Lançamento do Chrome 78

A empresa Google apresentou lançamento do navegador web Chrome 78. Ao mesmo tempo disponível lançamento estável de um projeto de código aberto Chromium, que serve como base para o Chrome. O navegador Chrome caracteriza-se pelo uso de logotipos do Google, pela presença de um sistema de envio de notificações em caso de falha, pela possibilidade de carregar o módulo Flash sob demanda, módulos para reprodução de conteúdo de vídeo protegido (DRM), sistema de instalação automática de atualizações e transmissão na busca de parâmetros RLZA próxima versão do Chrome 79 está marcada para 10 de dezembro.

Principais mudanças em Chrome 78:

• Implementado suporte experimental para 'DNS sobre HTTPS' (DoH, DNS over HTTPS), que será ativado seletivamente para categorias específicas de usuários cujas configurações do sistema já estão definidas com provedores de DNS que suportam DoH. Por exemplo, se um usuário tiver DNS 8.8.8.8 configurado nas definições do sistema, o serviço DoH do Google ('https://dns.google.com/dns-query') será ativado no Chrome; caso o DNS seja 1.1.1.1, o serviço DoH da Cloudflare ('https://cloudflare-dns.com/dns-query') será utilizado, e assim por diante.

  Para gerenciar a ativação do DoH, existe uma configuração 'chrome://flags/#dns-over-https'. Suporta três modos de operação: 'secure', 'automatic' e 'off'. No modo 'secure', os hosts são determinados apenas com base nos valores seguros previamente armazenados em cache (obtidos por meio de conexão segura) e nas solicitações através do DoH, não sendo aplicado um retrocesso para o DNS convencional. No modo 'automatic', se o DoH e o cache seguro não estiverem disponíveis, é permitido obter dados de um cache não seguro e fazer chamadas através do DNS tradicional. No modo 'off', primeiro o cache geral é verificado e, se não houver dados, a solicitação é enviada através do DNS do sistema.

• Nos recursos de sincronização, foi introduzido suporte preliminar para a área de transferência compartilhada, que ainda não está ativado para todos os usuários. Em instâncias do Chrome vinculadas à mesma conta, agora é possível acessar o conteúdo da área de transferência de outro dispositivo, incluindo compartilhamento da área de transferência entre sistemas móvel e de desktop. O conteúdo da área de transferência é criptografado com criptografia de ponta a ponta (end-to-end), que impede o acesso ao texto nos servidores do Google;
• Para categorias específicas de usuários, foi incluída uma capacidade experimental de mudança de tema e de personalização da tela exibida ao abrir uma nova aba. No menu 'Personalizar', exibido no canto inferior direito da nova aba, além da escolha de uma imagem de fundo, agora é suportada a alteração do método de layout dos atalhos e a possibilidade de mudança de tema. Os atalhos podem ser sugeridos automaticamente com base nos sites mais frequentemente acessados, selecionados pelo usuário ou até mesmo desativados. O tema pode ser escolhido entre um conjunto de temas predefinidos ou criando um próprio com base na escolha das cores desejadas na paleta. Para ativar essas novas funcionalidades, pode-se usar os flags 'chrome://flags/#ntp-customization-menu-v2' e
  'chrome://flags/#chrome-colors';
• Para empresas, na barra de endereços por padrão, foi incluída a possibilidade de procurar arquivos no armazenamento do Google Drive. A pesquisa é feita não apenas pelos títulos, mas também pelo conteúdo dos documentos, levando em consideração o histórico de aberturas anteriores;
  
• Incluído no pacote está o componente Password Checkup, que será ativado gradualmente para categorias específicas de usuários (para ativação forçada, um flag 'chrome://flags/#password-leak-detection' está disponível). O Password Checkup, anteriormente foi fornecida na forma de como um complemento externo, foi projetado para analisar a solidez das senhas utilizadas pelo usuário. Ao tentar fazer login em qualquer site, o Password Checkup verifica o login e a senha em um banco de dados de contas comprometidas, emitindo um alerta caso sejam detectados problemas (verificação é realizada baseada em prefixo hash do lado do usuário). A verificação é feita em uma base que abrange mais de 4 bilhões de contas comprometidas que figuraram em vazamentos de dados de usuários. Um alerta também é emitido ao tentar usar senhas triviais, como 'abc123';
• Foi adicionada a capacidade de iniciar uma chamada a partir de um dispositivo Android vinculado à mesma conta do Google. No navegador de desktop, o usuário pode destacar um número de telefone no texto, clicar com o botão direito e redirecionar a operação de chamada para o dispositivo Android, após o que uma notificação aparecerá no telefone, permitindo iniciar a chamada;
• O formato da dica exibida ao passar o mouse sobre o título da aba foi alterado. A dica agora aparece como um bloco pop-up, mostrando o texto completo do título e a URL da página. Este bloco é útil para localizar rapidamente a página desejada ao abrir um grande número de abas (em vez de navegar pelas abas, pode-se mover o mouse sobre a barra de abas e encontrar a página procurada). No futuro, está previsto que este bloco exiba uma pré-visualização da página;
• Adicionada uma opção experimental (chrome://flags/#enable-force-dark) para forçar o uso do tema escuro ao visualizar sites. Para garantir a apresentação escura do site, as cores são invertidas;
• Adicionada suporte à especificação CSS Properties and Values API Level 1, permitindo registrar propriedades CSS personalizadas, que sempre possuem um tipo específico, permitindo definir um valor padrão e permitindo a vinculação de efeitos de animação. Para registrar uma propriedade, pode-se usar o método registerProperty() ou a regra CSS "@property", por exemplo:

