Utslipp av Chrome 120

Google har offentliggjort utgivelsen av nettleseren Chrome 120. Samtidig er en stabil utgave av det frie prosjektet Chromium tilgjengelig, som danner grunnlaget for Chrome. Nettleseren Chrome skiller seg fra Chromium ved at den bruker Googles logoer, har et system for å sende varsler ved krasj, moduler for avspilling av beskyttet videoinnhold (DRM), et automatisk oppdateringssystem, konstant aktivering av sandbox-isolering, leverer nøkler til Google API og overfører RLZ-parametre ved søk. For de som trenger mer tid til oppdatering, støttes en egen Extended Stable-gren i 8 uker. Neste utgivelse av Chrome 121 er planlagt til 23. januar.

Hovedendringer i Chrome 120:

• Eksperimentet med å deaktivere støtten for tredjeparts informasjonskapsler, som settes når man besøker nettsteder andre enn domenet den nåværende siden, har startet. Disse informasjonskapslene brukes til å spore brukeres bevegelser mellom nettsteder i annonsenettverk, sosiale medier og systemer for webanalyse. I januar 2024 vil tredjeparts informasjonskapsler bli deaktivert for 1% av nettleserbrukerne. Endringene gjøres som en del av initiativet Privacy Sandbox, som har som mål å oppnå en balanse mellom brukernes behov for personvern og annonsenettverks og nettsteder ønske om å spore besøkerpreferanser.

  I stedet for sporingsinformasjonskapsler foreslås det å bruke følgende API-er:

  • FedCM (Federated Credential Management), som muliggjør oppretting av sammenkoblede identifikasjonstjenester som sikrer personvern og fungerer uten tredjeparts informasjonskapsler.
  • Private State Tokens, som gjør det mulig å skille mellom ulike brukere uten å bruke informasjonskapsler på tvers av nettsteder og overføre autentiseringsinformasjon mellom forskjellige kontekster.
  • Topics (kritikk) gir mulighet til å identifisere brukerinteressene, som kan brukes til å skille grupper av brukere med lignende interesser uten å identifisere enkeltbrukere ved hjelp av sporingscookies. Interesser beregnes basert på brukerens aktivitet i nettleseren og lagres på brukerens enhet. Gjennom API Topics kan annonse-nettverket få generell informasjon om spesifikke interesser uten å ha informasjon om konkret brukeraktivitet.
  • Protected Audience, en løsning for retargeting og vurdering av egen målgruppe (arbeid med brukere som allerede har besøkt nettstedet tidligere).
  • Attribution Reporting, lar deg vurdere slike kjennetegn ved reklameeffektivitet som klikk og konvertering (kjøp på nettstedet etter klikk).
  • Storage Access API, kan brukes til å be brukeren om tillatelse til å få tilgang til Cookie-lagringen hvis tredjeparts Cookies standardmessig er blokkert.
• I henhold til kravene fra den vedtatte loven i EU, DMA (Digital Markets Act), vil noen brukere få vist en dialog for valg av standard søkemotor, som er i samsvar med innstillingene i chrome://settings/search. I Chrome 120 vil dialogen bli vist for 1% av brukerne, og ved publisering av Chrome 122 vil den være tilgjengelig for 100%.
• Prosessen med å avslutte støtten for video-codingen Theora har startet. I den innledende fasen er Theora deaktivert for 1% av brukerne, men det planlegges å deaktivere den for alle brukere innen 16. januar. I overgangsperioden vil det være en innstilling for å gjenopprette codec'en på «chrome://flags/#theora-video-codec». Som grunn for å avslutte støtten for Theora nevnes bekymringer om at implementasjonen av Theora, som har ganske komplisert logikk for parsing av binære data og dekoding av strømmer, kan inneholde sårbarheter lik de nylige kritiske problemene med VP8-koderen.
• Chrome Web Store-katalogen har fått en ny design for å forenkle søk og administrasjon av utvidelser. Nye kategorier for utvidelser er lagt til (for eksempel en kategori for utvidelser basert på maskinlæring og en «redaksjonens valg»-seksjon). Muligheten til å gå tilbake til det gamle designet er lagt til i menyen » ⋮ ».
• Funksjonaliteten i «Sikkerhetssjekk»-grensesnittet er utvidet, og det viser nå en oppsummering av mulige sikkerhetsproblemer, som bruk av kompromitterte passord, tilstand på skanning av skadelige nettsteder (Safe Browsing), forekomst av uinstallerte oppdateringer, og oppdagelse av skadelige utvidelser. Den nye versjonen tilbyr en proaktiv modus som periodisk utfører sikkerhetssjekker av nettleseren og gir informasjon til brukeren hvis problemer oppdages. Innstillinger for å kontrollere handlinger i den proaktive modusen er lagt til.
• En responsiv verktøylinje er implementert, som endrer seg avhengig av vindusstørrelsen.
• I passordbehandlingen er det nå mulig å dele individuelle passord med medlemmer av Google Family Group, som er konfigurert gjennom Google-kontoen. Man kan dele tilgang til bare ett passord om gangen, hvoretter det delte passordet ikke kan oppdateres eller tilbakekalles av avsenderen.
• Interaksjonen med skrivere er flyttet til en egen tjenesteprosess, noe som har forbedret nettleserens stabilitet og forbedret responsen i forhåndsvisningsgrensesnittet før utskrift.
• TLS har fått en implementering av nøkkelkapslingsmekanismen (KEM, Key Encapsulation Mechanism), som bruker den hybride algoritmen X25519Kyber768, motstandsdyktig mot prøving på kvantedatamaskiner. For å generere sesjonsnøkler som brukes til å kryptere data innen TLS-tilkoblinger, kan nå en kombinasjon av X25519-nøkkelutvekslingsmekanismen, basert på elliptiske kurver og som nå benyttes i TLS, sammen med algoritmen Kyber-768, som baserer seg på kryptografi knyttet til gitterteorioppgaver, hvis løsningshastighet ikke er ulik på vanlige og kvantecomputere, benyttes.
• I tjenesten for automatisk undertrykkelse av forespørsel om tillatelse (Permission Suggestions Service) er URL-en til siden som ber om tillatelse, tatt med i betraktning. servere Google vil overføre hasher fra forespørselen om autorisasjon URL).
• Android-versjonen har sluttet å støtte plattformen Android 7.0 «Nougat».
• Det er lagt til et rammeverk for implementering av Close-forespørselen, som gjør det mulig for brukeren å be om å lukke modale og popup-dialoger ved å trykke på Esc-tasten eller ved å bruke en skjermberøring eller «Tilbake»-knappen på smarttelefoner. Støtte for Close-forespørselen er lagt til for dialoger som er opprettet ved hjelp av elementet
  eller egenskapen «popover». API CloseWatcher er også lagt til, som gir utviklere av applikasjoner muligheten til å overvåke Close-forespørselen og reagere på mottak (for eksempel kan man opprette en behandler for å trykke på «tilbake»-knappen på Android-smarttelefoner).
• Elementet
  har fått støtte for attributtet «name», som gjør det mulig å opprette grupper ved å definere en serie av

