Lançamento do Chrome 92

A empresa Google lançou a versão 92 do navegador web Chrome. Simultaneamente, está disponível a versão estável do projeto de código aberto Chromium, que serve de base para o Chrome. O navegador Chrome se diferencia pelo uso dos logotipos do Google, a presença de um sistema de notificação em caso de falhas, módulos para reprodução de conteúdos de vídeo protegidos (DRM), um sistema de atualização automática e a transmissão de parâmetros RLZ durante pesquisas. A próxima versão do Chrome, a 93, está prevista para 31 de agosto.

Principais novidades do Chrome 92:

• As configurações agora incluem ferramentas para gerenciar a ativação de componentes do Privacy Sandbox. Os usuários têm a opção de desativar a tecnologia FLoC (Federated Learning of Cohorts), desenvolvida pela Google para substituir os cookies de rastreamento por "cohortes", permitindo agrupar usuários com interesses semelhantes sem identificar indivíduos. As cohortes são calculadas no lado do navegador utilizando algoritmos de aprendizado de máquina baseados nos dados do histórico de navegação e no conteúdo acessado.
• Para usuários de sistemas desktop, o cache de navegação (Back-forward cache) está ativado por padrão, garantindo uma transição instantânea ao usar os botões "Voltar" e "Avançar" ou ao navegar por páginas previamente visitadas do site atual. Anteriormente, o cache de navegação só estava disponível em compilações para a plataforma Android.
• Foi reforçada a isolação de sites e extensões em diferentes processos. Se anteriormente o mecanismo de Isolação de Sites proporcionava a separação de sites uns dos outros em processos distintos e isolava todas as extensões em um processo separado, a nova versão implementou a divisão das extensões de navegador entre si, movendo cada extensão para um processo separado, o que criou uma camada adicional de proteção contra extensões maliciosas.
• Significativamente aumentada a performance e eficiência na detecção de phishing. A velocidade de identificação de phishing com base na análise local de imagens aumentou em até 50 vezes em metade dos casos, e em 99% dos casos se mostrou mais rápida pelo menos 2,5 vezes. Em média, o tempo de classificação de phishing por imagem caiu de 1,8 segundos para 100 ms. De um modo geral, a carga no CPU gerada por todos os processos de renderização diminuiu em 1,2%.
• Os portos 989 (ftps-data) e 990 (ftps) foram adicionados à lista de portas de rede proibidas. Anteriormente, já estavam bloqueadas as portas 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080. Para as portas na lista negra, o envio de solicitações HTTP, HTTPS e FTP é bloqueado com o objetivo de proteger contra ataques de NAT slipstreaming, permitindo que ao abrir uma página da web especialmente preparada por um atacante, seja estabelecida uma conexão de rede entre o servidor do atacante e qualquer porta UDP ou TCP no sistema do usuário, apesar da aplicação de um intervalo interno de endereços (192.168.x.x, 10.x.x.x).
• Foi introduzido o requisito de aplicação de autenticação de dois fatores para desenvolvedores ao publicar novas extensões ou atualizações na Chrome Web Store.
• Foi assegurado que extensões já instaladas no navegador sejam desativadas se forem removidas do catálogo da Chrome Web Store devido a violações de regras.
• Ao enviar solicitações DNS, no caso de uso de servidores DNS clássicos, além dos registros 'A' e 'AAAA' para determinação endereços IP agora também é solicitado o registro DNS 'HTTPS', através do qual são transmitidos parâmetros que permitem acelerar o estabelecimento de conexões HTTPS, como configurações de protocolo, chaves para a criptografia TLS ClientHello e uma lista de subdomínios-aliased.
• De blocos iframe carregados de domínios, diferentes do domínio da página atual, é proibido chamar diálogos JavaScript window.alert, window.confirm e window.prompt. A alteração permitirá proteger os usuários contra abusos relacionados a tentativas de apresentar uma notificação de terceiros como um pedido do site principal.
• Na página de nova aba, foi assegurada a exibição de uma lista dos documentos mais solicitados salvos no Google Drive.
• Foi disponibilizada a possibilidade de alterar o nome e o ícone para aplicativos PWA (Aplicativos Web Progressivos).
• Para um pequeno número aleatório de web-forms relacionadas à inserção de endereços ou números de cartões de crédito, por experimento, será desativada a exibição de recomendações de preenchimento automático.
• Na versão para sistemas desktop, a opção de pesquisa por imagem (item 'Encontrar imagem' no menu de contexto) foi revista para usar o serviço Google Lens em vez do motor de busca Google convencional. Ao clicar no botão correspondente no menu de contexto, o usuário será redirecionado para um aplicativo web separado.
• Na interface do modo 'incógnito', os links para o histórico de navegação estão ocultos (os links são inúteis, pois levavam a uma página informando que o histórico não está sendo coletado).
• Novos comandos foram adicionados, que são reconhecidos ao serem digitados na barra de endereços. Por exemplo, para exibir o botão de acesso rápido à página de verificação de segurança de senhas e extensões, basta digitar 'safety check', e para acessar as configurações de segurança e sincronização — 'manage security settings' e 'manage sync'.
• Alterações específicas na versão do Chrome para Android:
  • Na barra, foi implementado um novo botão personalizável 'Magic Toolbar', que mostra diferentes atalhos, escolhidos de acordo com a atividade atual do usuário e incluindo links que provavelmente podem ser necessários no momento.
  • A implementação do modelo de aprendizagem de máquina executado no dispositivo foi atualizada para identificar tentativas de phishing. Ao detectar tentativas de phishing, além de exibir uma página de aviso, o navegador agora enviará ao serviço externo Safe Browsing informações sobre a versão do modelo de aprendizagem de máquina, o peso calculado para cada categoria e uma flag indicando a aplicação do novo modelo.
