Release Chrome 80

Google heeft geïntroduceerd van de webbrowser Chrome 80. Tegelijkertijd beschikbaar is stabiele release van een open source project Chromium, dat de basis vormt voor Chrome. De browser Chrome verschilt met het gebruik van de logo's van Google, het hebben van een systeem voor het verzenden van meldingen in geval van een crash, de mogelijkheid om Flash-modules op aanvraag te downloaden, modules voor het afspelen van beveiligde videoinhoud (DRM), een systeem voor automatische updates en overdracht bij het zoeken RLZ-parametersDe volgende versie van Chrome 81 is gepland voor 17 maart.

Belangrijkste wijzigingen in Chrome 80:

• Voor een klein percentage gebruikers is de functie voor het groeperen van tabbladen aangeboden, waarmee verschillende tabbladen met een vergelijkbaar doel in visueel gescheiden groepen kunnen worden samengevoegd. Aan elke groep kan een eigen kleur en naam worden toegewezen. Gebruikers die niet in de eerste activatieronde waren opgenomen, kunnen de ondersteuning voor het groeperen inschakelen via de optie 'chrome://flags/#tab-groups'.
  
• Ondersteuning voor de functie Scroll-To-Text, waarmee links naar afzonderlijke woorden of zinnen kunnen worden gemaakt, zonder dat in het document expliciet labels moeten worden opgegeven met de tag 'a name' of de eigenschap 'id'. De syntaxis voor dergelijke links wordt gepland om als webstandaard te worden goedgekeurd, die zich momenteel in de fase bevindt van van een concept. De overgangsmasker (die in feite een scrollzoekopdracht uitvoert) wordt onderscheiden van een gewone ankerlink met het teken ':~:'. Bijvoorbeeld, bij het openen van de link 'https://opennet.ru/52312/#:~:text=Chromе' verschuift de pagina naar de positie van de eerste vermelding van het woord 'Chromе' en dit woord wordt gemarkeerd.
• Er is toegepast een striktere beperking op de overdracht van cookies tussen sites, voor niet-HTTPS verzoeken die het verwerken van externe cookies verbieden die worden ingesteld bij toegang tot sites die anders zijn dan de domein van de huidige pagina. Dergelijke cookies worden gebruikt voor het volgen van de bewegingen van de gebruiker tussen sites in de code van advertentienetwerken, sociale media widgets en webanalysesystemen. We herinneren er u aan dat voor het beheren van de overdracht van cookies de in de Set-Cookie-header opgegeven eigenschap SameSite wordt gebruikt, die standaard nu is ingesteld op 'SameSite=Lax', wat het verzenden van cookies voor inter-site subverzoeken beperkt, zoals het aanvragen van een afbeelding of het laden van inhoud via iframe van een andere site. Sites kunnen de standaard SameSite-modus overschrijven door bij het instellen van cookies expliciet de waarde SameSite=None op te geven. Hierbij kan de waarde SameSite=None voor cookies alleen in Secure-modus worden ingesteld (geldt voor verbindingen via HTTPS). De wijziging zal gefaseerd beginnen worden gebruikt op 17 februari, eerst voor een klein percentage gebruikers, en daarna geleidelijk de dekking uitbreidend.
• Toegevoegd bescherming tegen vervelende meldingen met betrekking tot bevoegdheidsbevestigingen. Aangezien dergelijke activiteiten, zoals spamverzoeken voor het ontvangen van pushmeldingen, de werkzaamheden van de gebruiker verstoren en de aandacht afleiden naar acties in de bevestigingsdialogen, kan in Chrome 80 in plaats van een afzonderlijke dialoog nu een informatieve hint met een waarschuwing over de blokkering van het bevoegdheidsverzoek in de adresbalk worden weergegeven, die vervolgens samenvouwt in een indicator met een doorgekruist bel-pictogram. Door op de indicator te klikken kan het aangevraagde bevoegdheid op elk gewenst moment worden geactiveerd of afgewezen. Automatisch zal de nieuwe modus selectief worden ingeschakeld voor gebruikers die dergelijke verzoeken eerder vaak blokkeerden, evenals voor websites waar een hoog percentage van verzoeken wordt afgewezen. Om de nieuwe modus voor alle verzoeken in te schakelen, is er een speciale optie toegevoegd aan de instellingen (chrome://flags/#quiet-notification-prompts).
  
