Google heeft de release onthuld van de webbrowser Chrome 97. Tegelijkertijd is er een stabiele release van het gratis Chromium-project, dat als basis van Chrome dient, beschikbaar. De Chrome-browser onderscheidt zich door het gebruik van Google-logo's, de aanwezigheid van een systeem voor het verzenden van meldingen bij een crash, modules voor het afspelen van tegen kopiëren beveiligde video-inhoud (DRM), een systeem voor het automatisch installeren van updates en het verzenden van RLZ-parameters bij zoeken. Voor degenen die meer tijd nodig hebben om te updaten, is er een aparte Extended Stable-tak, gevolgd door 8 weken, die een update vormt voor de vorige release van Chrome 96. De volgende release van Chrome 98 staat gepland voor 1 februari.
Belangrijkste wijzigingen in Chrome 97:
- Voor sommige gebruikers gebruikt de configurator een nieuwe interface voor het beheren van gegevens die zijn opgeslagen aan de browserzijde (“chrome://settings/content/all”). Het belangrijkste verschil met de nieuwe interface is de focus op het instellen van machtigingen en het in één keer verwijderen van alle cookies van de site, zonder de mogelijkheid om gedetailleerde informatie over individuele cookies te bekijken en cookies selectief te verwijderen. Volgens Google kan toegang tot het beheer van individuele cookies voor een gewone gebruiker die de fijne kneepjes van webontwikkeling niet begrijpt, leiden tot onvoorspelbare verstoringen in de werking van sites als gevolg van ondoordachte veranderingen in individuele parameters, evenals tot het per ongeluk uitschakelen van de privacy. beschermingsmechanismen geactiveerd via cookies. Voor degenen die individuele cookies moeten manipuleren, wordt aanbevolen om het gedeelte voor opslagbeheer in tools voor webontwikkelaars te gebruiken (Applocatie/Opslag/Cookie).
- In het blok met informatie over de site wordt een korte beschrijving van de site (bijvoorbeeld een beschrijving van Wikipedia) weergegeven als de zoek- en navigatie-optimalisatiemodus is geactiveerd in de instellingen (de optie 'Zoekopdrachten en browsen beter maken').
- Verbeterde ondersteuning voor het automatisch invullen van velden in webformulieren. Aanbevelingen met opties voor automatisch aanvullen worden nu met een kleine verschuiving weergegeven en zijn voorzien van informatiepictogrammen voor een handiger voorbeeld en visuele identificatie van de verbinding met het veld dat wordt ingevuld. Het profielpictogram maakt bijvoorbeeld duidelijk dat het voorgestelde automatisch aanvullen gevolgen heeft voor velden die verband houden met adres- en contactgegevens.
- Verwijdering van gebruikersprofielhandlers uit het geheugen ingeschakeld na het sluiten van de daaraan gekoppelde browservensters. Voorheen bleven profielen in het geheugen en bleven ze werk verrichten met betrekking tot de synchronisatie en uitvoering van add-on-scripts op de achtergrond, wat leidde tot onnodige verspilling van bronnen op systemen die meerdere profielen tegelijkertijd gebruiken (bijvoorbeeld een gastprofiel en het koppelen aan een Google-account ). Bovendien wordt een grondigere opschoning van de resterende gegevens tijdens het werken met het profiel verzekerd.
- Verbeterde pagina met zoekmachine-instellingen (“Instellingen>Beheer zoekmachines”). Automatische activering van zoekmachines, waarover informatie wordt verstrekt bij het openen van een site via het OpenSearch-script, is uitgeschakeld - nieuwe zoekmachines voor het verwerken van zoekopdrachten vanuit de adresbalk moeten nu handmatig worden geactiveerd in de instellingen (eerder automatisch geactiveerde zoekmachines blijven actief werken zonder wijzigingen).
- Vanaf 17 januari accepteert de Chrome Web Store geen add-ons meer die versie XNUMX van het Chrome-manifest gebruiken, maar ontwikkelaars van eerder toegevoegde add-ons kunnen nog steeds updates publiceren.
- Experimentele ondersteuning toegevoegd voor de WebTransport-specificatie, die een protocol en bijbehorende JavaScript-API definieert voor het verzenden en ontvangen van gegevens tussen de browser en de server. Het communicatiekanaal wordt georganiseerd via HTTP/3, waarbij het QUIC-protocol als transportmiddel wordt gebruikt. WebTransport kan worden gebruikt in plaats van het WebSockets-mechanisme en biedt extra functies zoals multi-stream transmissie, unidirectionele streams, levering buiten de bestelling, betrouwbare en onbetrouwbare leveringsmodi. Bovendien kan WebTransport worden gebruikt in plaats van het Server Push-mechanisme, dat Google in Chrome heeft verlaten.
- De methoden findLast en findLastIndex zijn toegevoegd aan de JavaScript-objecten Array en TypedArrays, waardoor u kunt zoeken naar elementen waarvan de resultaatuitvoer relatief is ten opzichte van het einde van de array. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (laatste even element)
- Gesloten (geen "open" attribuut) HTML-elementen , zijn nu doorzoekbaar en koppelbaar, en worden automatisch uitgevouwen bij het zoeken naar pagina's en fragmentnavigatie (ScrollToTextFragment).
- Content Security Policy (CSP)-beperkingen in serverresponsheaders zijn nu van toepassing op toegewijde werknemers, die voorheen als afzonderlijke documenten werden behandeld.
