Chrome 91-versie

Google heeft de release onthuld van de webbrowser Chrome 91. Tegelijkertijd is er een stabiele release van het gratis Chromium-project, dat als basis van Chrome dient, beschikbaar. De Chrome-browser onderscheidt zich door het gebruik van Google-logo's, de aanwezigheid van een systeem voor het verzenden van meldingen bij een crash, modules voor het afspelen van beschermde video-inhoud (DRM), een systeem voor het automatisch installeren van updates en het verzenden van RLZ-parameters tijdens het zoeken. De volgende release van Chrome 92 staat gepland voor 20 juli.

Belangrijkste wijzigingen in Chrome 91:

• De mogelijkheid geïmplementeerd om de uitvoering van JavaScript te stoppen in een samengevouwen tabbladgroep. Chrome 85 introduceerde ondersteuning voor het organiseren van tabbladen in groepen die aan een specifieke kleur en label kunnen worden gekoppeld. Wanneer u op een groepslabel klikt, worden de bijbehorende tabbladen samengevouwen en blijft er één label over (als u opnieuw op het label klikt, wordt de groep geopend). In de nieuwe release is de activiteit op geminimaliseerde tabbladen opgeschort om de CPU-belasting te verminderen en energie te besparen. Er wordt alleen een uitzondering gemaakt voor tabbladen die geluid afspelen, de Web Locks of IndexedDB API gebruiken, verbinding maken met een USB-apparaat of video-, geluid- of vensterinhoud vastleggen. De verandering zal geleidelijk worden uitgerold, te beginnen met een klein percentage gebruikers.
• Inclusief ondersteuning voor een belangrijke overeenkomstmethode die bestand is tegen brute kracht op kwantumcomputers. Kwantumcomputers zijn radicaal sneller in het oplossen van het probleem van het ontbinden van een natuurlijk getal in priemfactoren, dat ten grondslag ligt aan moderne asymmetrische encryptie-algoritmen en niet effectief kan worden opgelost op klassieke processors. Voor gebruik in TLSv1.3 is de CECPQ2-plug-in (Combined Elliptic-Curve and Post-Quantum 2) beschikbaar, die het klassieke X25519-sleuteluitwisselingsmechanisme combineert met het HRSS-schema gebaseerd op het NTRU Prime-algoritme, ontworpen voor post-kwantumcryptosystemen.
• Ondersteuning voor de TLS 1.0- en TLS 1.1-protocollen, die door de IETF-commissie (Internet Engineering Task Force) achterhaald zijn, is volledig stopgezet. De mogelijkheid om TLS 1.0/1.1 te retourneren door het SSLVersionMin-beleid te wijzigen is verwijderd.
• Assemblages voor het Linux-platform omvatten het gebruik van de “DNS over HTTPS” (DoH, DNS over HTTPS)-modus, die eerder beschikbaar was voor gebruikers van Windows, macOS, ChromeOS en Android. DNS-over-HTTPS wordt automatisch geactiveerd voor gebruikers van wie de instellingen DNS-providers specificeren die deze technologie ondersteunen (voor DNS-over-HTTPS wordt dezelfde provider gebruikt als voor DNS). Als de gebruiker bijvoorbeeld DNS 8.8.8.8 heeft opgegeven in de systeeminstellingen, wordt de DNS-over-HTTPS-service van Google (“https://dns.google.com/dns-query”) geactiveerd in Chrome als de DNS is 1.1.1.1, dan DNS-over-HTTPS-service Cloudflare (“https://cloudflare-dns.com/dns-query”), enz.
• Poort 10080, die wordt gebruikt in Amanda backup en VMWare vCenter, is toegevoegd aan de lijst met verboden netwerkpoorten. Voorheen waren de poorten 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 en 6566 al geblokkeerd. Voor poorten op de zwarte lijst wordt het verzenden van HTTP-, HTTPS- en FTP-verzoeken geblokkeerd om te beschermen tegen de NAT-slipstreaming-aanval , waarmee bij het openen van een webpagina die speciaal door de aanvaller in de browser is voorbereid, een netwerkverbinding tot stand kan worden gebracht vanaf de server van de aanvaller naar een UDP- of TCP-poort op het systeem van de gebruiker, ondanks het gebruik van het interne adresbereik (192.168.x.x, 10 .x.x.x).
• Het is mogelijk om het automatisch starten van stand-alone webapplicaties (PWA - Progressive Web Apps) te configureren wanneer de gebruiker inlogt op het systeem (Windows en macOS). Autorun wordt geconfigureerd op de chrome://apps-pagina. De functionaliteit wordt momenteel getest op een klein percentage van de gebruikers, en voor de rest vereist het activeren van de instelling “chrome://flags/#enable-desktop-pwas-run-on-os-login”.
