT slipstreaming, портите 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 и 10080 веќе беа блокирани.
• TLS повеќе не поддржува шифри засновани на алгоритмот 3DES. Особено, TLS_RSA_WITH_3DES_EDE_CBC_SHA пакетот шифри, кој е подложен на нападот Sweet32, е отстранет.
• Поддршката за Ubuntu 16.04 е прекината.
• Можно е да се користи WebOTP API помеѓу различни уреди поврзани преку заедничка сметка на Google. WebOTP овозможува веб-апликација да чита еднократни кодови за потврда испратени преку СМС. Предложената промена овозможува да се добие код за потврда на мобилен уред со Chrome за Android и да се примени на десктоп систем.
• АПИ-то на кориснички агент за клиент совети е проширено, развиено како замена за заглавието на кориснички агент. Советите за клиентот на корисникот-агент ви овозможуваат да организирате селективна испорака на податоци за одредени параметри на прелистувачот и системот (верзија, платформа, итн.) само по барање од серверот. Корисникот, пак, може да одреди кои информации може да им се обезбедат на сопствениците на сајтовите. Кога користите совети за клиентот на кориснички агент, идентификаторот на прелистувачот не се пренесува без експлицитно барање, а стандардно се наведени само основни параметри, што ја отежнува пасивната идентификација.

  Новата верзија го поддржува параметарот Sec-CH-UA-Bitness за враќање на податоците за битноста на платформата, што може да се користи за оптимизирани бинарни датотеки. Стандардно, параметарот Sec-CH-UA-Platform се испраќа со општи информации за платформата. Вредноста UADataValues ​​вратена при повикување getHighEntropyValues() се имплементира стандардно за да се вратат генерализираните параметри доколку е невозможно да се врати детална опција. Методот toJSON е додаден во објектот NavigatorUAData, кој ви овозможува да користите конструкции како JSON.stringify(navigator.userAgentData).