- Er is een expliciet verzoek ingediend voor de autoriteit om eventuele subbronnen van het interne netwerk te downloaden - voordat toegang wordt verkregen tot het interne netwerk of de localhost, wordt een CORS-verzoek (Cross-Origin Resource Sharing) met de kop 'Access-Control-Request-Private- Network: true” wordt nu naar de hoofdsiteserver verzonden, waarbij bevestiging van de bewerking vereist is door de header “Access-Control-Allow-Private-Network: true” te retourneren.
- De CSS-eigenschap voor lettertypesynthese toegevoegd, waarmee u kunt bepalen of de browser ontbrekende lettertypestijlen (schuin, vet en kleinkapitalisatie) kan synthetiseren die niet tot de geselecteerde lettertypefamilie behoren.
- Voor CSS-transformaties implementeert de functie perspective() een parameter 'none', die wordt behandeld als een oneindige waarde bij het organiseren van animaties.
- De HTTP-header Permissions-Policy (Feature Policy), die wordt gebruikt om autoriteit te delegeren en geavanceerde functies in te schakelen, ondersteunt nu de toetsenbordkaartwaarde, waardoor het gebruik van de Keyboard API mogelijk is. De methode Keyboard.getLayoutMap() is geïmplementeerd, waarmee u kunt bepalen welke toets wordt ingedrukt, rekening houdend met verschillende toetsenbordindelingen (er wordt bijvoorbeeld een toets ingedrukt in een Russische of Engelse indeling).
- Methode HTMLScriptElement.supports() toegevoegd, die de definitie verenigt van nieuwe functies die beschikbaar zijn in het element “script”. U kunt bijvoorbeeld de lijst met ondersteunde waarden voor het attribuut “type” vinden.
- Het proces van het normaliseren van nieuwe regels bij het indienen van webformulieren is in lijn gebracht met de Gecko- en WebKit-browserengines. Normalisatie van regelinvoer en regelterugloop (vervanging van /r en /n door \r\n) in Chrome gebeurt nu in de laatste fase in plaats van aan het begin van de verwerking van het indienen van formulieren (dat wil zeggen dat tussenliggende processors die het FormData-object gebruiken de gegevens zullen zien als toegevoegd door de gebruiker, en niet in een genormaliseerde vorm).
- De naamgeving van eigenschapsnamen is gestandaardiseerd voor de Client Hints API, die wordt ontwikkeld als vervanging voor de User-Agent header en waarmee u selectief gegevens kunt verstrekken over specifieke browser- en systeemparameters (versie, platform, etc.) pas nadat een verzoek van de server. Eigenschappen worden nu gespecificeerd met het voorvoegsel "sec-ch-", bijvoorbeeld sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt , sec-ch-downlink en sec-ch-ect.
- De tweede fase van het stopzetten van de ondersteuning voor de WebSQL API is toegepast, waarvan de toegang nu door scripts van derden wordt geblokkeerd. In de toekomst zijn we van plan de ondersteuning voor WebSQL geleidelijk volledig af te bouwen, ongeacht de gebruikscontext. De WebSQL-engine is gebaseerd op SQLite-code en kan door aanvallers worden gebruikt om kwetsbaarheden in SQLite te misbruiken.
- Voor het Windows-platform is een assembly met integriteitscontroles voor de uitvoeringsstroom (CFG, Control Flow Guard) inbegrepen, waardoor pogingen om code in het Chrome-proces in te voegen worden geblokkeerd. Bovendien wordt sandbox-isolatie nu toegepast op netwerkservices die in afzonderlijke processen worden uitgevoerd, waardoor de mogelijkheden van de code in deze processen worden beperkt.
- Chrome voor Android bevat een mechanisme voor het dynamisch bijwerken van het logboek van uitgegeven en ingetrokken certificaten (Certificate Transparency), dat eerder werd geactiveerd in de vergoedingen voor desktopsystemen.
- Er zijn verbeteringen aangebracht in tools voor webontwikkelaars. Experimentele ondersteuning voor het synchroniseren van DevTools-instellingen tussen verschillende apparaten is geïmplementeerd. Er is een nieuw Recorderpaneel toegevoegd, waarmee u gebruikersacties op de pagina kunt opnemen, afspelen en analyseren.
Bij het weergeven van fouten in de webconsole worden de kolomnummers weergegeven die aan het probleem zijn gekoppeld, wat handig is voor het opsporen van fouten in verkleinde JavaScript-code. De lijst met apparaten die kunnen worden gesimuleerd om de paginaweergave op mobiele apparaten te evalueren, is bijgewerkt. In de interface voor het bewerken van HTML-blokken (Bewerken als HTML) zijn syntaxisaccentuering en de mogelijkheid om invoer automatisch aan te vullen toegevoegd.
Naast innovaties en bugfixes elimineert de nieuwe versie 37 kwetsbaarheden. Veel van de kwetsbaarheden zijn geïdentificeerd als resultaat van geautomatiseerd testen met behulp van de tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Eén van de kwetsbaarheden heeft de status van kritiek probleem gekregen, waardoor men alle niveaus van browserbeveiliging kan omzeilen en code op het systeem kan uitvoeren, buiten de sandbox-omgeving. Details over de kritieke kwetsbaarheid (CVE-2022-0096) zijn nog niet bekendgemaakt; het is alleen bekend dat deze verband houdt met toegang tot een reeds vrijgemaakt geheugengebied in de code voor het werken met interne opslag (Storage API).
Als onderdeel van het programma om contante beloningen te betalen voor het ontdekken van kwetsbaarheden voor de huidige release, heeft Google 24 beloningen uitgekeerd ter waarde van $54 (drie beloningen van $10000, twee beloningen van $5000, één beloning van $4000, drie beloningen van $3000 en één beloning van $1000). De omvang van 14 beloningen is nog niet bepaald.
Bron: opennet.ru