Utgivelsen av nettleseren Chrome 124

Google har gitt ut en ny versjon av nettleseren Chrome 124. Samtidig er den stabile utgaven av det frie prosjektet Chromium tilgjengelig, som danner grunnlaget for Chrome. Nettleseren Chrome skiller seg fra Chromium ved å bruke Google-logoer, ha et varslingssystem for krasj, moduler for avspilling av beskyttet videoinnhold (DRM), et automatisk oppdateringssystem, konstant aktivering av Sandbox-isolasjon, leveranse av nøkler til Google API og overføring av RLZ-parametere under søk. For de som trenger mer tid til oppdatering, støttes en egen Extended Stable-versjon, som har en vedlikeholdsperiode på 8 uker. Neste utgivelse av Chrome 125 er planlagt til 14. mai.

Hovedforandringer i Chrome 124:

• I versjonen for Android-plattformen har bokmerkeadministratoren fått støtte for å lagre bokmerker og lister over utsatt lesing til servere Google knyttet til brukerens konto.
• I Chrome for Android er det implementert en ny metode for lagring av lokale passord som ikke synkroniseres med andre enheter. Tidligere ble lokale passord lagret i Chrome-profilen, men nå skal de plasseres i passordlageret som tilbydes av Google Play-tjenester, som allerede brukes til oppbevaring av passord til Google-kontoen.
• I byggene for Windows, macOS og Linux er støtte for mekanisme for nøkkelkapsulering (KEM, Key Encapsulation Mechanism) inkludert i TLS som standard, som bruker den hybride algoritmen X25519Kyber768, som er motstandsdyktig mot angrep fra kvantedatamaskiner. X25519Kyber768 er en kombinasjon av X25519-nøkkelutvekslingsmekanismen, basert på elliptiske kurver som nå brukes i TLS, med Kyber-768-algoritmen som bruker metoder for kryptografi basert på løsning av problemer innen gitterteori, hvor tiden for løsning ikke skiller seg mellom vanlige og kvante-datamaskiner.
• Når teksten tegnes av Skia-biblioteket, tas det hensyn til de angitte kontrast- og fargeinnstillingene i Windows for teknologien ClearType fontglatting, som merkbart forbedrer kvaliteten på skrifter på LCD-skjermer. I versjoner for Linux har skrifttypene som brukes i grensesnittet blitt betydelig endret.
• Det er nå mulig å installere enhver webside som en selvstendig PWA-applikasjon (Progressive Web Apps), selv om denne siden ikke oppfyller PWA-kriteriene.
• I samsvar med kravene i den europeiske loven DMA (Digital Markets Act) er det sikret at dialogen for valg av søkemotor som skal brukes som standard, vises. De tilgjengelige søkemotorene kan velges fra innstillingsområdet «chrome://settings/search». Søkemotorene i listen vises i tilfeldig rekkefølge. I Chrome 120 ble denne dialogen testet på 1% av brukerne, og er nå aktivert for alle.
• Det er implementert en forespørsel til brukeren om å gi tillatelser når webapplikasjonen gjør anrop til Web MIDI API, som muliggjør interaksjon med musikkutstyr tilkoblet datamaskinen via MIDI-grensesnittet. Tidligere ble tillatelsesforespørselen bare vist ved sending eller mottak av SysEx-meldinger, men nå vil den vises ved ethvert anrop til Web MIDI API. Årsaken til endringen nevner situasjoner der tilfeldige websider tar exklusiv kontroll over MIDI-kontrolleren, og sperrer muligheten for andre applikasjoner til å samarbeide med den. Det pekes også på sikkerhetsproblemer, ettersom Web MIDI API gir full kontroll over MIDI-enheten, inkludert muligheten til å installere egne fastvare.
• Støtten for Web SQL API er helt opphørt, ettersom det ikke er standardisert, nærmest ikke brukes, og krever omarbeiding for å oppfylle moderne sikkerhetskrav. Web SQL ble deaktivert som standard fra og med Chrome 119, men det var tilgjengelig et alternativ for å aktivere det på nytt. Nå er dette alternativet fjernet. For utviklere som trenger slik funksjonalitet, anbefales det å bruke en variant av SQLite-biblioteket compilert til WebAssembly.
• Muligheten for å styre tekstretningen for vertikalt tekstvisning i webskjemaelementer (select, meter, progress, button, textarea og input) er lagt til ved valg av vertikal orientering gjennom CSS-egenskapen writing-mode. For å vise tekst fra topp til bunn kan nå CSS-egenskapen «ltr» brukes, mens «rtl» kan brukes for bunn til topp.
• I API User-Agent Client Hints, som blir utviklet som erstatning for User-Agent-headeren, er det lagt til støtte for parameteren Sec-CH-UA-Form-Factors, som lar klienten informere serveren om enhetens formfaktor (Desktop, Automotive, Mobile, XR, EInk og Watch). User-Agent Client Hints gjør det mulig å organisere selektiv levering av data om spesifikke parametere for nettleseren og systemet (versjon, plattform osv.) kun etter forespørsel. serverenBrukeren kan selv bestemme hvilken informasjon som kan gis til nettstedeiere. Når man bruker User-Agent Client Hints, overføres ikke nettleseridentifikatoren uten et eksplisitt forespørsel, og som standard oppgis bare grunnleggende parametere, noe som gjør det vanskelig å utføre passiv identifikasjon.
• Det er lagt til mulighet for å kontrollere kloning av individuelle røtter i Shadow DOM, gjennom kommandoer som cloneNode(). Muligheten for å klone rotgrener i DOM aktiveres med parameteren clonable («attachShadow({clonable:true})») eller attributtet «shadowrootclonable» (<template shadowrootmode=open shadowrootclonable>).
  