• Можноста за пакување ресурси во пакети во формат на Web Bundle, погодна за организирање поефикасно вчитување на голем број придружни датотеки (стилови на CSS, JavaScript, слики, iframes), е стандардно стабилизирана и понудена. Меѓу недостатоците во постоечката поддршка за пакети за датотеки JavaScript (webpack), кои Web Bundle се обидува да ги елиминира: самиот пакет, но не и неговите составни делови, може да заврши во кешот HTTP; компилацијата и извршувањето може да започне само откако пакетот е целосно преземен; Дополнителни ресурси како што се CSS и слики мора да бидат кодирани во форма на жици на JavaScript, што ја зголемува големината и бара уште еден чекор на парсирање.
• Вклучено е WebXR Plane Detection API, обезбедувајќи информации за рамни површини во виртуелна 3D средина. Наведеното API овозможува да се избегне обработка на податоци со интензивна ресурси, добиени преку повикот MediaDevices.getUserMedia(), користејќи сопственички имплементации на алгоритми за компјутерска визија. Да ве потсетиме дека WebXR API ви овозможува да ја обедините работата со различни класи на уреди за виртуелна реалност, од неподвижни 3D шлемови до решенија базирани на мобилни уреди.
• Додадени се неколку нови API во режимот Origin Trials (експериментални карактеристики кои бараат посебно активирање). Origin Trial подразбира можност за работа со наведеното API од апликации преземени од localhost или 127.0.0.1, или по регистрирање и примање специјален токен кој важи ограничено време за одредена локација.
  • Предложено е API за поставување прозорци со повеќе екрани, кое ви овозможува да поставите прозорци на кој било дисплеј поврзан со тековниот систем, како и да ја зачувате позицијата на прозорецот и, доколку е потребно, да го проширите прозорецот на цел екран. На пример, користејќи го наведеното API, веб-апликацијата за прикажување презентација може да организира приказ на слајдови на еден екран и да прикаже белешка за презентерот на друг.
  • Заглавието Cross-Origin-Embedder-Policy, кое го контролира режимот за изолација вкрстено потекло и ви овозможува да дефинирате безбедни правила за користење на страницата со привилегирани операции, сега поддржува параметар „без акредитиви“ за да се оневозможи преносот на информации поврзани со акредитиви, како на пр. Колачиња и сертификати за клиенти.
  • За самостојни веб-апликации (PWA, прогресивни веб-апликации) кои го контролираат прикажувањето на содржината на прозорецот и се справуваат со внесувањето, обезбедено е преклопување со контроли на прозорецот, како што е лентата за наслов и копчињата за проширување/соклопување. Преклопувањето ја проширува областа за уредување за да го покрие целиот прозорец и ви овозможува да додадете свои елементи во областа за наслов.
  • Додадена е способност за креирање PWA апликации кои можат да се користат како управувачи со URL. На пример, апликацијата music.example.com може да се регистрира себеси како управувач со URL https://*.music.example.com и сите транзиции од надворешни апликации користејќи ги овие врски, на пример, од инстант-месинџери и клиенти за е-пошта, ќе доведат до отворањето на оваа PWA-апликации, а не ново јазиче на прелистувачот.
• Можно е да се вчитаат CSS-датотеки со помош на изразот „увоз“, слично на вчитување на JavaScript модули, што е погодно кога креирате сопствени елементи и ви овозможува да правите без доделување стилови користејќи JavaScript код. увоз на лист од './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [лист]; shadowRoot.adoptedStyleSheets = [лист];
• Обезбеден е нов статичен метод, AbortSignal.abort(), кој враќа објект AbortSignal кој веќе е поставен на прекинат. Наместо неколку линии код за креирање на AbortSignal објект во прекината состојба, сега можете да се справите со една линија „враќање AbortSignal.abort()“.
• Елементот Flexbox додаде поддршка за клучните зборови за почеток, крај, само-почеток, само-крај, лево и десно, дополнувајќи ги клучните зборови во центарот, флекс-старт и флекс-крај со алатки за поедноставено усогласување на положбата на флексибилните елементи.
• Конструкторот Error() имплементира ново опционално својство „cause“, кое ви овозможува лесно да ги поврзувате грешките една со друга. const parentError = нова Грешка ('родител'); const error = new Error('родител', { причина: парентГрешка }); console.log(error.cause === парентГрешка); // → точно
• Додадена е поддршка за режимот noplaybackrate на својството HTMLMediaElement.controlsList, што ви овозможува да ги оневозможите елементите на интерфејсот обезбеден во прелистувачот за менување на брзината на репродукција на мултимедијална содржина.
• Додадено е заглавието Sec-CH-Prefers-Color-Scheme, кое овозможува, во фазата на испраќање на барањето, да се пренесат податоци за претпочитаната шема на бои на корисникот што се користи во медиумските барања „prefers-color-scheme“, што ќе и овозможи на страницата да се оптимизира вчитувањето на CSS поврзано со избраната шема и избегнување видливи прекинувачи од други шеми.
• Додадено е имотот Object.hasOwn, што е поедноставена верзија на Object.prototype.hasOwnProperty, имплементирана како статичен метод. Object.hasOwn({ prop: 42 }, 'prop') // → точно
• Дизајниран за многу брза компилација со брутална сила, компајлерот JIT на Sparkplug додаде режим на сериско извршување за да ги намали трошоците за префрлување на мемориските страници помеѓу режимите за пишување и извршување. Sparkplug сега составува повеќе функции одеднаш и го повикува mprotect еднаш за да ги промени дозволите на целата група. Предложениот режим значително го намалува времето на компилација (до 44%) без негативно да влијае на перформансите на JavaScript за извршување.
• Верзијата на Android ја оневозможува вградената заштита на моторот V8 од напади на страничните канали, како што е Spectre, кои не се сметаат за ефективни како изолирањето на локациите во посебни процеси. Во десктоп верзијата, овие механизми беа оневозможени уште во изданието на Chrome 70. Оневозможувањето на непотребните проверки овозможи да се зголемат перформансите за 2-15%.
• Направени се подобрувања на алатките за веб-програмери. Во режимот за проверка на листи со стилови, можно е да се уредуваат барањата генерирани со користење на изразот @container. Во режимот за проверка на мрежата, се имплементира преглед на ресурси во формат на веб-пакет. Во веб-конзолата, во контекстното мени се додадени опции за копирање низи во форма на JavaScript или JSON буквално. Подобрено дебагирање на грешки поврзани со CORS (Споделување ресурси со вкрстено потекло).

Покрај иновациите и поправените грешки, новата верзија елиминира 27 пропусти. Многу од ранливостите беа идентификувани како резултат на автоматско тестирање со помош на алатките AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не се идентификувани критични проблеми што ќе овозможат да се заобиколат сите нивоа на заштита на прелистувачот и да се изврши код на системот надвор од околината на песокот. Како дел од програмата за плаќање парични награди за откривање ранливости за тековното издание, Google плати 19 награди во вредност од 136500 долари (три награди од 20000 долари, една награда од 15000 долари, три награди од 10000 долари, една награда од 7500 долари, три награди од 5000 долари, награди од 3000 долари и три награди од 5 долари). Големината на XNUMX-те награди сè уште не е одредена.

Извор: opennet.ru