Google heeft de release onthuld van de webbrowser Chrome 98. Tegelijkertijd is er een stabiele release van het gratis Chromium-project, dat als basis van Chrome dient, beschikbaar. De Chrome-browser onderscheidt zich door het gebruik van Google-logo's, de aanwezigheid van een systeem voor het verzenden van meldingen bij een crash, modules voor het afspelen van tegen kopiëren beveiligde video-inhoud (DRM), een systeem voor het automatisch installeren van updates en het verzenden van RLZ-parameters bij zoeken. De volgende Chrome 99-release staat gepland voor 1 maart.
Belangrijkste wijzigingen in Chrome 98:
- De browser heeft een eigen opslag van rootcertificaten van certificeringsinstanties (Chrome Root Store), die zal worden gebruikt in plaats van externe winkels die specifiek zijn voor elk besturingssysteem. De winkel is op dezelfde manier geïmplementeerd als de onafhankelijke winkel met rootcertificaten in Firefox, die wordt gebruikt als de eerste link om de certificaatvertrouwensketen te controleren bij het openen van sites via HTTPS. De nieuwe opslag wordt standaard nog niet gebruikt. Om de overgang van systeemopslagconfiguraties te vergemakkelijken en portabiliteit te garanderen, zal er een overgangsperiode zijn waarin de Chrome Root Store een volledige selectie certificaten zal bevatten die zijn goedgekeurd op de meeste ondersteunde platforms.
- Het plan om de bescherming te versterken tegen aanvallen die verband houden met de toegang tot bronnen op het lokale netwerk of op de computer van de gebruiker (localhost) via scripts die worden geladen wanneer de site wordt geopend, wordt nog steeds geïmplementeerd. Dergelijke verzoeken worden door aanvallers gebruikt om CSRF-aanvallen uit te voeren op routers, toegangspunten, printers, bedrijfswebinterfaces en andere apparaten en diensten die alleen verzoeken van het lokale netwerk accepteren.
Ter bescherming tegen dergelijke aanvallen zal de browser, als er toegang wordt verkregen tot subbronnen op het interne netwerk, een expliciet verzoek verzenden om toestemming om dergelijke subbronnen te downloaden. Het verzoek om machtigingen wordt uitgevoerd door een CORS-verzoek (Cross-Origin Resource Sharing) met de header “Access-Control-Request-Private-Network: true” naar de hoofdsiteserver te sturen voordat toegang wordt verkregen tot het interne netwerk of de localhost. Bij het bevestigen van de bewerking als reactie op dit verzoek moet de server de header “Access-Control-Allow-Private-Network: true” retourneren. In Chrome 98 wordt de controle geïmplementeerd in de testmodus en als er geen bevestiging is, wordt er een waarschuwing weergegeven in de webconsole, maar wordt het subresourceverzoek zelf niet geblokkeerd. Het is de bedoeling dat het blokkeren pas wordt ingeschakeld als Chrome 101 wordt uitgebracht.
- Accountinstellingen integreren tools voor het beheren van de opname van Enhanced Safe Browsing, dat extra controles activeert om te beschermen tegen phishing, kwaadaardige activiteiten en andere bedreigingen op internet. Wanneer u een modus in uw Google-account activeert, wordt u nu gevraagd de modus in Chrome te activeren.
- Een model toegevoegd voor het detecteren van phishing-pogingen aan de clientzijde, geïmplementeerd met behulp van het TFLite machine learning-platform (TensorFlow Lite) en vereist geen verzending van gegevens om verificatie aan de Google-zijde uit te voeren (in dit geval wordt telemetrie verzonden met informatie over de modelversie en berekende gewichten voor elke categorie). Als er een phishing-poging wordt gedetecteerd, krijgt de gebruiker een waarschuwingspagina te zien voordat hij de verdachte site opent.
