Firma Google zaprezentowała wydanie przeglądarki internetowej Chrome 103. Jednocześnie dostępna jest stabilna wersja wolnego projektu Chromium, będącego podstawą Chrome. Przeglądarka Chrome różni się od Chromium użyciem logo Google, systemem wysyłania powiadomień w przypadku awarii, modułami do odtwarzania chronionych przed kopiowaniem treści wideo (DRM), systemem automatycznego instalowania aktualizacji, stałym włączonym izolowaniem Sandbox, dostarczaniem kluczy do Google API oraz przekazywaniem parametrów RLZ przy wyszukiwaniu. Dla tych, którzy potrzebują więcej czasu na aktualizację, oddzielnie wspierana jest gałąź Extended Stable, towarzysząca przez 8 tygodni. Następne wydanie Chrome 104 zaplanowane jest na 2 sierpnia.
Główne zmiany w Chrome 103:
- Dodany został eksperymentalny edytor obrazów, uruchamiany do edytowania zrzutów stron. W edytorze dostępne są takie funkcje, jak kadrowanie, zaznaczanie obszaru, malowanie pędzlem, wybór koloru, dodawanie tekstowych etykiet oraz wstawianie typowych figur i prymitywów, takich jak linie, prostokąty, okręgi i strzałki. Aby włączyć edytor, należy aktywować ustawienia „chrome://flags/#sharing-desktop-screenshots” i „chrome://flags/#sharing-desktop-screenshots-edit”. Po utworzeniu zrzutu ekranu przez menu Udostępnij w pasku adresu, można przejść do edytora, klikając przycisk „Edytować” („Edit”) na stronie z podglądem zrzutu ekranu.
- Rozszerzono możliwości dodanego w Chrome 101 mechanizmu pre-renderowania (prerender) zawartości rekomendacji w pasku adresu Omnibox. Pre-renderowanie uzupełnia wcześniej dostępną możliwość ładowania najbardziej prawdopodobnych rekomendacji do przejścia, nie czekając na kliknięcie użytkownika. Oprócz ładowania, zawartość powiązanych z rekomendacjami stron może teraz być renderowana w buforze (w tym wykonywane są skrypty i tworzone jest drzewo DOM), co pozwala na zapewnienie natychmiastowego wyświetlenia rekomendacji po kliknięciu. Aby zarządzać pre-renderowaniem, zaproponowane zostały ustawienia „chrome://flags/#enable-prerender2”, „chrome://flags/#omnibox-trigger-for-prerender2” i „chrome://flags/#search-suggestion-for-prerender2”.
W Chrome 103 na Androida dodano API Speculations Rules, umożliwiające twórcom stron przekazywanie przeglądarki informacji o najbardziej prawdopodobnych stronach, na które użytkownik może przejść. Przeglądarka wykorzystuje te informacje do wstępnego ładowania i renderowania treści stron.
- W wersji na Androida wdrożono nowego menadżera haseł, który oferuje ten sam jednolity interfejs do zarządzania hasłami, co aplikacje na Androida.
- W wersji na Androida dodano wsparcie dla usługi „With Google”, która umożliwia użytkownikowi wyrażanie wdzięczności ulubionym stronom zarejestrowanym w serwisie, przesyłając płatne lub darmowe cyfrowe naklejki. Usługa jest obecnie dostępna tylko dla użytkowników z USA.
- Udoskonalono funkcję autouzupełniania pól z numerami kart kredytowych i debetowych, w której teraz obsługiwane są karty zapisane za pomocą Google Pay.
- W wersji na Windows domyślnie włączono wbudowanego klienta DNS, który jest również używany w wersjach dla macOS, Androida i Chrome OS.
- Zostało ustabilizowane i udostępnione wszystkim zainteresowanym API Local Font Access, które umożliwia określenie i wykorzystanie zainstalowanych w systemie czcionek oraz manipulację nimi na niskim poziomie (na przykład filtrowanie i transformowanie glifów).
- Dodano wsparcie dla kodu HTTP odpowiedzi 103, który umożliwia informowanie klienta o zawartości niektórych nagłówków HTTP zaraz po żądaniu, bez czekania aż serwer zrealizuje wszystkie związane z żądaniem operacje i zacznie dostarczanie treści. W taki sposób można przekazywać wskazówki o związanych z dostarczaną stroną elementach, które mogą być wstępnie załadowane (na przykład mogą być podane linki do używanych na stronie css i javascript). Otrzymując informacje o takich zasobach, przeglądarka może rozpocząć ich ładowanie, nie czekając na zakończenie dostarczania głównej strony, co pozwala skrócić całkowity czas przetwarzania żądania.