  CSS.registerProperty({
  name: "—my-font-size",
  syntax: "‹length›",
  initialValue: "0px",
  inherits: false
  });

• No modo Origin Trials (recursos experimentais que exigem uma ativação) foram propostos vários novos APIs. O Origin Trial implica a possibilidade de trabalhar com a API especificada a partir de aplicativos carregados de localhost ou 127.0.0.1, ou após registro e obtenção de um token especial, que é válido por um tempo limitado para um site específico.
  • API Sistema de Arquivos Nativo, que permite a criação de aplicações web que interagem com arquivos no sistema de arquivos local. Por exemplo, a nova API pode ser requisitada em ambientes de desenvolvimento integrados executados no navegador, editores de texto, imagens e vídeo. Para obter a possibilidade de leitura e gravação direta de arquivos, uso de diálogos para abrir e salvar arquivos e navegação pelo conteúdo de diretórios, o aplicativo solicita uma autorização especial do usuário;
    
  • O mecanismo Signed HTTP Exchanges (SXG), permitindo que cópias verificadas de páginas web sejam hospedadas em outros sites, que se parecem para o usuário como as páginas originais (sem alterar a URL), foi expandido com a capacidade de carregar subrecursos (CSS, JS, imagens, etc.) do site original. A origem do recurso é definida pelo cabeçalho HTTP Link, que também contém um hash de verificação para validação de cada recurso. Com esse novo recurso, os provedores de conteúdo podem criar um único arquivo HTML assinado, abrangendo todos os subrecursos associados;
  • API SMS Receiver, permitindo que um aplicativo web acesse mensagens SMS, por exemplo, para automatizar a verificação de uma operação por meio de um código de uso único enviado por SMS. O acesso é concedido apenas às SMS que contêm uma tag especial, que define a vinculação da mensagem a um aplicativo web específico;
• Aumentou significativamente o desempenho de carregamento de objetos ArrayBuffer através do Web Socket. Na plataforma Linux, observou-se um aumento na velocidade de carregamento de 7,5 vezes, no Windows — 4,1 vezes, e no macOS — 7,8 vezes;
• Adicionada a capacidade de definir em porcentagens os valores de transparência nas propriedades CSS opacity, stop-opacity, fill-opacity, stroke-opacity e shape-image-threshold. Por exemplo, em vez de "opacity: 0.5", agora pode-se usar "opacity: 50%";
• Na API User Timing permitida a transmissão de marcas de tempo arbitrárias nas chamadas performance.measure() e performance.mark() para medições entre elas, assim como a especificação de metadados arbitrários;
• Na API Media Session foi adicionada suporte à definição de manipuladores de alteração de posição no fluxo (seekto), além dos manipuladores de pausa e início de reprodução já disponíveis;
• No mecanismo JavaScript V8 incluso modo de análise em segundo plano de scripts em tempo real à medida que são carregados pela rede. A otimização implementada reduziu o tempo de compilação de scripts em 5-20%. A versão nova também aumentou o desempenho de desestruturação de objetos (convertendo "const {x, y} = object;" para "const x = object.x; const y = object.y;"). A velocidade de processamento de expressões RegExp com correspondências não coincidentes foi aprimorada.
  A velocidade de chamadas de funções JavaScript a partir do WebAssembly e vice-versa foi significativamente aumentada (em 9-20%). Ao compilar o bytecode, a eficiência na construção de tabelas de vinculação para posições originais foi melhorada, o que permitiu reduzir o consumo de memória em
  1-2.5%.
  
• Ampliados ferramentas para desenvolvedores web. O painel de auditoria agora pode ser utilizado em combinação com outros recursos, como bloqueio de solicitações e redefinição de downloads. Adicionado suporte para depuração de manipuladores de pagamentos via API Payment. No painel de análise de desempenho, foram adicionadas marcas LCP (Largest Contentful Paint), refletindo o tempo de renderização dos maiores elementos;
  
• Removido mecanismo de bloqueio de script entre sites XSS Auditor, que foi considerado ineficaz (os atacantes já aplicaram métodos para contornar a proteção do XSS Auditor) e que adiciona novos vetores para vazamento de informações;
• Na versão para Android, foi disponibilizada a capacidade de usar o tema escuro para menus, configurações e o modo de navegação por sites abertos.

Além das inovações e correções de bugs, na nova versão foram eliminadas 37 vulnerabilidades. Muitas das vulnerabilidades foram descobertas através de teste automatizado com ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Não foram identificados problemas críticos que permitam contornar todos os níveis de proteção do navegador e executar código no sistema além do ambiente de sandbox. No âmbito do programa de recompensas por descoberta de vulnerabilidades para a versão atual, a empresa Google pagou 21 prêmios totalizando 59500 dólares americanos (um prêmio de 20000 dólares, um prêmio de 15000 dólares, um prêmio de 5000 dólares, dois prêmios de 3000 dólares, três prêmios de 2000 dólares, cinco prêmios de 1000 dólares e cinco prêmios de 500 dólares). O valor de 4 prêmios ainda não foi definido.

Fonte: opennet.ru