Chrome-versjon 91

Google har avduket utgivelsen av nettleseren Chrome 91. Samtidig er en stabil utgivelse av det gratis Chromium-prosjektet, som fungerer som grunnlaget for Chrome, tilgjengelig. Chrome-nettleseren utmerker seg ved bruk av Google-logoer, tilstedeværelsen av et system for å sende varsler i tilfelle krasj, moduler for avspilling av beskyttet videoinnhold (DRM), et system for automatisk installasjon av oppdateringer og overføring av RLZ-parametere ved søk. Den neste utgivelsen av Chrome 92 er planlagt til 20. juli.

Viktige endringer i Chrome 91:

• Implementerte muligheten til å stoppe JavaScript-kjøring i en sammenslått fanegruppe. Chrome 85 introduserte støtte for å organisere faner i grupper som kan knyttes til en bestemt farge og etikett. Når du klikker på en gruppeetikett, skjules fanene som er knyttet til den, og en etikett forblir i stedet (ved å klikke på etiketten igjen åpnes gruppen). I den nye utgivelsen, for å redusere CPU-belastningen og spare energi, har aktiviteten i minimerte faner blitt suspendert. Et unntak er kun gjort for faner som spiller av lyd, bruker Web Locks eller IndexedDB API, kobler til en USB-enhet eller tar opp video, lyd eller vindusinnhold. Endringen vil bli rullet ut gradvis, og starter med en liten prosentandel av brukerne.
• Inkludert støtte for en nøkkelavtalemetode som er motstandsdyktig mot brute force på kvantedatamaskiner. Kvantedatamaskiner er radikalt raskere til å løse problemet med å dekomponere et naturlig tall til primfaktorer, som ligger til grunn for moderne asymmetriske krypteringsalgoritmer og som ikke kan løses effektivt på klassiske prosessorer. For bruk i TLSv1.3 leveres CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) plugin, som kombinerer den klassiske X25519 nøkkelutvekslingsmekanismen med HRSS-skjemaet basert på NTRU Prime-algoritmen, designet for post-kvantekryptosystemer.
• Støtte for TLS 1.0- og TLS 1.1-protokollene, som har blitt foreldet av IETF-komiteen (Internet Engineering Task Force), er fullstendig avviklet. Inkludert muligheten for å returnere TLS 1.0/1.1 ved å endre SSLVersionMin-policyen er fjernet.
• Samlinger for Linux-plattformen inkluderer bruk av "DNS over HTTPS" (DoH, DNS over HTTPS)-modus, som tidligere ble brakt til brukere av Windows, macOS, ChromeOS og Android. DNS-over-HTTPS vil automatisk aktiveres for brukere hvis innstillinger spesifiserer DNS-leverandører som støtter denne teknologien (for DNS-over-HTTPS brukes samme leverandør som for DNS). For eksempel, hvis brukeren har DNS 8.8.8.8 spesifisert i systeminnstillingene, vil Googles DNS-over-HTTPS-tjeneste (“https://dns.google.com/dns-query”) aktiveres i Chrome hvis DNS-en er 1.1.1.1, deretter DNS-over-HTTPS-tjenesten Cloudflare ("https://cloudflare-dns.com/dns-query") osv.
• Port 10080, som brukes i Amanda backup og VMWare vCenter, er lagt til listen over forbudte nettverksporter. Tidligere var portene 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 og 6566 allerede blokkert. For porter på svartelisten er sending av HTTP-, HTTPS- og FTP-forespørsler blokkert for å beskytte mot NAT-slippstrømmen , som lar en nettside som er spesielt forberedt av angriperen i nettleseren når den åpnes, opprette en nettverksforbindelse fra angriperens server til en hvilken som helst UDP- eller TCP-port på brukerens system, til tross for bruk av det interne adresseområdet (192.168.xx, 10) .xxx).
• Det er mulig å konfigurere automatisk lansering av frittstående nettapplikasjoner (PWA - Progressive Web Apps) når brukeren logger på systemet (Windows og macOS). Autorun er konfigurert på chrome://apps-siden. Funksjonaliteten blir for øyeblikket testet på en liten prosentandel av brukerne, og for resten krever den aktivering av "chrome://flags/#enable-desktop-pwas-run-on-os-login"-innstillingen.