• Als onderdeel van het werk om de browser zo te maken dat hij inclusieve terminologie gaat gebruiken, is het bestand "master_preferences" hernoemd naar "initial_preferences". Om de compatibiliteit te behouden, blijft de ondersteuning voor “master_preferences” enige tijd in de browser aanwezig. Eerder had de browser al het gebruik van de woorden ‘whitelist’, ‘blacklist’ en ‘native’ afgeschaft.
• De verbeterde Safe Browsing-modus, die extra controles activeert om te beschermen tegen phishing, kwaadaardige activiteiten en andere bedreigingen op internet, omvat de mogelijkheid om gedownloade bestanden te verzenden voor scannen aan de Google-kant. Bovendien implementeert Enhanced Safe Browsing het bijhouden van tokens die aan een Google-account zijn gekoppeld bij het identificeren van phishing-pogingen, en het verzenden van Referrer-headerwaarden naar Google-servers om te controleren op doorsturing vanaf een kwaadaardige site.
• In de editie voor het Android-platform is het ontwerp van webformulierelementen verbeterd, die zijn geoptimaliseerd voor gebruik op touchscreens en systemen voor mensen met een beperking (voor desktopsystemen is het ontwerp opnieuw gedaan in Chrome 83). Het doel van de herwerking was om het ontwerp van formulierelementen te verenigen en stijlinconsistenties te elimineren - voorheen werden sommige formulierelementen ontworpen in overeenstemming met interface-elementen van het besturingssysteem, en andere in overeenstemming met de meest populaire stijlen. Hierdoor waren verschillende elementen verschillend geschikt voor touchscreens en systemen voor mensen met een beperking.
• Er is een gebruikersopiniepeiling toegevoegd die wordt weergegeven bij het openen van de Privacy Sandbox-instellingen (chrome://settings/privacySandbox).
• Bij gebruik van de Android-versie van Chrome op tablet-pc's met grote schermen wordt gevraagd om de desktopversie van de site, en niet om de versie voor mobiele apparaten. U kunt het gedrag wijzigen met de instelling “chrome://flags/#request-desktop-site-for-tablets”.
• De code voor het weergeven van tabellen is herwerkt, waardoor we problemen met inconsistentie in gedrag bij het weergeven van tabellen in Chrome en in Firefox/Safari konden oplossen.
• De verwerking van servercertificaten van de Spaanse certificeringsinstantie Camerfirma is stopgezet vanwege terugkerende incidenten sinds 2017 waarbij sprake was van overtredingen bij de uitgifte van certificaten. Ondersteuning voor clientcertificaten blijft behouden; blokkeren is alleen van toepassing op certificaten die op HTTPS-sites worden gebruikt.
• We blijven ondersteuning implementeren voor netwerksegmentatie om te beschermen tegen methoden voor het volgen van gebruikersbewegingen tussen sites op basis van het opslaan van identificatiegegevens in gebieden die niet bedoeld zijn voor permanente opslag van informatie (“Supercookies”). Omdat in de cache opgeslagen bronnen worden opgeslagen in een gemeenschappelijke naamruimte, ongeacht het oorspronkelijke domein, kan de ene site vaststellen dat een andere site bronnen laadt door te controleren of die bron zich in de cache bevindt. De bescherming is gebaseerd op het gebruik van netwerksegmentatie (Network Partitioning), waarvan de essentie is om aan gedeelde caches een extra binding van records toe te voegen aan het domein van waaruit de hoofdpagina wordt geopend, waardoor de cachedekking alleen voor bewegingsregistratiescripts wordt beperkt. naar de huidige site (een script van een iframe kan niet controleren of de bron van een andere site is gedownload).

  De prijs van segmentatie is een afname van de caching-efficiëntie, wat leidt tot een lichte toename van de laadtijd van de pagina (maximaal met 1.32%, maar voor 80% van de sites met 0.09-0.75%). Om de segmentatiemodus te testen, kunt u de browser uitvoeren met de optie “—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey, PartitionSSLSessionsByNetworkIsolationKey, SplitHostCacheByNet workIsolationKey".