• Verboden weergave van pop-upvensters (aanroep van de methode window.open()) en het verzenden van synchrone XMLHttpRequest-verzoeken in de gebeurtenishandlers voor het sluiten of verbergen van de pagina (unload, beforeunload, pagehide en visibilitychange);
• Een initiële bescherming tegen het laden van gemengde multimedia-inhoud (wanneer op een HTTPS-pagina middelen worden geladen via het http:// protocol). Op pagina's die via HTTPS zijn geopend, zullen nu automatisch de links "http://" worden vervangen door "https://" in de blokken die verband houden met het afspelen van audio- en videobestanden. Als de audio- of video-resource niet beschikbaar is via https, wordt het laden geblokkeerd (handmatig kan de blokkering worden gemarkeerd via het menu dat beschikbaar is via het hangslot-symbool in de adresbalk).

  Afbeeldingen blijven zonder wijzigingen worden geladen (automatische vervanging zal worden toegepast in Chrome 81), maar voor de vervanging naar https of blokkering van afbeeldingen hebben websiteontwikkelaars CSP-eigenschappen upgrade-insecure-requests en block-all-mixed-content. Voor scripts en iframe was de blokkering van gemengde inhoud al eerder geïmplementeerd.

• Er is een geleidelijke uitschakeling van de ondersteuning voor FTP begonnen. Standaard blijft de ondersteuning voor FTP voorlopig behouden, maar zal worden uitgevoerd Een experiment waarbij voor een bepaald percentage gebruikers de FTP-ondersteuning wordt uitgeschakeld (terugkeren vereist het starten van de browser met de optie «—enable-ftp»). Ter herinnering, in eerdere versies was het al niet meer mogelijk om de inhoud van bronnen die via het protocol «ftp://» werden geladen weer te geven in het browservenster (bijvoorbeeld de weergave van HTML-documenten en README-bestanden is beëindigd), werd het gebruik van FTP bij het laden van subresources vanuit documenten verboden en is de ondersteuning voor proxy voor FTP stopgezet. Toch bleef het nog steeds mogelijk om bestanden via directe links te uploaden en de inhoud van mappen weer te geven.
• Toegevoegd
  de mogelijkheid om vector SVG-afbeeldingen te gebruiken als de favicon van de site.
• In de instellingen is de optie toegevoegd om selectief bepaalde gegevenssoorten die tijdens de synchronisatie tussen browsers worden verzonden, uit te schakelen.
• Voor centraal beheerde zakelijke gebruikers is er een regel toegevoegd BlockExternalExtensions, die het verbiedt om externe uitbreidingen op het apparaat te installeren.
• De ondersteuning voor de mogelijkheid de mogelijkheid om in één keer de hele keten van eigenschappen of aanroepen in JavaScript te controleren. Bijvoorbeeld, bij toegang tot «db.user.name.length» was het vroeger nodig om stap voor stap de definitie van alle samenstellende delen te controleren, bijvoorbeeld via «if (db && db.user && db.user.name)». Nu kan men met de operatie «?.» toegang krijgen tot de waarde «db?.user?.name?.length» zonder voorafgaande controles en deze toegang zal niet leiden tot een foutmelding. In geval van problemen (wanneer een van de elementen als null of undefined wordt behandeld) wordt er een waarde «undefined» geretourneerd.
• In JavaScript is er een nieuwe logische operator voor samenvoegen voorgesteld «??«, die de rechter operand retourneert als de linker operand de waarde NULL of undefined heeft, en omgekeerd. Bijvoorbeeld, «const foo = bar ?? 'default string'» als bar gelijk is aan null, retourneert de string of de waarde van bar in andere gevallen, inclusief wanneer bar gelijk is aan 0 en ' ', in tegenstelling tot de operator «||».
• In de Origin Trials-modus (experimentele functies die afzonderlijke activering) is de API Content Indexing voorgesteld. Origin Trial houdt in dat je met de aangegeven API kunt werken vanuit applicaties die zijn geladen vanaf localhost of 127.0.0.1, of na registratie en het ontvangen van een speciale token, die gedurende beperkte tijd voor een specifieke site geldig is. API Content Indexing, biedt metadata over content dat eerder is gecached door webapplicaties die werken in de modus van Progressive Web Apps (PWS). De app kan verschillende gegevens aan de browserkant opslaan, waaronder afbeeldingen, video's en artikelen, en deze gebruiken via het API Cache Storage en IndexedDB wanneer de netwerkverbinding wegvalt. De Content Indexing API biedt de mogelijkheid om dergelijke middelen toe te voegen, te vinden en te verwijderen. In de browser wordt deze API al gebruikt om een lijst van pagina's en multimedia-inhoud weer te geven die beschikbaar is voor offline weergave.
  