• Som en del av arbeidet med å flytte nettleseren til å bruke inkluderende terminologi, har «master_preferences»-filen fått nytt navn til «initial_preferences». For å opprettholde kompatibiliteten vil støtte for "master_preferences" forbli i nettleseren en stund. Tidligere hadde nettleseren allerede blitt kvitt bruken av ordene «hviteliste», «svarteliste» og «innfødt».
• Den forbedrede Safe Browsing-modusen, som aktiverer ekstra kontroller for å beskytte mot phishing, ondsinnet aktivitet og andre trusler på nettet, inkluderer muligheten til å sende nedlastede filer for skanning på Google-siden. I tillegg implementerer Enhanced Safe Browsing regnskap for tokens knyttet til en Google-konto ved identifisering av phishing-forsøk, i tillegg til å sende Referrer-overskriftsverdier til Google-servere for å se etter videresending fra et ondsinnet nettsted.
• I utgaven for Android-plattformen er utformingen av nettskjemaelementer forbedret, som er optimert for bruk på berøringsskjermer og systemer for funksjonshemmede (for stasjonære systemer er designet gjort om i Chrome 83). Hensikten med omarbeidingen var å forene utformingen av skjemaelementer og eliminere stilinkonsekvenser - tidligere ble noen skjemaelementer designet i samsvar med operativsystemets grensesnittelementer, og noen i samsvar med de mest populære stilene. På grunn av dette var ulike elementer egnet forskjellig for berøringsskjermer og systemer for funksjonshemmede.
• Lagt til en meningsmåling for brukere som vises når du åpner Privacy Sandbox-innstillingene (chrome://settings/privacySandbox).
• Når du kjører Android-versjonen av Chrome på nettbrett med store skjermer, sendes forespørselen om skrivebordsversjonen av nettstedet, og ikke utgaven for mobile enheter. Du kan endre atferden ved å bruke "chrome://flags/#request-desktop-site-for-tablets"-innstillingen.
• Koden for gjengivelse av tabeller har blitt omarbeidet, noe som gjorde at vi kunne løse problemer med inkonsekvens i oppførsel ved visning av tabeller i Chrome og i Firefox/Safari.
• Behandlingen av serversertifikater fra den spanske sertifiseringsmyndigheten Camerfirma har blitt stoppet på grunn av tilbakevendende hendelser siden 2017 med brudd på utstedelse av sertifikater. Støtte for klientsertifikater beholdes; blokkering gjelder kun for sertifikater som brukes på HTTPS-nettsteder.
• Vi fortsetter å implementere støtte for nettverkssegmentering for å beskytte mot metoder for å spore brukerbevegelser mellom nettsteder basert på lagring av identifikatorer i områder som ikke er beregnet for permanent lagring av informasjon ("superinformasjonskapsler"). Fordi bufrede ressurser er lagret i et felles navneområde, uavhengig av opprinnelsesdomenet, kan ett nettsted fastslå at et annet nettsted laster ressurser ved å sjekke om den ressursen er i hurtigbufferen. Beskyttelsen er basert på bruk av nettverkssegmentering (Network Partitioning), hvis essens er å legge til delte cacher ytterligere binding av poster til domenet som hovedsiden åpnes fra, noe som begrenser cache-dekningen kun for bevegelsessporingsskript. til gjeldende nettsted (et skript fra en iframe vil ikke kunne sjekke om ressursen ble lastet ned fra et annet nettsted).

  Prisen på segmentering er en reduksjon i buffereffektiviteten, noe som fører til en liten økning i sideinnlastingstid (maksimalt med 1.32 %, men for 80 % av nettstedene med 0.09–0.75 %). For å teste segmenteringsmodusen, kan du kjøre nettleseren med alternativet "—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey,B PartitionSLSIKey,BKsolationSSIsHos yNetworkIsolationKey".

