Utgivelsen av Chrome 94

Google har lansert utgivelsen av nettleseren Chrome 94. Samtidig er det tilgjengelig en stabil utgave av det frie prosjektet Chromium, som fungerer som grunnlaget for Chrome. Nettleseren Chrome skiller seg ut ved bruken av Google-logoer, et system for å sende varsler ved krasj, moduler for avspilling av beskyttet videoinnhold (DRM), et system for automatisk oppdatering og overføring av RLZ-parametere under søk. Neste utgivelse av Chrome 95 er planlagt til 19. oktober.

Med utgivelsen av Chrome 94 er utviklingen overført til en ny syklus for utgivelsesforberedelse. Nye betydelige utgivelser vil fra nå av bli publisert hver 4. uke, i stedet for hver 6. uke, noe som vil fremskynde utrullingen av nye funksjoner til brukerne. Det bemerkes at optimaliseringen av prosessen for utgivelsesforberedelse og forbedringen av testingsystemet gjør det mulig å lage utgivelser oftere uten å gå på bekostning av kvaliteten. For bedrifter og for de som trenger mer tid til oppdateringer, vil en utgave kalt Extended Stable bli utgitt hver 8. uke, noe som lar dem oppdatere til nye funksjonsutgivelser ikke hver 4. uke, men hver 8. uke.

Hovedendringer i Chrome 94:

• Det er lagt til en HTTPS-First-modus, som ligner på den muligheten som tidligere ble introdusert i Firefox, kalt HTTPS Only. Hvis modusen er aktivert i innstillingene, vil nettleseren først prøve å få tilgang til nettstedet over HTTPS ved forsøk på å åpne ressurser uten kryptering via HTTP, og hvis det mislykkes, vil brukeren se en advarsel om manglende støtte for HTTPS og bli foreslått å åpne nettstedet uten kryptering. I fremtiden vurderer Google å aktivere HTTPS-First som standard for alle brukere, begrense tilgangen til noen funksjoner på webplattformen for sider åpnet via HTTP, og legge til flere advarsler som informerer brukere om trusler som oppstår når de besøker nettsteder uten kryptering. Modusen aktiveres i innstillingsdelen «Personvern og sikkerhet» > «Sikkerhet» > «Avansert».
• For sider åpnet uten HTTPS, er det forbudt å sende forespørsel (laste ned ressurser) til lokale URL-er (for eksempel «http://router.local» og localhost) og interne adresseområder (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 osv.). Unntak er kun gjort for sider lastet fra servere, som har interne IP-adresser. For eksempel kan en side lastet med serveren 1.2.3.4 få tilgang til ressurser plassert på IP 192.168.0.1 eller IP 127.0.0.1, mens en side lastet med serveren 192.168.1.1 kan det. Endringen innfører et ekstra beskyttelseslag mot utnyttelse av sårbarheter i prosessorer som tar imot forespørsler til lokale IP-er, og vil også bidra til å beskytte mot angrep som «DNS rebinding».
• Det er lagt til en funksjon kalt «Sharing Hub», som gjør det enkelt å dele lenken til den nåværende siden med andre brukere. Muligheten for å generere en QR-kode med URL-en, lagre siden, sende lenken til en annen enhet knyttet til brukerens konto, og dele lenken med tredjeparts nettsteder som Facebook, WhatsApp, Twitter og VK er tilgjengelig. Denne muligheten er ikke ennå tilgjengelig for alle brukere. For å aktivere «Share»-knappen i menyen og adressefeltet kan man bruke innstillingene «chrome://flags/#sharing-hub-desktop-app-menu» og «chrome://flags/#sharing-hub-desktop-omnibox».
• Det er gjort omstrukturering i brukergrensesnittet for nettleserens innstillinger. Hver innstillingsseksjon vises nå på en egen side, istedenfor på en felles side.
• Støtte for dynamisk oppdatering av loggen over utstedte og tilbakekalte sertifikater (Certificate Transparency) er implementert, og den vil nå oppdateres uavhengig av nettleseren.
• Det er lagt til en hjelpeside «chrome://whats-new» som gir en oversikt over synlige endringer for brukeren i den nye utgaven. Siden vises automatisk umiddelbart etter oppdatering, eller er tilgjengelig via knappen «Hva er nytt» (What’s New) i Hjelp-menyen. Siden nevner for tiden søkefunksjonen mellom faner, muligheten for å dele profiler, og bakgrunnsfargebyttefunksjonen, som ikke er spesifik for Chrome 94 og ble introdusert i tidligere utgivelser. Visningen av siden er ikke ennå aktivert for alle brukere: for å kontrollere aktiveringen kan man bruke innstillingene «chrome://flags#chrome-whats-new-ui» og «chrome://flags#chrome-whats-new-in-main-menu-new-badge».
• Bruken av WebSQL API fra innhold lastet inn fra tredjeparts nettsteder (for eksempel gjennom iframe) er erklært som foreldet. I Chrome 94 vil det vises en advarsel ved forsøk på å bruke WebSQL fra tredjeparts skript, men fra og med Chrome 97 vil slike forespørselen bli blokkert. I fremtiden er det planlagt å gradvis avslutte støtten for WebSQL, uavhengig av bruksområde. WebSQL-behandleren er basert på SQLite-kode og kan ha vært utnyttet av angripere til å utnytte sårbarheter i SQLite.
• Av sikkerhetsgrunner og for å forhindre skadelig aktivitet har man begynt å blokkere bruken av det foreldede MK-protokollen (URL:MK), som en gang ble brukt i Internet Explorer og tillot webapplikasjoner å hente informasjon fra komprimerte filer.
• Støtten for synkronisering med eldre versjoner av Chrome (Chrome 48 og tidligere) er avsluttet.
• HTTP-headeren Permissions-Policy, som er ment å aktivere spesifikke funksjoner og kontrollere tilgangen til API-er, har fått støtte for flagget «display-capture», som lar deg administrere bruken av Screen Capture API på siden (som standard er muligheten for å fange innholdet på skjermen fra eksterne iframe blokkert).
• I Origin Trials-modus (eksperimentelle funksjoner som krever separat aktivering) er flere nye API-er lagt til. Origin Trial betyr muligheten til å jobbe med den spesifiserte API-en fra applikasjoner lastet inn fra localhost eller 127.0.0.1, eller etter registrering og mottak av et spesialtoken som er gyldig i en begrenset periode for et spesifikt nettsted.
  • API WebGPU er lagt til, og erstatter API WebGL og gir verktøy for å utføre operasjoner på GPU, slik som rendering og beregninger. Konseptuelt er WebGPU nært beslektet med API-ene Vulkan, Metal og Direct3D 12. WebGPU skiller seg fra WebGL omtrent på samme måte som den grafiske API-en Vulkan skiller seg fra OpenGL, men det er ikke basert på et spesifikt grafisk API, men representerer et universelt lag som bruker de samme lavnivå primitive som finnes i Vulkan, Metal og Direct3D 12.

