Chrome wersja 98

Google zaprezentowało wersję przeglądarki internetowej Chrome 98. Jednocześnie dostępna jest stabilna wersja darmowego projektu Chromium, na którym opiera się Chrome. Przeglądarkę Chrome wyróżnia zastosowanie logo Google, obecność systemu wysyłania powiadomień w przypadku awarii, modułów odtwarzania treści wideo zabezpieczonych przed kopiowaniem (DRM), systemu automatycznego instalowania aktualizacji i przesyłania parametrów RLZ podczas badawczy. Następna wersja przeglądarki Chrome 99 zaplanowana jest na 1 marca.

Kluczowe zmiany w Chrome 98:

• Przeglądarka posiada własny magazyn certyfikatów głównych urzędów certyfikacji (Chrome Root Store), który będzie używany zamiast zewnętrznych magazynów specyficznych dla każdego systemu operacyjnego. Sklep jest zaimplementowany podobnie do niezależnego magazynu certyfikatów głównych w Firefoksie, który służy jako pierwszy link do sprawdzenia łańcucha zaufania certyfikatów podczas otwierania witryn przez HTTPS. Nowa pamięć nie jest jeszcze domyślnie używana. Aby ułatwić przenoszenie konfiguracji pamięci systemowej i zapewnić przenośność, nastąpi okres przejściowy, podczas którego Chrome Root Store będzie zawierał pełny wybór certyfikatów zatwierdzonych na większości obsługiwanych platform.
• Kontynuowana jest realizacja planu wzmocnienia ochrony przed atakami związanymi z dostępem do zasobów w sieci lokalnej lub na komputerze użytkownika (localhost) z poziomu skryptów ładowanych podczas otwierania witryny. Takie żądania są wykorzystywane przez osoby atakujące do przeprowadzania ataków CSRF na routery, punkty dostępowe, drukarki, korporacyjne interfejsy internetowe oraz inne urządzenia i usługi, które akceptują żądania wyłącznie z sieci lokalnej.

  Aby zabezpieczyć się przed takimi atakami, jeśli w sieci wewnętrznej uzyskany zostanie dostęp do jakichkolwiek podzasobów, przeglądarka zacznie wysyłać wyraźne żądanie o pozwolenie na pobranie takich podzasobów. Żądanie uprawnień odbywa się poprzez wysłanie żądania CORS (Cross-Origin Resource Sharing) z nagłówkiem „Access-Control-Request-Private-Network: true” do serwera strony głównej przed uzyskaniem dostępu do sieci wewnętrznej lub hosta lokalnego. Potwierdzając operację w odpowiedzi na to żądanie, serwer musi zwrócić nagłówek „Access-Control-Allow-Private-Network: true”. W przeglądarce Chrome 98 sprawdzenie jest realizowane w trybie testowym i w przypadku braku potwierdzenia w konsoli internetowej wyświetla się ostrzeżenie, ale samo żądanie podzasobu nie jest blokowane. Włączenie blokowania nie jest planowane do czasu wydania przeglądarki Chrome 101.