• Lagt til ekstern REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome), der du kan få informasjon om Chrome-versjoner i forhold til plattformer og grener, samt nettleseroppdateringshistorikk.
• I iframes lastet fra andre domener enn domenet til basissiden, er visning av JavaScript-dialoger alert(), confirm() og prompt() forbudt, noe som vil beskytte brukere mot forsøk fra et tredjepartsskript på å vise meldinger under skjul på at varselet ble vist av hovedsiden.
• WebAssembly SIMD API har blitt stabilisert og tilbys som standard for bruk av vektor SIMD-instruksjoner i WebAssembly-formaterte applikasjoner. For å sikre plattformuavhengighet tilbyr den en ny 128-bits type som kan representere ulike typer pakket data, og flere grunnleggende vektoroperasjoner for behandling av pakket data. SIMD lar deg øke produktiviteten ved å parallellisere databehandling og vil være nyttig når du kompilerer innfødt kode i WebAssembly.
• Flere nye API-er er lagt til Origin Trials-modusen (eksperimentelle funksjoner som krever separat aktivering). Origin Trial innebærer muligheten til å arbeide med spesifisert API fra applikasjoner lastet ned fra localhost eller 127.0.0.1, eller etter registrering og mottak av en spesiell token som er gyldig i en begrenset periode for et spesifikt nettsted.
  • WebTransport er en protokoll og tilhørende JavaScript API for sending og mottak av data mellom nettleseren og serveren. Kommunikasjonskanalen er organisert på toppen av HTTP/3 ved å bruke QUIC-protokollen som transport, som igjen er et tillegg til UDP-protokollen som støtter multipleksing av flere tilkoblinger og gir krypteringsmetoder tilsvarende TLS/SSL.

    WebTransport kan brukes i stedet for WebSockets og RTCDataChannel-mekanismer, og tilbyr tilleggsfunksjoner som multi-stream overføring, enveis strømmer, levering utenfor rekkefølge, pålitelige og upålitelige leveringsmoduser. I tillegg kan WebTransport brukes i stedet for Server Push-mekanismen, som Google har forlatt i Chrome.

