Release van Chrome 91

Google heeft de release van webbrowser Chrome 91 gepresenteerd. Tegelijkertijd is er een stabiele versie van het vrije project Chromium beschikbaar, dat de basis vormt voor Chrome. De browser Chrome onderscheidt zich door het gebruik van Google-logo's, een systeem voor het verzenden van meldingen bij crashes, modules voor het afspelen van beschermde videoinhoud (DRM), een systeem voor automatische updates en de overdracht van RLZ-parameters tijdens het zoeken. De volgende release, Chrome 92, is gepland op 20 juli.

Belangrijkste wijzigingen in Chrome 91:

• Er is een optie toegevoegd om de uitvoering van JavaScript te stoppen in samengevouwen tabbladen. In Chrome 85 werd ondersteuning voor het groeperen van tabbladen geïntroduceerd, die aan een bepaalde kleur en label kan worden gekoppeld. Bij een klik op het label van de groep worden de bijbehorende tabbladen samengevouwen en blijft er slechts één label over (een tweede klik op het label opent de groep weer). In deze nieuwe release is om de belasting op de CPU te verminderen en energie te besparen de activiteit in samengevouwen tabbladen gepauzeerd. Uitzonderingen worden gemaakt voor tabbladen waarin geluid wordt afgespeeld, die het Web Locks API of IndexedDB gebruiken, verbinding maken met een USB-apparaat, of waar video, audio of inhoud van vensters wordt vastgelegd. Deze wijziging zal geleidelijk worden doorgevoerd, beginnend met een klein percentage van de gebruikers.
• Ondersteuning voor een kwantumveilige sleutelafstemmingsmethode is ingeschakeld. Quantumcomputers zijn aanzienlijk sneller in het ontbinden van natuurlijke getallen in priemfactoren, wat de basis vormt voor moderne asymmetrische encryptie-algoritmen en effectief niet oplosbaar is op klassieke processoren. Voor gebruik in TLSv1.3 is de CECPQ2-plugin (Combined Elliptic-Curve and Post-Quantum 2) beschikbaar, die het klassieke sleuteldelingsmechanisme X25519 combineert met het HRSS-schema, gebaseerd op het NTRU Prime-algoritme, ontworpen voor post-kwantumcryptosystemen.
• De ondersteuning voor de protocollen TLS 1.0 en TLS 1.1 is volledig stopgezet, die door de IETF (Internet Engineering Task Force) als verouderd zijn aangemerkt. Ook is de mogelijkheid om TLS 1.0/1.1 terug te zetten door het wijzigen van het SSLVersionMin-beleid verwijderd.
• In de builds voor het Linux-platform is het gebruik van de «DNS over HTTPS» (DoH) modus opgenomen, die eerder beschikbaar was voor gebruikers van Windows, macOS, ChromeOS en Android. DNS-over-HTTPS wordt automatisch geactiveerd voor gebruikers wiens instellingen DNS-providers bevatten die deze technologie ondersteunen (voor DNS-over-HTTPS wordt dezelfde provider gebruikt als voor DNS). Bijvoorbeeld, als in de systeeminstellingen van de gebruiker DNS 8.8.8.8 is opgegeven, wordt de DNS-over-HTTPS service van Google geactiveerd in Chrome («https://dns.google.com/dns-query»); als DNS 1.1.1.1 is, wordt de DNS-over-HTTPS service van Cloudflare geactiveerd («https://cloudflare-dns.com/dns-query»), enzovoort.
• Poort 10080, die wordt gebruikt in Amanda-backup en VMWare vCenter, is toegevoegd aan de lijst met verboden netwerkpoorten. Eerder waren de poorten 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 en 6566 al geblokkeerd. Voor poorten in de zwarte lijst worden HTTP-, HTTPS- en FTP-aanvragen geblokkeerd om te beschermen tegen de NAT slipstreaming-aanval, die het mogelijk maakt om een netwerkverbinding tot stand te brengen vanaf de aanvallers server naar een willekeurige UDP- of TCP-poort op het systeem van de gebruiker wanneer een op maat gemaakte webpagina in de browser wordt geopend, ondanks het gebruik van interne adressen (192.168.x.x, 10.x.x.x).