• Ustawienia konta integrują narzędzia do zarządzania włączeniem Ulepszonego Bezpiecznego przeglądania, które aktywuje dodatkowe kontrole w celu ochrony przed phishingiem, złośliwą aktywnością i innymi zagrożeniami w sieci. Gdy aktywujesz tryb na swoim koncie Google, zostaniesz poproszony o aktywację trybu w przeglądarce Chrome.
• Dodano model wykrywania prób phishingu po stronie klienta, zaimplementowany przy użyciu platformy uczenia maszynowego TFLite (TensorFlow Lite) i nie wymagający przesyłania danych w celu przeprowadzenia weryfikacji po stronie Google (w tym przypadku przesyłana jest telemetria z informacją o wersji modelu i obliczone wagi dla każdej kategorii). W przypadku wykrycia próby phishingu przed otwarciem podejrzanej witryny użytkownikowi zostanie wyświetlona strona z ostrzeżeniem.
• W API Client Hints, które jest rozwijane jako zamiennik nagłówka User-Agent i pozwala na selektywne wysyłanie danych o określonych parametrach przeglądarki i systemu (wersja, platforma itp.) dopiero na żądanie serwera, jest to możliwość podstawienia fikcyjnych nazw na listę identyfikatorów przeglądarki, zgodnie z analogią do mechanizmu GREASE (Generate Random Extensions And Sustain Extensibility) stosowanego w TLS. Na przykład oprócz „Chrome”; v="98″" i "Chrom"; Do listy można dodać losowy identyfikator nieistniejącej przeglądarki v="98″' "(Not; Browser"; v="12″'. Takie podstawienie pomoże zidentyfikować problemy z przetwarzaniem identyfikatorów nieznanych przeglądarek, co prowadzi do tego, że alternatywne przeglądarki zmuszone są udawać inne popularne przeglądarki, aby ominąć sprawdzanie list akceptowanych przeglądarek.
• Od 17 stycznia Chrome Web Store nie akceptuje już dodatków korzystających z wersji 2023 manifestu Chrome. Nowe dodatki będą teraz akceptowane tylko w trzeciej wersji manifestu. Twórcy wcześniej dodanych dodatków nadal będą mogli publikować aktualizacje za pomocą drugiej wersji manifestu. Całkowite wycofanie drugiej wersji manifestu planowane jest na styczeń XNUMX roku.
• Dodano obsługę kolorowych czcionek wektorowych w formacie COLRv1 (podzbiór czcionek OpenType, które oprócz glifów wektorowych zawierają warstwę z informacją o kolorze), które można wykorzystać np. do tworzenia wielokolorowych emoji. W przeciwieństwie do wcześniej obsługiwanego formatu COLRv0, COLRv1 ma teraz możliwość korzystania z gradientów, nakładek i transformacji. Format zapewnia również kompaktową formę przechowywania, zapewnia wydajną kompresję i pozwala na ponowne wykorzystanie konturów, umożliwiając znaczne zmniejszenie rozmiaru czcionki. Na przykład czcionka Noto Color Emoji zajmuje 9 MB w formacie rastrowym i 1 MB w formacie wektorowym COLRv1.85.
• Tryb Origin Trials (funkcje eksperymentalne wymagające osobnej aktywacji) implementuje interfejs API Region Capture, który umożliwia przycięcie przechwyconego wideo. Na przykład przycinanie może być potrzebne w aplikacjach internetowych przechwytujących wideo wraz z zawartością karty, aby wyciąć określoną treść przed wysłaniem. Wersja próbna Origin oznacza możliwość pracy z określonym API z aplikacji pobranych z localhost lub 127.0.0.1 lub po zarejestrowaniu się i otrzymaniu specjalnego tokena, który jest ważny przez ograniczony czas dla konkretnej witryny.
• Właściwość CSS „contain-intrinsic-size” obsługuje teraz wartość „auto”, która użyje ostatniego zapamiętanego rozmiaru elementu (w przypadku użycia z „content-visibility: auto” programista nie musi zgadywać renderowanego rozmiaru elementu) .
• Dodano właściwość AudioContext.outputLatency, dzięki której można dowiedzieć się informacji o przewidywanym opóźnieniu przed wyjściem audio (opóźnienie pomiędzy żądaniem audio a rozpoczęciem przetwarzania odebranych danych przez urządzenie wyjściowe audio).
• Właściwość CSS color-scheme, która pozwala określić, w jakich schematach kolorów dany element może być poprawnie wyświetlony („jasny”, „ciemny”, „tryb dzienny” i „tryb nocny”), dodano parametr „tylko” aby zapobiec wymuszonym schematom zmiany kolorów poszczególnych elementów HTML. Na przykład, jeśli określisz „div { color-scheme: only light }”, wówczas dla elementu div zostanie użyty tylko jasny motyw, nawet jeśli przeglądarka wymusi włączenie ciemnego motywu.
• Dodano obsługę zapytań o media „zakres dynamiczny” i „zakres dynamiczny wideo” do CSS w celu ustalenia, czy ekran obsługuje HDR (High Dynamic Range).
• Do funkcji window.open() dodano możliwość wyboru, czy otworzyć łącze w nowej karcie, nowym oknie czy wyskakującym oknie. Ponadto właściwość window.statusbar.visible zwraca teraz wartość „false” dla wyskakujących okienek i „true” dla kart i okien. const popup = window.open('_blank',",'popup=1′); // Otwórz w wyskakującym oknie const tab = window.open('_blank',,"'popup=0′); // Otwórz w zakładce
• Dla okien i procesów roboczych zaimplementowano metodę StructuredClone(), która umożliwia tworzenie rekurencyjnych kopii obiektów zawierających właściwości nie tylko określonego obiektu, ale także wszystkich innych obiektów, do których odwołuje się bieżący obiekt.
• Do interfejsu Web Authentication API dodano obsługę rozszerzenia specyfikacji FIDO CTAP2, które umożliwia ustawienie minimalnej dopuszczalnej wielkości kodu PIN (minPinLength).
• Dla zainstalowanych samodzielnych aplikacji webowych dodano komponent Window Controls Overlay, który rozszerza obszar ekranu aplikacji na całe okno, łącznie z obszarem tytułowym, na którym znajdują się standardowe przyciski sterujące oknem (zamknij, minimalizuj, maksymalizuj). ) nakładają się. Aplikacja internetowa może sterować renderowaniem i przetwarzaniem danych wejściowych całego okna, z wyjątkiem bloku nakładki z przyciskami sterującymi oknem.
• Dodano właściwość obsługi sygnału do kontrolera WritableStreamDefaultController, która zwraca obiekt AbortSignal, którego można użyć do natychmiastowego zatrzymania zapisów do obiektu WritableStream bez czekania na ich zakończenie.
• WebRTC usunął obsługę mechanizmu uzgadniania kluczy SDES, który został wycofany przez IETF w 2013 r. ze względów bezpieczeństwa.
• Domyślnie interfejs API U2F (Cryptotoken) jest wyłączony, który był wcześniej przestarzały i zastąpiony interfejsem API uwierzytelniania sieciowego. Interfejs API U2F zostanie całkowicie usunięty w przeglądarce Chrome 104.
• W Katalogu API pole install_browser_version zostało zdeprecjonowane i zastąpione nowym polem pending_browser_version, które różni się tym, że zawiera informację o wersji przeglądarki z uwzględnieniem pobranych, ale nie zastosowanych aktualizacji (czyli wersji, która będzie obowiązywać po przeglądarka zostanie uruchomiona ponownie).
• Usunięto opcje, które pozwoliły przywrócić obsługę TLS 1.0 i 1.1.
• Wprowadzono ulepszenia w narzędziach dla twórców stron internetowych. Dodano zakładkę oceniającą działanie pamięci podręcznej Wstecz, która zapewnia natychmiastową nawigację przy użyciu przycisków Wstecz i Dalej. Dodano możliwość emulacji zapytań o media z wymuszonymi kolorami. Dodano przyciski do edytora Flexbox obsługujące właściwości odwracania wierszy i kolumn. Zakładka „Zmiany” zapewnia wyświetlenie zmian po sformatowaniu kodu, co ułatwia parsowanie zminimalizowanych stron.