- W trybie Origin Trials (eksperymentalne funkcje wymagające oddzielnej aktywacji) rozpoczęto testowanie API Federated Credential Management (FedCM) tylko w wersjach dla platformy Android, które pozwala na tworzenie zintegrowanych usług identyfikacyjnych, zapewniających zachowanie prywatności i działających bez mechanizmów śledzenia między witrynami, takich jak przetwarzanie plików cookie stron trzecich. Origin Trial umożliwia korzystanie z wymienionego API z aplikacji pobranych z localhost lub 127.0.0.1, lub po zarejestrowaniu się i uzyskaniu specjalnego tokena, który działa w ograniczonym czasie dla konkretnej witryny.
- W API Client Hints, rozwijanym jako zamiennik nagłówka User-Agent, oferującym selektywne dostarczanie danych o konkretnych parametrach przeglądarki i systemu (wersja, platforma itp.) tylko po żądaniu, serwerem, dodano możliwość podstawiania w liście identyfikatorów przeglądarki fikcyjnych nazw, analogicznie do mechanizmu GREASE (Generate Random Extensions And Sustain Extensibility) używanego w TLS. Na przykład, oprócz '"Chrome"; v="103"' i '"Chromium"; v="103"' w liście może być dodany losowy identyfikator nieistniejącej przeglądarki '"(Not;Browser"; v="12"'. Takie podstawienie umożliwi wykrywanie problemów z przetwarzaniem identyfikatorów nieznanych przeglądarek, co prowadzi do sytuacji, gdzie alternatywne przeglądarki zmuszone są udawać inne popularne przeglądarki, aby obejść weryfikację na podstawie listy dozwolonych przeglądarek.
- Pliki w formacie obrazów AVIF dodano do listy dozwolonych dla wymiany przez API iWeb Share.
- Dodano wsparcie dla formatu kompresji 'deflate-raw', umożliwiającego dostęp do surowego skompresowanego strumienia bez nagłówków i końcowych bloków pomocniczych, co można wykorzystać na przykład do odczytu i zapisu plików zip.
- Dla elementów formularzy internetowych wprowadzono możliwość użycia atrybutu 'rel', co pozwala na zastosowanie do nawigacji przez formularze internetowe parametru 'rel=noreferrer' w celu wyłączenia przesyłania nagłówka Referer lub 'rel=noopener' w celu wyłączenia ustawienia właściwości Window.opener oraz zakazu dostępu do kontekstu, z którego dokonano przejścia.
- Implementacja zdarzenia popstate została dostosowana do zachowania Firefoksa. Zdarzenie popstate jest teraz generowane natychmiast po zmianie adresu URL, bez oczekiwania na wystąpienie zdarzenia load.
- Strony otwarte bez HTTPS oraz z bloków iframe nie mogą uzyskiwać dostępu do API Gamepad i API Battery Status.
- W obiekcie SerialPort dodano metodę forget(), która pozwala na rezygnację z wcześniej uzyskanych uprawnień do dostępu do portu szeregowego.
- Do właściwości CSS overflow-clip-margin dodano atrybut visual-box, który określa, od jakiego miejsca należy rozpocząć przycinanie zawartości, która wykracza poza obszar (może przyjmować wartości content-box, padding-box i border-box).
- W blokach iframe z atrybutem sandbox zabroniono wywoływania zewnętrznych protokołów i uruchamiania zewnętrznych aplikacji-obsługiwaczy. Aby anulować ograniczenia, należy użyć właściwości allow-popups, allow-top-navigation i allow-top-navigation-with-user-activation.
- Wsparcie dla elementu zostało zakończone, ponieważ straciło sens po wycofaniu wsparcia dla wtyczek.
- Wprowadzono ulepszenia w narzędziach dla deweloperów webowych. Na przykład w panelu Styles dodano możliwość określenia koloru punktu poza oknem przeglądarki. Ulepszono podgląd wartości parametrów w debuggerze. Dodano możliwość zmiany kolejności paneli w interfejsie Elements.
Oprócz nowości i poprawek błędów w nowej wersji usunięto 14 luk bezpieczeństwa. Wiele z tych luk zostało zidentyfikowanych w wyniku automatycznego testowania za pomocą narzędzi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Jednemu z problemów (CVE-2022-2156) nadano krytyczny poziom niebezpieczeństwa, co oznacza możliwość ominięcia wszystkich poziomów zabezpieczeń przeglądarki i uruchomienia kodu w systemie poza środowiskiem sandbox. Szczegóły dotyczące tej luki są obecnie nieujawnione, wiadomo tylko, że została spowodowana odwołaniem do zwolnionego bloku pamięci (use-after-free).
W ramach programu nagradzania za odkrywanie luk w aktualnej wersji firma Google przyznała 9 nagród na łączną kwotę 44 tysięcy dolarów USA (jedna nagroda $20000, jedna nagroda $7500, jedna nagroda $7000, dwie nagrody $3000 oraz po jednej nagrodzie w wysokości $2000, $1000 i $500). Wartość nagrody za krytyczną lukę nie została jeszcze określona.
Źródło: opennet.ru