- In de Client Hints API, die wordt ontwikkeld als vervanging voor de User-Agent header en waarmee u selectief gegevens over specifieke browser- en systeemparameters (versie, platform, etc.) kunt verzenden, pas na een verzoek van de server, is het Het is mogelijk om fictieve namen in de lijst met browser-ID's te vervangen, naar analogie met het GREASE-mechanisme (Generate Random Extensions And Sustain Extensibility) dat in TLS wordt gebruikt. Bijvoorbeeld naast '"Chrome"; v="98″' en '"Chroom"; v="98″' een willekeurige identificatie van een niet-bestaande browser '"(Not; Browser"; v="12″' kan aan de lijst worden toegevoegd. Een dergelijke vervanging zal helpen bij het identificeren van problemen met het verwerken van identificaties van onbekende browsers, wat ertoe leidt dat alternatieve browsers gedwongen worden zich voor te doen als andere populaire browsers om de controle op lijsten met acceptabele browsers te omzeilen.
- Vanaf 17 januari accepteert de Chrome Web Store geen add-ons meer die versie 2023 van het Chrome-manifest gebruiken. Nieuwe toevoegingen worden nu pas geaccepteerd met de derde versie van het manifest. Ontwikkelaars van eerder toegevoegde add-ons kunnen nog steeds updates publiceren met de tweede versie van het manifest. De volledige afschaffing van de tweede versie van het manifest is gepland voor januari XNUMX.
- Ondersteuning toegevoegd voor kleurvectorlettertypen in het COLRv1-formaat (een subset van OpenType-lettertypen die, naast vectorglyphs, een laag met kleurinformatie bevatten), die bijvoorbeeld kunnen worden gebruikt om meerkleurige emoji te maken. In tegenstelling tot het eerder ondersteunde COLRv0-formaat heeft COLRv1 nu de mogelijkheid om verlopen, overlays en transformaties te gebruiken. Het formaat biedt ook een compacte opslagvorm, biedt efficiënte compressie en maakt hergebruik van contouren mogelijk, waardoor de lettergrootte aanzienlijk kan worden verkleind. Het Noto Color Emoji-lettertype neemt bijvoorbeeld 9 MB in beslag in rasterformaat en 1 MB in COLRv1.85-vectorformaat.
- De Origin Trials-modus (experimentele functies die afzonderlijke activering vereisen) implementeert de Region Capture API, waarmee u de vastgelegde video kunt bijsnijden. Bijsnijden kan bijvoorbeeld nodig zijn in webtoepassingen die video vastleggen met de inhoud van hun tabblad, om bepaalde inhoud uit te knippen voordat deze wordt verzonden. Origin Trial impliceert de mogelijkheid om met de gespecificeerde API te werken vanuit applicaties gedownload van localhost of 127.0.0.1, of na registratie en ontvangst van een speciaal token dat een beperkte tijd geldig is voor een specifieke site.
- De CSS-eigenschap "contain-intrinsic-size" ondersteunt nu de waarde "auto", die de laatst onthouden grootte van het element gebruikt (bij gebruik met "content-visibility: auto" hoeft de ontwikkelaar de weergegeven grootte van het element niet te raden) .
- De eigenschap AudioContext.outputLatency toegevoegd, waarmee u informatie kunt vinden over de voorspelde vertraging vóór audio-uitvoer (de vertraging tussen het audioverzoek en het begin van de verwerking van de ontvangen gegevens door het audio-uitvoerapparaat).
- CSS-eigenschap color-scheme, waarmee kan worden bepaald in welke kleurenschema’s een element correct kan worden weergegeven (“light”, “dark”, “day mode” en “night mode”), de parameter “only” is toegevoegd om geforceerde kleurveranderingsschema's voor individuele HTML-elementen te voorkomen. Als u bijvoorbeeld “div { color-scheme: only light }” opgeeft, wordt alleen het lichte thema gebruikt voor het div-element, zelfs als de browser dwingt om het donkere thema in te schakelen.
- Ondersteuning toegevoegd voor 'dynamisch bereik' en 'video-dynamisch bereik' mediaquery's aan CSS om te bepalen of een scherm HDR (High Dynamic Range) ondersteunt.