• Externe REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome) toegevoegd, waarmee u informatie kunt krijgen over Chrome-versies met betrekking tot platforms en branches, evenals de geschiedenis van browserupdates.
• In iframes die worden geladen vanuit andere domeinen dan het domein van de basispagina, is de weergave van JavaScript-dialogen alert(), confirm() en prompt() verboden, waardoor gebruikers worden beschermd tegen pogingen van een script van derden om berichten weer te geven onder de vermomd dat de melding werd weergegeven door de hoofdsite.
• De WebAssembly SIMD API is gestabiliseerd en standaard aangeboden voor gebruik van vector SIMD-instructies in WebAssembly-geformatteerde applicaties. Om platformonafhankelijkheid te garanderen, biedt het een nieuw 128-bits type dat verschillende soorten verpakte gegevens kan vertegenwoordigen, en verschillende basisvectorbewerkingen voor het verwerken van verpakte gegevens. Met SIMD kunt u de productiviteit verhogen door de gegevensverwerking te parallelliseren en dit is handig bij het compileren van native code in WebAssembly.
• Er zijn verschillende nieuwe API's toegevoegd aan de Origin Trials-modus (experimentele functies die afzonderlijk moeten worden geactiveerd). Origin Trial impliceert de mogelijkheid om met de gespecificeerde API te werken vanuit applicaties die zijn gedownload van localhost of 127.0.0.1, of na registratie en ontvangst van een speciaal token dat voor een beperkte tijd geldig is voor een specifieke site.
  • WebTransport is een protocol en bijbehorende JavaScript-API voor het verzenden en ontvangen van gegevens tussen de browser en de server. Het communicatiekanaal is bovenop HTTP/3 georganiseerd met behulp van het QUIC-protocol als transport, dat op zijn beurt een aanvulling is op het UDP-protocol dat multiplexing van meerdere verbindingen ondersteunt en encryptiemethoden biedt die gelijkwaardig zijn aan TLS/SSL.

    WebTransport kan worden gebruikt in plaats van WebSockets en RTCDataChannel-mechanismen en biedt extra functies zoals multi-stream transmissie, unidirectionele streams, levering buiten de bestelling, betrouwbare en onbetrouwbare leveringsmodi. Bovendien kan WebTransport worden gebruikt in plaats van het Server Push-mechanisme, dat Google in Chrome heeft verlaten.