  • A configuração 'Show suggestions for similar pages when a page can’t be found' foi removida, a qual recomendava páginas semelhantes com base em uma consulta ao Google, caso a página não fosse encontrada. Essa configuração já havia sido removida anteriormente da versão para sistemas desktop.
  • A aplicação do modo de isolamento de sites em processos separados foi expandida. Por questões de consumo de recursos, até agora, apenas sites grandes e selecionados eram isolados em processos separados. Na nova versão, o isolamento começará a ser aplicado também a sites em que o usuário tenha feito login com autenticação via OAuth (por exemplo, conexão através da conta do Google) ou que definam o cabeçalho HTTP Cross-Origin-Opener-Policy. Para aqueles que desejam ativar o isolamento em processos separados para todos os sites, há uma configuração disponível em 'chrome://flags/#enable-site-per-process'.
  • Os mecanismos incorporados ao motor V8 de proteção contra ataques de canais laterais, como o Spectre, foram desativados, pois foram considerados menos eficazes do que o isolamento de sites em processos separados. Na versão desktop, esses mecanismos foram desativados desde o lançamento do Chrome 70.
  • O acesso às configurações de permissões do site foi simplificado, como o acesso ao microfone, à câmera e à localização. Para exibir a lista de permissões, basta clicar no ícone do cadeado na barra de endereços e, em seguida, selecionar a seção 'Permissões'.
• No modo Origin Trials (recursos experimentais que requerem ativação separada) foram adicionadas várias novas APIs. O Origin Trial permite o uso da API especificada a partir de aplicativos carregados a partir de localhost ou 127.0.0.1, ou após registro e obtenção de um token especial, que é válido por tempo limitado para um site específico.
  • O API File Handling permite registrar aplicativos web como manipuladores de arquivos. Por exemplo, um aplicativo web que funcione no modo PWA (Progressive Web Apps) com um editor de texto pode se registrar como um manipulador para arquivos '.txt', podendo ser usado no gerenciador de arquivos do sistema para abrir arquivos de texto.
  • O API Shared Element Transitions permite o uso de efeitos prontos fornecidos pelo navegador, visualizando a mudança de estado da interface em aplicativos web de página única (SPA, single-page applications) e de várias páginas (MPA, multi-page applications).
• A regra CSS @font-face foi adicionada com o parâmetro size-adjust, permitindo escalar o tamanho do glifo para uma determinada variação da fonte, sem alterar o valor da propriedade CSS font-size (a área ocupada pelo símbolo permanece a mesma, mas o tamanho do glifo nessa área muda).
• No JavaScript, foram implementados o método at() nos objetos Array, String e TypedArray, permitindo o uso de indexação relativa (um índice de array é especificado como uma posição relativa), incluindo índices negativos em relação ao final (por exemplo, 'arr.at(-1)' retornará o último elemento do array).
• No construtor JavaScript Intl.DateTimeFormat, foi adicionada a propriedade dayPeriod, permitindo exibir um período aproximado do dia (de manhã, à noite, à tarde, de madrugada).
• Ao usar objetos SharedArrayBuffers, que permitem criar arrays na memória compartilhada, agora é necessário definir os cabeçalhos HTTP Cross-Origin-Opener-Policy e Cross-Origin-Embedder-Policy, sem os quais a solicitação será bloqueada.
• No API Media Session, foram adicionadas as ações 'togglemicrophone', 'togglecamera' e 'hangup', permitindo que sites que implementam sistemas de videoconferência anexem seus próprios manipuladores para os botões de desligar/ligar microfone, desligar/ligar câmera e encerrar a chamada exibidos na interface picture-in-picture.
• No API Web Bluetooth, foi adicionada a possibilidade de filtrar os dispositivos Bluetooth encontrados por identificadores de fabricante e produto. O filtro é definido através do parâmetro 'options.filters' no método Bluetooth.requestDevice().
• Implementada a primeira fase da redução do conteúdo do cabeçalho HTTP User-Agent: agora, na aba DevTools Issues, é exibido um aviso sobre a obsolescência de navigator.userAgent, navigator.appVersion e navigator.platform.
• Foi feita uma série de melhorias nas ferramentas para desenvolvedores web. No console web, agora é possível sobrescrever expressões 'const'. No painel Elements, para elementos iframe, foi adicionada a opção de visualização rápida de detalhes através do menu de contexto exibido ao clicar com o botão direito no elemento. A depuração de erros CORS (Cross-origin resource sharing) foi aprimorada. No painel de inspeção de atividade de rede, foi adicionada a capacidade de filtrar solicitações de rede provenientes do WebAssembly. Foi proposto um novo editor CSS Grid ("display: grid" e "display: inline-grid") com a função de visualização de alterações.

Além das novidades e correções de erros, nesta nova versão foram eliminadas 35 vulnerabilidades. Muitas dessas vulnerabilidades foram identificadas através de testes automatizados utilizando as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Nenhum problema crítico que permita contornar todos os níveis de proteção do navegador e executar código no sistema fora do ambiente sandbox foi encontrado. No âmbito do programa de recompensas por descoberta de vulnerabilidades, a Google pagou 24 prêmios totalizando 112.000 dólares para esta versão (dois prêmios de $15.000, quatro prêmios de $10.000, um prêmio de $8.500, dois prêmios de $7.500, três prêmios de $5.000, um prêmio de $3.000 e um prêmio de $500). O valor de 11 prêmios ainda não foi determinado.

Fonte: opennet.ru