• is gestabiliseerd en wordt nu buiten Origin Trials verspreid, de API Contact Picker, waarmee de gebruiker records uit zijn adresboek kan selecteren en bepaalde details over hen naar de website kan verzenden. Bij de aanvraag wordt een lijst van eigenschappen gedefinieerd die moeten worden verkregen. Deze eigenschappen worden expliciet aan de gebruiker weergegeven, die beslist of hij deze eigenschappen wil verzenden. De API kan bijvoorbeeld worden gebruikt in een webmailclient om ontvangers voor een verzonden e-mail te selecteren, in een webapplicatie met VoIP-functionaliteit om een oproep naar een bepaald nummer te initiëren, of in een sociaal netwerk om reeds geregistreerde vrienden te zoeken. In het kader van Origin Trials zijn enkele nieuwe eigenschappen van de Contact Picker aangeboden: naast de eerder beschikbare volledige naam, e-mail en telefoonnummer, is de mogelijkheid toegevoegd om een postadres en afbeelding door te geven.
• In Web Workers is een een nieuwe manier om ECMAScript-modules te laden, die het gebruik van de functie importScripts() omzeilt, die de werking van de worker blokkeert tijdens het verwerken van het geïmporteerde script en het in de globale context uitvoert. De nieuwe manier impliceert het creëren van speciale modules voor Web Workers, die de standaardmechanismen van JavaScript-import ondersteunen en dynamisch kunnen worden geladen zonder de uitvoering van de worker te blokkeren. Voor het laden van modules is er een nieuw type resource in de Worker-constructor - 'module':

  const worker = new Worker('worker.js', {
  type: 'module'
  });

• De ondersteuning voor een ingebouwde mogelijkheid voor het verwerken van gecomprimeerde streams in JavaScript, die geen externe bibliotheken vereist. Voor compressie en decompressor zijn de API's CompressionStream en DecompressionStream. Compressie wordt ondersteund met behulp van de gzip- en deflate-algoritmen.

  const compressionReadableStream
  = inputReadableStream.pipeThrough(new CompressionStream('gzip'));

• CSS-eigenschap 'line-break: anywhere«, dat breuken op het niveau van elk typografisch teken toestaat, inclusief breuken naast leestekens, vooraf gedefinieerde spaties (<pre>) en midden in woorden. Ook is de CSS-eigenschap «overflow-wrap: anywhere» die het mogelijk maakt om niet-afbreekbare tekenreeksen op elk punt te breken, als er in de regel geen geschikte breekpositie is gevonden.
• Voor media-inhoud die versleuteld wordt verwerkt, is ondersteuning voor de methode MediaCapabilities.decodingInfo(), die informatie over de browsercapaciteiten met betrekking tot het decoderen van beveiligde inhoud biedt (bijvoorbeeld kan de aangegeven methode worden gebruikt om scenario's voor hoge kwaliteit of energiezuinige decodering te selecteren, rekening houdend met de beschikbare bandbreedte en schermgrootte).
• De methode HTMLVideoElement.getVideoPlaybackQuality(), waarmee informatie over de videoweergaveprestaties kan worden verkregen voor het aanpassen van de bitrate, resolutie en andere video-instellingen.
• In de API Payment Handler, die de integratie met bestaande betalingssysteem vereenvoudigt, is de mogelijkheid toegevoegd van delegatie van de behandeling van adres- en contactinformatie aan een externe betalingsysteemverwerker (de applicatie van het betalingssysteem kan nauwkeurigere informatie hebben dan de browser).
• Ondersteuning voor de HTTP-header Sec-Fetch-Dest, waarmee extra metadata kan worden verzonden over het type inhoud dat aan de aanvraag is gekoppeld (bijvoorbeeld, voor een aanvraag via een img-tag wordt het type «image» opgegeven, voor lettertypen - «font», voor scripts - «script», voor stijlen - «style», enz.). Op basis van het opgegeven type kan de server maatregelen nemen om zich te beschermen tegen bepaalde soorten aanvallen (bijvoorbeeld, het is onwaarschijnlijk dat een link naar een handler voor geldtransfers via een img-tag wordt opgegeven, dus dergelijke aanvragen hoeven niet te worden verwerkt).
• In de JavaScript-engine V8 is optimalisatie uitgevoerd van de opslag van pointer in de heap. In plaats van een volledige 64-bits waarde, wordt alleen opslag van de unieke lagere bits van de pointer verstrekt. Deze optimalisatie heeft het geheugengebruik in de heap met 40% verminderd, ten koste van een prestatievermindering van 3-8%.
  