  • Et deklarativt grensesnitt for å definere lenker til frittstående nettapplikasjoner (PWA), aktivert ved å bruke capture_links-parameteren i nettapplikasjonsmanifestet og lar nettsteder automatisk åpne et nytt PWA-vindu når en applikasjonskobling klikkes eller bytte til enkeltvindusmodus, ligner på mobilapplikasjoner.
  • Lagt til WebXR Plane Detection API, som gir informasjon om plane overflater i et virtuelt 3D-miljø. Det spesifiserte API-et gjør det mulig å unngå ressurskrevende behandling av data innhentet gjennom kallet MediaDevices.getUserMedia(), ved bruk av proprietære implementeringer av datasynsalgoritmer. La oss minne deg på at WebXR API lar deg forene arbeid med ulike klasser av virtuell virkelighet-enheter, fra stasjonære 3D-hjelmer til løsninger basert på mobile enheter.
• Støtte for arbeid med WebSockets over HTTP/2 (RFC 8441) er implementert, som kun er gyldig for sikre forespørsler til WebSockets og i nærvær av en allerede etablert HTTP/2-forbindelse med serveren, som annonserte støtte for "WebSockets over HTTP/2" utvidelse.
• Begrensninger for presisjonen til timerverdier produsert av et kall til performance.now() er konsistente på tvers av alle støttede plattformer og rommer potensialet for å isolere behandlere i separate prosesser. For eksempel, på skrivebordssystemer, er nøyaktigheten ved prosessering i ikke-isolerte sammenhenger redusert fra 5 til 100 mikrosekunder.
• Desktop-bygg inkluderer nå muligheten til å lese filer fra utklippstavlen (skriving av filer til utklippstavlen er fortsatt forbudt). asynkronfunksjon onPaste(e) { let file = e.clipboardData.files[0]; la innhold = avvente fil.tekst(); }
• CSS implementerer @counter-style regelen, som lar deg definere din egen stil for tellere og etiketter i nummererte lister.
• CSS-pseudoklassene ":host()" og ":host-context()" har lagt til muligheten til å sende enkeltverdier av sammensatte velgere ( ) i tillegg til velgerlister ( ).
• Lagt til GravitySensor-grensesnitt for å bestemme volumetriske (tre koordinatakser) data fra gravitasjonssensoren.
• File System Access API gir muligheten til å definere anbefalinger for å velge et filnavn og katalog som tilbys i dialogboksen for å opprette eller åpne en fil.
• Iframes lastet fra andre domener får tilgang til WebOTP API hvis brukeren gir de riktige tillatelsene. WebOTP lar deg lese engangsverifiseringskoder sendt via SMS.
• Tillatt å dele tilgang til legitimasjon for nettsteder som er koblet til ved hjelp av DAL-mekanismen (Digital Asset Links), som lar Android-applikasjoner knyttes til nettsteder for å forenkle pålogging.
• Tjenestearbeidere tillater bruk av JavaScript-moduler. Når du spesifiserer 'modul'-typen når du kaller konstruktøren, vil de angitte skriptene lastes inn i form av moduler og tilgjengelige for import i arbeiderkonteksten. Modulstøtte gjør det enkelt å dele kode på tvers av nettsider og servicearbeidere.
• JavaScript gir muligheten til å sjekke om det finnes private felt i et objekt ved å bruke "#foo in obj"-syntaksen. klasse A { statisk test(obj) { console.log(#foo i obj); } #foo = 0; } A.test(ny A()); // sann A.test({}); // falsk
• JavaScript tillater som standard bruk av await-nøkkelordet i moduler på toppnivå, noe som gjør at asynkrone anrop kan integreres jevnere i modullastingsprosessen og unngår å pakke dem inn i en "asynkronfunksjon". For eksempel, i stedet for (async function() { await Promise.resolve(console.log('test')); }()); nå kan du skrive await Promise.resolve(console.log('test'));
• V8 JavaScript-motoren har forbedret effektiviteten til malbufring, noe som har økt hastigheten på å bestå Speedometer4.5-FlightJS-testen med 2 %.
• En stor del av forbedringene er gjort i verktøy for webutviklere. En ny Memory Inspector-modus er lagt til, og gir verktøy for å undersøke ArrayBuffer-data og Wasm-minne.

  En oppsummerende ytelsesindikator er lagt til ytelsespanelet, slik at du kan bedømme om et nettsted krever optimalisering eller ikke.

  

  Bildeforhåndsvisninger i Elements-panelet og Network Analysis-panelet gir informasjon om bildets sideforhold, gjengivelsesalternativer og filstørrelse.

  

  I nettverksinspeksjonspanelet er det nå mulig å endre de aksepterte verdiene for innholdskodingsoverskriften.

  

  I stilpanelet kan du nå raskt se den beregnede verdien når du navigerer gjennom CSS-parametrene ved å velge "Se beregnet verdi" i kontekstmenyen.

  

I tillegg til innovasjoner og feilrettinger, eliminerer den nye versjonen 32 sårbarheter. Mange av sårbarhetene ble identifisert som et resultat av automatisert testing ved bruk av AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL-verktøyene. Ingen kritiske problemer er identifisert som ville tillate en å omgå alle nivåer av nettleserbeskyttelse og kjøre kode på systemet utenfor sandkassemiljøet. Som en del av programmet for å betale kontantbelønninger for å oppdage sårbarheter for den nåværende utgivelsen, utbetalte Google 21 priser verdt $92000 20000 (en pris på $15000 7500, en pris på $5000 3000, fire priser på $1000 500, tre priser på $5 XNUMX, tre priser på $XNUMX XNUMX, to priser på $XNUMX og to $XNUMX). Størrelsen på de XNUMX belønningene er ennå ikke bestemt.

Kilde: opennet.ru