• Het is nu mogelijk om de automatische start van afzonderlijke webapplicaties (PWA - Progressive Web Apps) in te stellen wanneer de gebruiker inlogt op het systeem (Windows en macOS). De autostart kan worden ingesteld op de pagina chrome://apps. Deze functionaliteit is momenteel aan het testen bij een klein percentage van de gebruikers, terwijl voor de anderen de instelling «chrome://flags/#enable-desktop-pwas-run-on-os-login» moet worden geactiveerd.
• In het kader van het vertaalproject van de browser naar inclusief taalgebruik is het bestand «master_preferences» hernoemd naar «initial_preferences». Ter behoud van compatibiliteit zal de ondersteuning van «master_preferences» nog enige tijd in de browser blijven. Eerder heeft de browser al afscheid genomen van de termen «whitelist», «blacklist» en «native».
• In de uitgebreide modus voor bescherming tegen gevaarlijke websites (Enhanced Safe Browsing) worden aanvullende controles geactiveerd ter bescherming tegen phishing, kwaadaardige activiteiten en andere bedreigingen op het web. Er is de mogelijkheid geïmplementeerd om geüploadde bestanden naar Google te sturen voor controle. Bovendien houdt Enhanced Safe Browsing rekening met de tokens die aan het Google-account zijn gekoppeld wanneer phishing pogingen worden gedetecteerd, evenals het verzenden van de Referrer-headerwaardes naar Google-servers ter controle van doorsturen vanaf een kwaadaardige website.
• In de editie voor het Android-platform zijn de opmaak van webformulierelementen verbeterd, die geoptimaliseerd zijn voor gebruik op touchscreens en systemen voor mensen met een beperking (voor desktop systemen is de opmaak opnieuw ontworpen in Chrome 83). Het doel van de herontwerp was om de opmaak van formulierelementen te uniformeren en inconsistenties in stijlen te elimineren – eerder was een deel van de formulierelementen ontworpen volgens de interface-elementen van besturingssystemen, terwijl een ander deel volgens de meest populaire stijlen was. Hierdoor waren verschillende elementen minder geschikt voor touchscreens en systemen voor mensen met een beperking.
• Een gebruikersenquête is toegevoegd, die wordt weergegeven bij het openen van de instellingen voor Privacy Sandbox (chrome://settings/privacySandbox).
• Bij het starten van de Android-versie van Chrome op tablets met een groot scherm wordt een verzoek om de desktopversie van de website aangeboden in plaats van de versie voor mobiele apparaten. Dit gedrag kan worden gewijzigd via de instelling ‘chrome://flags/#request-desktop-site-for-tablets’.
• De code voor het weergeven van tabellen is herzien, wat heeft geholpen om problemen met inconsistent gedrag bij de weergave van tabellen in Chrome en in Firefox/Safari op te lossen.
• De verwerking van servercertificaten van het Spaanse certificeringsbedrijf Camerfirma is stopgezet vanwege herhaalde incidenten sinds 2017 met betrekking tot schendingen bij de uitgifte van certificaten. De ondersteuning voor klantcertificaten blijft behouden, de blokkering wordt alleen toegepast op certificaten die worden gebruikt op websites voor HTTPS.
• De implementatie van netwerksegmentatie ter bescherming tegen methoden voor het volgen van gebruikersbewegingen tussen websites, gebaseerd op het opslaan van identificatoren in gebieden die niet bedoeld zijn voor permanente opslag van informatie ('Supercookies'), is voortgezet. Aangezien de middelen in de cache in een algemene namespace worden opgeslagen, ongeacht het oorspronkelijke domein, kan één site de laadtijd van middelen van een andere site bepalen door te controleren of deze bron in de cache aanwezig is. De bescherming is gebaseerd op het toepassen van netwerksegmentatie (Network Partitioning), wat inhoudt dat aan de gezamenlijk gebruikte caches een extra binding van records wordt toegevoegd aan een domein., van waaruit de hoofdpagina is geopend, wat het bereik van de cache voor tracking scripts van bewegingen beperkt tot alleen de huidige site (een script vanuit een iframe kan niet controleren of de bron van een andere site is geladen).