  
• Wijzigingen in de tools voor webontwikkeling:
  • In de webconsole is het mogelijk gemaakt om let-expressies en class te overschrijven.
    
  • De debugging tools voor WebAssembly zijn verbeterd. Ondersteuning is toegevoegd voor DWARF voor stapsgewijze debugging, het instellen van breakpoints en het analyseren van stack traces in de broncode waarin de WebAssembly-applicatie is geschreven.
    
  • De panel voor het analyseren van netwerkinactiviteit is verbeterd. De mogelijkheid is toegevoegd om de oproepketen van scripts in relatie tot het initiëren van de aanvraag te bekijken.
    

    Nieuwe kolommen Path en URL zijn toegevoegd, die het absolute pad en de volledige URL voor elke netwerkmiddel weergeven. De geselecteerde aanvraag is gemarkeerd in het overzicht diagram.

    
  • In het tabblad Netwerkcondities is er een optie toegevoegd om het User-Agent-parameter te wijzigen.
    
  • Een nieuwe interface is voorgesteld voor het configureren van het auditpaneel.
    
  • In het tabblad Coverage er is de keuze geboden om coverage-gegevens te verzamelen voor elke functie of voor elk codeblok (meer gedetailleerde statistieken, maar vereist meer middelen).
    
• De werking van de AppCache-manifest (technologie voor het functioneren van webapplicaties in offline-modus) is beperkt tot de huidige catalogus van de site (als het manifest is geladen van www.example.com/foo/bar/, dan geldt de mogelijkheid om de URL te overschrijven alleen binnen /foo/bar/). In Chrome 82 is het de bedoeling om de ondersteuning voor AppCache volledig te verwijderen. De reden hiervoor is de wens om een van de kwetsbaarheidsvectoren met betrekking tot cross-site scripting aan te pakken. In plaats van AppCache wordt aanbevolen om de API te gebruiken. Cache.
• Stopgezet ondersteuning voor de verouderde WebVR 1.1 API, waarvoor de API kan worden gebruikt. WebXR Device, die toegang biedt tot componenten voor het creëren van virtuele en augmented reality en de interactie met verschillende klassen apparaten vereenvoudigt, van desktop virtual reality-headsets tot mobiele oplossingen.
• Protocolhandlers die zijn aangesloten via de methoden registerProtocolHandler() en unregisterProtocolHandler() kunnen nu alleen werken in een veilige context (toegang via HTTPS).

Naast de nieuwe functies en bugfixes zijn in de nieuwe versie 56 kwetsbaarheden. Veel kwetsbaarheden zijn ontdekt via geautomatiseerde tests met tools zoals AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Kritische problemen die het mogelijk maken om alle niveaus van browserbescherming te omzeilen en code op het systeem buiten de sandbox-omgeving uit te voeren, zijn niet vastgesteld. In het kader van het beloningsprogramma voor het ontdekken van kwetsbaarheden heeft Google voor deze release 37 beloningen uitbetaald ter waarde van 48.000 dollar (één beloning van $10.000, drie beloningen van $5.000, drie beloningen van $3.000, vier beloningen van $2.000, drie beloningen van $1.000 en zes beloningen van $500). De grootte van 17 beloningen is nog niet bepaald.

Bron: opennet.ru