    WebGPU gir JavaScript-applikasjoner midler for lavnivå kontroll over organisering, behandling og overføring av kommandoer til GPU, samt gjør det mulig å administrere relaterte ressurser, minne, buffere, teksturobjekter og kompilerte grafiske shaderes. Denne tilnærmingen muliggjør høyere ytelse av grafiske applikasjoner ved å redusere overhead og øke effektiviteten i arbeidet med GPU. API-et gir også mulighet til å lage komplekse 3D-prosjekter for web som fungerer like bra som isolerte programmer, men som ikke er bundet til spesifikke plattformer.

  • For individual PWA applications, the ability to register as URL handlers has been implemented. For example, the application music.example.com can register itself as a handler for the URL https://*.music.example.com, and all transitions from external applications via these links, such as from messengers and email clients, will lead to the opening of this PWA application instead of a new tab in the browser.
  • Støtte for den nye HTTP-statuskoden 103 er implementert, som kan brukes for tidlig henting av overskrifter. Kode 103 gjør det mulig å informere klienten om innholdet i enkelte HTTP-overskrifter umiddelbart etter forespørselen, uten å vente på at serveren fullfører alle operasjonene knyttet til forespørselen og begynner å levere innholdet. På denne måten kan det gis hint om relaterte elementer til den leverte siden som kan bli forhåndsinnlastet (for eksempel kan det bli henvist til CSS- og JavaScript-filer som brukes på siden). Når nettleseren mottar informasjon om slike ressurser, vil den begynne å laste dem ned uten å vente på at hovedsiden er fullført, noe som bidrar til å redusere den totale behandlingstiden for forespørselen.
• API WebCodecs er lagt til for å manipulere multimedia-strømmer på lavt nivå, som supplerer de høynivå API-ene HTMLMediaElement, Media Source Extensions, WebAudio, MediaRecorder og WebRTC. Det nye API-et kan bli ettertraktet innen områder som spillstrømming, anvendelse av effekter på klientsiden, rekoding av strømmer og støtte for uvanlige multimedia-containere. I stedet for å implementere separate kodeker i JavaScript eller WebAssembly, gir API WebCodecs tilgang til ferdige høykraftkomponenter innebygd i nettleseren. Spesielt tilbyr API WebCodecs dekodere og kodere for lyd og video, bilde-dekodere og funksjoner for lavnivåhåndtering av individuelle videorammer.
• API Insertable Streams er stabilisert, og gir mulighet til å manipulere rå multimedia-strømmer som sendes via API MediaStreamTrack, slik som data fra kamera og mikrofon, resultatet av skjermopptak eller mellomliggende data fra dekoding ved kodek. For representasjon av rå bilder brukes WebCodec-grensesnitt, og deretter dannes det en strøm som ligner den som API WebRTC Insertable Streams genererer på bakgrunn av RTCPeerConnections. Praktisk sett lar det nye API-et implementere funksjonalitet som bruk av maskinlæring for identifisering eller annotering av objekter i sanntid eller for å legge til effekter, som bakgrunnskutting, før koding eller etter dekoding av kodek.
• Metoden scheduler.postTask() er stabilisert, noe som gjør det mulig å styre planleggingen av utførelsen av oppgaver (callback-kall i JavaScript) med ulike prioriteringsnivåer. Tre prioriteringsnivåer er tilgjengelige: 1 - utføre først, selv om det kan blokkere brukeroperasjoner; 2 - synlige endringer for brukeren tillates; 3 - bakgrunnsutførelse. For å endre prioritet og avbryte oppgaver kan TaskController-objektet brukes.