  De prijs van segmentatie is een vermindering van de cache-efficiëntie, wat leidt tot een lichte toename van de laadtijd van de pagina (maximaal met 1,32%, maar voor 80% van de sites slechts 0,09-0,75%). Om de segmentatiemodus te testen, kan de browser worden gestart met de optie '—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey, PartitionSSLSessionsByNetworkIsolationKey, SplitHostCacheByNetworkIsolationKey'.

• Een externe REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome) is toegevoegd, waarmee informatie over versies van Chrome kan worden verkregen in verband met platforms en takken, evenals de updategeschiedenis van de browser.
• In iframes die zijn geladen vanaf domeinen die verschillen van het basisdomein, is de uitvoer van JavaScript-dialogen alert(), confirm() en prompt() verboden, wat gebruikers zal beschermen tegen pogingen van externe scripts om berichten weer te geven alsof ze door de hoofdsite zijn weergegeven.
• De API WebAssembly SIMD is gestabiliseerd en standaard aangeboden voor het gebruik van vector SIMD-instructies in toepassingen in het WebAssembly-formaat. Voor platformonafhankelijkheid wordt een nieuwe 128-bits type aangeboden dat verschillende soorten verpakte gegevens kan vertegenwoordigen, evenals verschillende basisvectorbewerkingen voor het verwerken van verpakte gegevens. SIMD maakt prestatieverbetering mogelijk door parallelle gegevensverwerking en zal nuttig zijn bij het compileren van native code naar WebAssembly.
• In de Origin Trials-modus (experimentele mogelijkheden die afzonderlijk moeten worden geactiveerd) zijn enkele nieuwe API's toegevoegd. Origin Trial houdt in dat het mogelijk is om met de opgegeven API te werken vanuit applicaties geladen vanaf localhost of 127.0.0.1, of na registratie en het verkrijgen van een speciale token die tijdelijk geldig is voor de specifieke site.
  • WebTransport — een protocol en bijbehorende JavaScript API voor het verzenden en ontvangen van gegevens tussen de browser en server. De communicatieweg wordt opgezet bovenop HTTP/3 met gebruikmaking van het QUIC-protocol als transport, wat op zijn beurt een laag bovenop het UDP-protocol vormt en multiplexing van meerdere verbindingen ondersteunt, terwijl het versleutelingsmethoden biedt die gelijkwaardig zijn aan TLS/SSL.

    WebTransport kan worden gebruikt in plaats van WebSockets en RTCDataChannel-mechanismen, en biedt extra mogelijkheden zoals het organiseren van meerdere datastromen, unidirectionele stromen, pakketlevering zonder volgordebewaking (out-of-order) en betrouwbare en onbetrouwbare leveringsmodi. Bovendien kan WebTransport worden toegepast in plaats van de Server Push-mechanismus, waarvan Google in Chrome afscheid heeft genomen.