  -elementer med ett navn.
• I Media Session API er det lagt til en hendelse «enterpictureinpicture», som lar nettstedet registrere en behandler som aktiveres når innhold åpnes i «bilde i bilde»-modus.
• Syntaksen for innlagte CSS-blokker er forenklet — innlagte CSS-regler kan nå starte med ethvert element, uten behov for å indikere et ampersand-tegn før den innlagte regelen eller bruke funksjonen is(). dl { dt { /* stil for dl dt */ } dd { /* stil for dl dd */ } }
• CSS-egenskapen «background-clip» har fått støtte for parameteren «text» for å vise den valgte bakgrunnen kun i området som er begrenset av teksttegnene. For eksempel vil angivelsen «background: linear-gradient(60deg, red, yellow, red, yellow, red); background-clip: text; color: rgba(0, 0, 0, 0.2)» føre til at det vises:
• I CSS er det lagt til en medieforespørsel «scripting», som kan brukes til å bestemme muligheten for å kjøre skript, for eksempel i JavaScript, på den nåværende siden.
• I CSS er det lagt til en pseudoklasse «:dir()», som lar deg velge elementer avhengig av tekstretningen (for eksempel vil «:dir(ltr)» dekke elementer der teksten vises fra venstre mot høyre).
• I CSS er eksponentialfunksjoner pow(), sqrt(), hypot(), log() og exp() lagt til.
• I CSS er det lagt til støtte for egenskapene mask, mask-image, mask-repeat, mask-position, mask-clip, mask-origin, mask-size, mask-composite og mask-mode for å skjule et element ved å legge et bilde over bestemte punkter.
• I API FontFaceSet er det lagt til en metode check() som lar deg sjekke om teksten kan vises med de valgte skrifttypene uten å bruke skrifter i FontFaceSet hvis lastingen ikke er fullført.
• I API WebGPU er det lagt til støtte for bruk av 16-bits flyttallstype f16 i shaderne.
• I API Media Capabilities er feltene hdrMetadataType, colorGamut og transferFunction lagt til i metoden decodingInfo() for å bestemme støtte for HDR.
• I API MediaStreamTrack er det lagt til muligheten for å hente informasjon om antall mottatte og droppede videorammer.
• Det er lagt til mulighet for å sende et ArrayBuffer-objekt til konstruktørene VideoFrame, AudioData, EncodedVideoChunk, EncodedAudioChunk og ImageDecoder for direkte bruk av byte-arrayet uten å lage en kopi.
• I samsvar med den endrede spesifikasjonen for å forbedre beskyttelsen mot XSS-angrep og for å forbedre portabiliteten mellom nettlesere, er støtten for «data:»-URL-er i SVGUseElement fjernet, som tidligere ikke var støttet i WebKit-motoren.
• Eksperimentell støtte (origin trial) for HTTP-headeren «Priority» er lagt til, som kan brukes til å sende inn informasjon om prioritering av forespørselen (RFC 9218) ved første tilgang til ressursen.
• Det er gjort forbedringer i verktøyene for webutviklere. Debuggeren ignorerer som standard skript plassert i «/node_modules/» og «/bower_components/» med Node.js-moduler. I fjernfeilsøkingsmodus er det implementert en bryter for å velge mellom mus og berøringsskjerm. Feilsøkingen av animasjon er forbedret. I Elements-panelet er det lagt til en bryter for «media» for å feilsøke <audio> og <video> elementer. Varslinger om bruken av tredjeparts informasjonskapsler er som standard aktivert. Privacy Sandbox Analysis-verktøyet har fått analysen av brukte informasjonskapsler på nettstedet og gir anbefalinger for bruk av nye API-er i stedet for informasjonskapsler.
  

I den nye versjonen er det ikke bare innført nyheter og feilrettinger, men også 10 sårbarheter har blitt utbedret. Mange av sårbarhetene ble avdekket gjennom automatisert testing med verktøy som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Det er ikke avdekket noen kritiske problemer som tillater omgåelse av alle beskyttelseslagene i nettleseren og kjøring av kode utenfor sandbox-miljøet. Som en del av programmet for utbetaling av belønning for oppdagelse av sårbarheter, har Google utbetalt 13 belønninger på totalt 15 000 amerikanske dollar (én belønning på $10 000, én belønning på $2 000 og tre belønninger på $1 000).

Kilde: opennet.ru