  Implementacja panelu przeglądu kodu została zaktualizowana do wydania edytora kodu CodeMirror 6, co znacząco poprawia wydajność pracy z bardzo dużymi plikami (WASM, JavaScript), rozwiązuje problemy z losowymi przesunięciami podczas nawigacji oraz poprawia rekomendacje system autouzupełniania podczas edycji kodu. Do panelu właściwości CSS dodano możliwość filtrowania wyników według nazwy właściwości lub wartości.

  

Oprócz innowacji i poprawek błędów, nowa wersja eliminuje 27 luk. Wiele luk zostało zidentyfikowanych w wyniku automatycznych testów przy użyciu narzędzi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nie zidentyfikowano żadnych krytycznych problemów, które pozwoliłyby ominąć wszystkie poziomy ochrony przeglądarki i wykonać kod w systemie poza środowiskiem piaskownicy. W ramach programu nagród pieniężnych za odkrycie luk w bieżącej wersji oprogramowania firma Google wypłaciła 19 nagród o wartości 88 tys. dolarów (dwie nagrody o wartości 20000 12000 dolarów, jedna nagroda o wartości 7500 1000 dolarów, dwie nagrody o wartości 7000 dolarów, cztery nagrody o wartości 5000 dolarów i po jednej o wartości 3000, 2000 dolarów, XNUMX dolarów i XNUMX dolarów.

Źródło: opennet.ru