  • Een declaratieve interface voor het definiëren van links naar afzonderlijke webapplicaties (PWA), geactiveerd met de parameter capture_links in het manifest van de webapplicatie, waarmee websites automatisch een nieuw PWA-venster kunnen openen bij het klikken op een applicatielink of over kunnen schakelen naar een enkele venstermodus zoals bij mobiele applicaties.
  • De WebXR Plane Detection API is toegevoegd, die informatie biedt over vlakke oppervlakken in een virtuele 3D-omgeving. Deze API maakt het mogelijk om zonder resource-intensieve verwerking van gegevens verkregen via de aanroep MediaDevices.getUserMedia() te werken, met het gebruik van eigen implementaties van computer vision-algoritmen. Ter herinnering, de WebXR API stelt een uniforme werking met verschillende klassen van virtual reality-apparaten mogelijk, van desktop 3D-headsets tot oplossingen op basis van mobiele apparaten.
• Ondersteuning voor het werken met WebSockets bovenop HTTP/2 (RFC 8441) is geïmplementeerd, die alleen van toepassing is op beveiligde aanvragen naar WebSockets en wanneer er al een verbinding met de server via HTTP/2 is ingesteld, waarin de ondersteuning voor de 'WebSockets over HTTP/2'-uitbreiding is aangekondigd.
• De beperkingen van de nauwkeurigheid van de waarden van de timer, verstrekt door de aanroep performance.now(), zijn genormaliseerd voor alle ondersteunde platforms en aangepast rekening houdend met mogelijke isolatie van handlers in afzonderlijke processen. Bijvoorbeeld, op desktop systemen is de nauwkeurigheid bij verwerking in niet-geïsoleerde contexten verminderd van 5 naar 100 microseconden.
• In desktop system builds, the ability to read files from the clipboard has been implemented (writing files to the clipboard is still prohibited). async function onPaste(e) { let file = e.clipboardData.files[0]; let contents = await file.text(); }
• In CSS, the @counter-style rule has been implemented, allowing for the definition of custom styles for counters and labels in ordered lists.
• In CSS, the pseudo-classes ':host()' and ':host-context()' have been updated to allow the passing of single values of compound selectors (<compound-selector>) in addition to selector lists (<compound-selector-list>).
• The GravitySensor interface has been added to detect volumetric (along three coordinate axes) data from the gravity sensor.
• The File System Access API now allows for the specification of recommendations for file and directory names presented in the file creation or opening dialog.
• API WebOTP access has been permitted from iframes loaded from other domains, provided the user grants appropriate permissions. WebOTP allows for the reading of one-time confirmation codes sent via SMS.
• Sharing credentials for sites associated through the DAL (Digital Asset Links) mechanism is now permitted, allowing Android apps to be associated with websites for easier login.
• In Service workers, the use of JavaScript modules has been enabled. When specifying the type 'module' during the constructor call, the specified scripts will be loaded as modules and available for import in the worker context. Module support simplifies code sharing on web pages and in Service workers.
• In JavaScript, the ability to check for the existence of private fields in an object using the syntax ‘#foo in obj’ has been introduced. class A { static test(obj) { console.log(#foo in obj); } #foo = 0; } A.test(new A()); // true A.test({}); // false
• In JavaScript is het standaard toegestaan om het sleutelwoord await in modules op het hoogste niveau te gebruiken, wat een soepelere integratie van asynchrone aanroepen in het module-laadproces mogelijk maakt, zonder dat het verpakt hoeft te worden in een 'async function'. Bijvoorbeeld, in plaats van (async function() { await Promise.resolve(console.log('test')); }()); kan nu worden geschreven await Promise.resolve(console.log('test'));
• In the V8 JavaScript engine, the efficiency of template caching has been improved, resulting in a 4.5% increase in the speed of the Speedometer2-FlightJS test.
• A significant number of improvements have been made to the web development tools. A new Memory inspector mode has been added, providing means to explore ArrayBuffer data and Wasm memory.

  The Performance panel now includes a summary performance indicator that allows for the assessment of whether a site requires optimization.

  

  Bij het bekijken van afbeeldingen in het Elements-paneel en in het netwerkverkeersanalysepaneel is informatie verstrekt over de beeldverhouding, weergave-instellingen en bestandsgrootte.

  

  In het netwerkinspectiepaneel is het mogelijk geworden om de ontvangen waarden van de Content-Encoding-header te wijzigen.

  

  In het stijlenpaneel is een functie toegevoegd voor een snelle weergave van de berekende waarden tijdens het navigeren door de CSS-instellingen, door 'View computed value' in het contextmenu te kiezen.

  

Naast nieuwe functies en bugfixes zijn er 32 kwetsbaarheden verholpen in de nieuwe versie. Veel van deze kwetsbaarheden zijn ontdekt door geautomatiseerd testen met tools zoals AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er zijn geen kritieke problemen gevonden die het mogelijk maken om alle niveaus van browserbeveiliging te omzeilen en code buiten de sandbox-omgeving uit te voeren. In het kader van het beloningsprogramma voor het ontdekken van kwetsbaarheden heeft Google voor deze release 21 beloningen uitgekeerd ter waarde van 92.000 dollar (één beloning van 20.000 dollar, één van 15.000 dollar, vier van 7.500 dollar, drie van 5.000 dollar, drie van 3.000 dollar, twee van 1.000 dollar en twee van 500 dollar). Het bedrag van 5 beloningen is nog niet vastgesteld.

Bron: opennet.ru