• Nye metoder setHTMLUnsafe() og parseHTMLUnsafe() er lagt til for bruk av Shadow DOM-syntaks fra JavaScript. Metodene setHTMLUnsafe() og parseHTMLUnsafe() ligner på innerHTML og DOMParser.parseFromString() og gjør det mulig å sette inn innhold i et element eller å analysere innhold i HTML-format, men skiller seg ved å støtte behandling av template-elementer med attributtet shadowrootmode.
• Det er lagt til støtte for API WebSocket Stream, som tillater dataoverføring mellom nettleseren og serveren i sanntid uten polling, noe som er optimalt for å organisere overføring og mottak av kontinuerlig innkommende data, for eksempel i en chatimplementering. const wss = new WebSocketStream(WSS_URL); const {readable, writable} = await wss.opened; const reader = readable.getReader(); const writer = writable.getWriter(); while (true) { const {value, done} = await reader.read(); if (done) { break; } const result = await process(value); await writer.write(result); }
• Funksjonaliteten til API View Transitions er utvidet, noe som forenkler opprettelsen av overgangs-animasjonseffekter mellom forskjellige DOM-tilstander (for eksempel en myk overgang fra ett bilde til et annet). Den nye versjonen har lagt til støtte for hendelsen «pageswap», som genereres for objektet «window», når det tilknyttede objektet «document» blir erstattet med et nytt ved navigering. Det er også lagt til egenskapen «render-blocking», som lar deg blokkere dokumentgjengivelsen til viktig innhold er behandlet.
• Det er lagt til parameteren disallowReturnToOpener, som sendes ved anrop av metoden requestWindow, som lar deg fjerne «tilbake»-knappen i vinduet som åpnes i «bilde-i-bilde»-modus, for å forby returning til fanen hvor vinduet ble åpnet.
• Ennå mer fleksibilitet med CSSImportRule.styleSheet som nå kan settes til NULL for å indikere fravær av tilknyttede stilark. Det er lagt til en CSSKeyframesRule.length-attributt som angir antall indekserbare egenskaper.
• For redigerbare felt er det implementert en «writingsuggestions»-attributt for å styre visningen av anbefalinger under inntasting.
• API-en WebGPU har nå støtte for ServiceWorker og SharedWorker.
• Støtte for HTTP-headeren «Priority» er lagt til, noe som muliggjør overføring av forespørselens behandlingsprioritet (RFC 9218) i den første tilgangen til ressursen.
• Forbedringer er gjort i verktøyene for webutviklere. En ny Autofill-panel er lagt til for å inspisere informasjon brukt i automatisk utfylling av skjemaer.

  CSS-stilinspekteringspanelet har fått bedre støtte for nestede stiler. I ytelsesmålingspanelet er det nå mulig å skjule overflødige funksjoner og deres tilknyttede underkall for å redusere støy på grafen. Animasjonspanelet har fått støtte for rullebasert animasjon (Scroll-driven Animation). I nettverksinspeksjonspanelet er det nå mulig å angi pakketap og størrelsen på nettverkskøen for å teste WebRTC-applikasjoner under nettverksproblemer.

  

I tillegg til nye funksjoner og feilrettinger, har den nye versjonen løst 22 sårbarheter. Mange av sårbarhetene ble oppdaget gjennom automatisert testing med verktøy som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Kritiske problemer som kan omgå alle nivåer av nettleserens beskyttelse og kjøre kode utenfor sandkassemiljøet, er ikke oppdaget. I forbindelse med belønningsprogrammet for sårbarhetsoppdagelse har Google utbetalt 13 premier på totalt 65 000 dollar for denne utgivelsen (én premie på $20 000, en på $10 000, en på $7 000 og en på $2 000, samt tre premier på $5 000 og $3 000, to premier på $1 000). Størrelsen på en enkelt belønning er ennå ikke bestemt.

Kilde: opennet.ru