• API Idle Detection er nå stabilisert og distribueres utenfor Origin Trials for å oppdage brukerens inaktivitet. API-et gjør det mulig å fastslå når brukeren ikke interagerer med tastaturet/musen, når skjermbeskytteren er aktivert, skjermen er låst eller når arbeidet utføres på en annen skjerm. Applikasjonen informeres om inaktiviteten gjennom en varsling som sendes etter at en bestemt inaktivitetsgrense er nådd.
• Prosessen for fargehåndtering i CanvasRenderingContext2D- og ImageData-objekter og bruken av fargerommet sRGB er formalisert. Det er mulig å opprette CanvasRenderingContext2D- og ImageData-objekter i fargerom som er forskjellige fra sRGB, som Display P3, for å utnytte de utvidede mulighetene til moderne skjermer.
• I API VirtualKeyboard er det lagt til metoder og egenskaper for å styre visning og skjuling av det virtuelle tastaturet, samt for å hente informasjon om størrelsen på det viste virtuelle tastaturet.
• I JavaScript er det nå mulig for klasser å bruke statiske initieringsblokker som grupperer kode utført én gang ved behandling av klassen: class C { // Blokken vil bli kjørt ved behandling av selve klassen static { console.log(«C’s static block»); } }
• CSS-egenskapene flex-basis og flex implementerer nå nøkkelordene content, min-content, max-content og fit-content for mer fleksibel kontroll over størrelsen på hovedområdet i Flexbox.
• CSS-egenskapen scrollbar-gutter er lagt til for å håndtere reservasjoner av skjermplass for rullefeltet. For eksempel, når det ikke kreves rulling av innhold, kan utdataene utvides og ta opp området til rullefeltet.
• API Self Profiling er lagt til med implementering av et profilsystem som lar deg måle kjøretid for JavaScript på klientsiden for å debugge ytelsesproblemer i JavaScript-kode, uten å måtte gjøre manuelle manipulasjoner i utviklergrensesnittet.
• Etter fjerning av Flash-plugin ble det besluttet å returnere tomme verdier i egenskapene navigator.plugins og navigator.mimeTypes, men det viste seg at noen applikasjoner brukte dem for å sjekke tilstedeværelsen av plugins for visning av PDF-filer. Siden Chrome har en innebygd PDF-viser, vil egenskapene navigator.plugins og navigator.mimeTypes nå returnere en fast liste over standard plugins og MIME-typer for PDF-visning — «PDF Viewer, Chrome PDF Viewer, Chromium PDF Viewer, Microsoft Edge PDF Viewer og WebKit innebygd PDF».
• Det er gjort forbedringer i verktøyene for webutviklere. Enheter som Nest Hub og Nest Hub Max er lagt til i listen over simulerte skjermer. I nettverksaktivitetinspeksjonsgrensesnittet er det lagt til en knapp for å invertere filtre (for eksempel, ved å sette filteret «status-code: 404», kan man raskt se alle andre forespørsler), samt muligheten til å se opprinnelige verdier av Set-Cookie-headere (som gjør det mulig å vurdere om det finnes ugyldige verdier som fjernes under normalisering). Sidepanelet i nettverkskonsollen er erklært foreldet og vil bli fjernet i en av de kommende utgivelsene. En eksperimentell mulighet for å skjule problemer i fanen Issues er lagt til. Det er også lagt til en mulighet for å velge språk i innstillingene.

I tillegg til nyhetene og feilrettingene har den nye versjonen eliminert 19 sårbarheter. Mange av sårbarhetene ble oppdaget som et resultat av automatisk testing med verktøy som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Det er ikke oppdaget kritiske problemer som lar omgå alle nivåer av nettleserens beskyttelse og utføre kode i systemet utenfor sandbox-miljøet. I forbindelse med belønningsprogrammet for oppdagelse av sårbarheter, har Google utdelt 17 premier på totalt 56500 dollar (én premie på $15000, to premier på $10000, én premie på $7500, fire premier på $3000 og to premier på $1000). Størrelsen på 7 premier er foreløpig ikke fastsatt.

Kilde: opennet.ru