- De mogelijkheid toegevoegd om te kiezen of een link in een nieuw tabblad, nieuw venster of pop-upvenster moet worden geopend aan de functie window.open(). Bovendien retourneert de eigenschap window.statusbar.visible nu 'false' voor pop-ups en 'true' voor tabbladen en vensters. const popup = venster.open('_blank',",'popup=1′); // Openen in een pop-upvenster const tab = window.open('_blank',,"'popup=0′); // Openen in tabblad
- De methode StructuredClone() is geïmplementeerd voor Windows en Workers, waarmee u recursieve kopieën van objecten kunt maken die niet alleen eigenschappen van het opgegeven object bevatten, maar ook van alle andere objecten waarnaar door het huidige object wordt verwezen.
- De Web Authentication API heeft ondersteuning toegevoegd voor de FIDO CTAP2-specificatie-extensie, waarmee u de minimaal toegestane pincodegrootte (minPinLength) kunt instellen.
- Voor geïnstalleerde stand-alone webapplicaties is de component Window Controls Overlay toegevoegd, die het schermgebied van de applicatie uitbreidt naar het gehele venster, inclusief het titelgebied, waarop de standaard vensterbedieningsknoppen (sluiten, minimaliseren, maximaliseren ) worden over elkaar heen gelegd. De webapplicatie kan de weergave en invoerverwerking van het hele venster besturen, behalve het overlayblok met vensterbedieningsknoppen.
- Er is een signaalverwerkingseigenschap toegevoegd aan WritableStreamDefaultController die een AbortSignal-object retourneert, dat kan worden gebruikt om het schrijven naar een WritableStream onmiddellijk te stoppen zonder te wachten tot deze zijn voltooid.
- WebRTC heeft de ondersteuning verwijderd voor het SDES-sleutelovereenkomstmechanisme, dat in 2013 door de IETF werd afgeschaft vanwege veiligheidsoverwegingen.
- Standaard is de U2F (Cryptotoken) API uitgeschakeld, die eerder verouderd was en vervangen werd door de Web Authentication API. De U2F API wordt volledig verwijderd in Chrome 104.
- In de API Directory is het veld geïnstalleerde_browserversie verouderd en vervangen door een nieuw veld in afwachting van_browserversie, dat verschilt doordat het informatie bevat over de browserversie, waarbij rekening wordt gehouden met gedownloade maar niet toegepaste updates (d.w.z. de versie die geldig zal zijn na de browser wordt opnieuw opgestart).
- Opties verwijderd die het mogelijk maakten om ondersteuning voor TLS 1.0 en 1.1 terug te geven.
- Er zijn verbeteringen aangebracht in tools voor webontwikkelaars. Er is een tabblad toegevoegd om de werking van de Back-Forward-cache te evalueren, die directe navigatie biedt bij gebruik van de knoppen Terug en Vooruit. De mogelijkheid toegevoegd om mediaquery's met geforceerde kleuren te emuleren. Knoppen toegevoegd aan de Flexbox-editor ter ondersteuning van de eigenschappen Rij-omkeren en Kolom-omkeren. Het tabblad “Wijzigingen” zorgt ervoor dat wijzigingen worden weergegeven na het opmaken van de code, wat het parseren van verkleinde pagina’s vereenvoudigt.
De implementatie van het codebeoordelingspaneel is bijgewerkt naar de release van de CodeMirror 6-code-editor, die de prestaties bij het werken met zeer grote bestanden (WASM, JavaScript) aanzienlijk verbetert, problemen met willekeurige offsets tijdens navigatie oplost en de aanbevelingen van het automatische aanvullingssysteem bij het bewerken van code. De mogelijkheid om uitvoer te filteren op eigenschapsnaam of waarde is toegevoegd aan het CSS-eigenschappenpaneel.
Naast innovaties en bugfixes elimineert de nieuwe versie 27 kwetsbaarheden. Veel van de kwetsbaarheden zijn geïdentificeerd als resultaat van geautomatiseerd testen met behulp van de tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er zijn geen kritieke problemen geïdentificeerd die het mogelijk zouden maken om alle niveaus van browserbeveiliging te omzeilen en code op het systeem uit te voeren buiten de sandbox-omgeving. Als onderdeel van het geldbeloningsprogramma voor het ontdekken van kwetsbaarheden voor de huidige release heeft Google 19 beloningen uitgekeerd ter waarde van $88 (twee $20000, één $12000, twee $7500, vier $1000 en één van elk $7000, $5000, $3000 en $2000). .
Bron: opennet.ru