  • Een declaratieve interface voor het definiëren van koppelingen naar stand-alone webapplicaties (PWA's), mogelijk gemaakt door de parameter capture_links in het manifest van de webapplicatie en waardoor sites automatisch een nieuw PWA-venster kunnen openen wanneer op een applicatielink wordt geklikt of naar de modus met één venster kunnen overschakelen. vergelijkbaar met mobiele applicaties.
  • De WebXR Plane Detection API toegevoegd, die informatie biedt over vlakke oppervlakken in een virtuele 3D-omgeving. De gespecificeerde API maakt het mogelijk om resource-intensieve verwerking van gegevens verkregen via de aanroep MediaDevices.getUserMedia() te vermijden, met behulp van eigen implementaties van computer vision-algoritmen. Laten we u eraan herinneren dat u met de WebXR API het werk kunt verenigen met verschillende klassen virtual reality-apparaten, van stationaire 3D-helmen tot oplossingen op basis van mobiele apparaten.
• Ondersteuning voor het werken met WebSockets via HTTP/2 (RFC 8441) is geïmplementeerd, wat alleen geldig is voor beveiligde verzoeken aan WebSockets en in de aanwezigheid van een reeds tot stand gebrachte HTTP/2-verbinding met de server, die ondersteuning aankondigde voor de “WebSockets over HTTP/2”-extensie.
• Beperkingen op de nauwkeurigheid van timerwaarden die worden geproduceerd door een aanroep naar performance.now() zijn consistent op alle ondersteunde platforms en bieden ruimte aan de mogelijkheid om handlers in afzonderlijke processen te isoleren. Op desktopsystemen is de nauwkeurigheid bij verwerking in niet-geïsoleerde contexten bijvoorbeeld teruggebracht van 5 naar 100 microseconden.
• Desktop-builds bevatten nu de mogelijkheid om bestanden van het klembord te lezen (het schrijven van bestanden naar het klembord is nog steeds verboden). asynchrone functie onPaste(e) {let file = e.clipboardData.files[0]; laat inhoud = wachten op file.text(); }
• CSS implementeert de @counter-style-regel, waarmee u uw eigen stijl voor tellers en labels in genummerde lijsten kunt definiëren.
• De CSS-pseudo-klassen “:host()” en “:host-context()” hebben de mogelijkheid toegevoegd om enkele waarden door te geven voor samengestelde selectors () naast lijsten met selectors () keuzelijst>).
• GravitySensor-interface toegevoegd voor het bepalen van volumetrische gegevens (drie coördinaatassen) van de zwaartekrachtsensor.
• De File System Access API biedt de mogelijkheid om aanbevelingen te definiëren voor het kiezen van een bestandsnaam en directory die worden aangeboden in het dialoogvenster voor het maken of openen van een bestand.
• Iframes die vanuit andere domeinen worden geladen, krijgen toegang tot de WebOTP API als de gebruiker de juiste machtigingen verleent. Met WebOTP kunt u eenmalige verificatiecodes lezen die via sms zijn verzonden.
• Toegestaan ​​om de toegang tot inloggegevens te delen voor sites die zijn gekoppeld via het DAL-mechanisme (Digital Asset Links), waarmee Android-applicaties aan sites kunnen worden gekoppeld om het inloggen te vereenvoudigen.
• Servicemedewerkers staan ​​het gebruik van JavaScript-modules toe. Wanneer u het 'module'-type specificeert bij het aanroepen van de constructor, worden de opgegeven scripts geladen in de vorm van modules en beschikbaar voor import in de werkcontext. Moduleondersteuning maakt het eenvoudig om code te delen tussen webpagina's en servicemedewerkers.
• JavaScript biedt de mogelijkheid om te controleren op het bestaan ​​van privévelden in een object met behulp van de syntaxis "#foo in obj". klasse A {statische test(obj) {console.log(#foo in obj); } #foo = 0; } A.test(nieuwe A()); // waar A.test({}); // vals
• JavaScript staat standaard het gebruik van het trefwoord await toe in modules op het hoogste niveau, waardoor asynchrone oproepen soepeler kunnen worden geïntegreerd in het laadproces van de module en wordt voorkomen dat ze in een “asynchrone functie” worden verpakt. Bijvoorbeeld, in plaats van (async function() {wacht op Promise.resolve(console.log('test')); }()); nu kun je schrijven await Promise.resolve(console.log('test'));
• De V8 JavaScript-engine heeft de efficiëntie van sjablooncaching verbeterd, waardoor de snelheid waarmee de Speedometer4.5-FlightJS-test wordt doorstaan ​​met 2% is toegenomen.
• Er zijn een groot deel van de verbeteringen aangebracht aan tools voor webontwikkelaars. Er is een nieuwe Memory Inspector-modus toegevoegd, die tools biedt voor het onderzoeken van ArrayBuffer-gegevens en Wasm-geheugen.

  Er is een samenvattende prestatie-indicator toegevoegd aan het prestatiepaneel, zodat u kunt beoordelen of een site optimalisatie vereist of niet.

  

  Afbeeldingsvoorbeelden in het deelvenster Elementen en Netwerkanalyse bieden informatie over de beeldverhouding, weergaveopties en bestandsgrootte.

  

  In het netwerkinspectiepaneel is het nu mogelijk om de geaccepteerde waarden van de Content-Encoding-header te wijzigen.

  

  In het stijlpaneel kunt u nu snel de berekende waarde bekijken wanneer u door de CSS-parameters navigeert door 'Bekijk berekende waarde' te selecteren in het contextmenu.

  

Naast innovaties en bugfixes elimineert de nieuwe versie 32 kwetsbaarheden. Veel van de kwetsbaarheden zijn geïdentificeerd als resultaat van geautomatiseerd testen met behulp van de tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er zijn geen kritieke problemen geïdentificeerd die het mogelijk zouden maken om alle niveaus van browserbeveiliging te omzeilen en code op het systeem uit te voeren buiten de sandbox-omgeving. Als onderdeel van het programma om contante beloningen uit te betalen voor het ontdekken van kwetsbaarheden voor de huidige release, heeft Google 21 beloningen uitgekeerd ter waarde van $92000 (een beloning van $20000, een beloning van $15000, vier beloningen van $7500, drie beloningen van $5000, drie beloningen van $3000, twee beloningen van $1000 en twee $ 500). De omvang van de 5 beloningen is nog niet vastgesteld.

Bron: opennet.ru