A empresa Google lançou a versão 131 do navegador web Chrome. Simultaneamente, está disponível uma versão estável do projeto livre Chromium, que serve como base para o Chrome. O navegador Chrome difere do Chromium pelo uso dos logotipos da Google, pela presença de um sistema de envio de notificações em caso de falhas, por módulos para reprodução de conteúdo de vídeo protegido contra cópia (DRM), por um sistema de atualização automática, por manter a Sandbox ativada permanentemente, pela entrega de chaves para a API da Google e pela transmissão de parâmetros RLZ durante as buscas. Para aqueles que precisam de mais tempo para atualizar, é mantida uma ramificação Extended Stable, que é acompanhada por um período de 8 semanas. A próxima versão do Chrome 132 está prevista para 14 de janeiro.
Principais mudanças no Chrome 131:
- No visualizador PDF embutido, a capacidade de reconhecimento de texto em documentos PDF digitalizados, nos quais o texto está em formato de imagem, foi ampliada. O texto é reconhecido localmente com a ajuda de um mecanismo de reconhecimento óptico de caracteres (OCR) integrado, baseado em aprendizado de máquina. Ao contrário das versões anteriores, os documentos escaneados agora são automaticamente convertidos em uma representação de texto, para a qual estão disponíveis funções de destaque, pesquisa e cópia para a área de transferência.
- Foi introduzida a opção de ativar verificações avançadas no sistema de alocação de memória PartitionAlloc, que permitem bloquear vulnerabilidades causadas pelo acesso a áreas de memória já liberadas (use-after-free). Por padrão, essas verificações estão desativadas devido ao possível impacto negativo no desempenho. No entanto, para implantações em que a segurança é mais importante que o desempenho, agora estão disponíveis políticas específicas para empresas para ativar proteção adicional.
- No repositório de certificados raiz integrado (Chrome Root Store), foi suspensa a confiança na autoridade certificadora Entrust devido a múltiplas violações dos requisitos para autoridades certificadoras, incluindo o não cumprimento dos prazos de resposta a certificados problemáticos, a demora na revogação de certificados, relatórios inadequados de incidentes e a não observância das normas durante a emissão. certificados TLS nível EV (Validação Estendida), que requer a verificação de documentos sobre a propriedade do domínio e a confirmação do proprietário do recurso. Devido à falta de ações para corrigir as deficiências identificadas, os certificados TLS emitidos pela Entrust após 11 de novembro de 2024, serão considerados não confiáveis no Chrome. Os certificados emitidos antes de 11 de novembro continuarão a ser tratados como normais.
- A versão para Android inclui a possibilidade de conectar provedores de preenchimento automático de formulários e armazenamento de senhas que não dependem da API Accessibility.
- A versão para Android simplificou a conexão com a conta do Google e a gestão da sincronização de dados entre diferentes navegadores. A sincronização não é mais apresentada como uma função separada nas configurações, mas foi integrada à funcionalidade de conexão com a conta do Google, permitindo o uso e armazenamento de informações como senhas e favoritos na Google Account.
- Uma ativação gradual começou entre os usuários de um novo modo de economia de energia (Energy saver), onde as abas que consomem muitos recursos de CPU, mas não produzem som e ficam ocultas por mais de 5 minutos, são automaticamente congeladas. A única exceção são as abas relacionadas à gestão de dispositivos externos ou a realização de videoconferências e audioconferências (essas abas são identificadas com base no acesso à API para trabalhar com USB, Bluetooth, câmera, dispositivos de entrada e microfone, além da organização de um canal de comunicação usando RTCDataChannel ou MediaStreamTrack). Para controlar a ativação da auto-congelamento, é possível usar a configuração "chrome://flags/#freezing-on-energy-saver".
- Adicionados modos experimentais de economia de memória (Memory saver) — Moderado, Balanceado e Máximo, permitindo escolher o método de liberação de memória de abas inativas. No modo Moderado, a memória das abas é desativada apenas quando há falta de memória no sistema, no modo Máximo as abas são desativadas pouco tempo depois de se tornarem inativas, e no modo Balanceado as abas inativas são desativadas considerando a memória disponível no sistema.
- Foram adicionadas configurações adicionais relacionadas ao desempenho, como a possibilidade de especificar sites que permanecem sempre ativos (sem desacelerar em segundo plano), escolher uma forma de indicação visual para guias desativadas e mostrar o consumo de memória em visualizações em miniatura das guias.
- Foi adicionado o recurso 'Performance Detection', que identifica problemas de desempenho em páginas visitadas e fornece notificações com recomendações para resolução do problema com um clique. Por exemplo, para acelerar a guia atual, o navegador pode sugerir desativar outras guias que consomem muitos recursos.
- No TLS 1.3 e QUIC, o algoritmo de encapsulamento de chaves (KEM, Key Encapsulation Mechanism) 'X25519Kyber768', resistente à quebra por computadores quânticos, foi alterado para usar a especificação final do ML-KEM (CRYSTALS-Kyber), padronizada pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST). O X25519Kyber768 combina X25519 ECDH e o algoritmo ML-KEM, que usa métodos de criptografia baseados em problemas da teoria das matrizes, cuja dificuldade não difere entre computadores convencionais e quânticos.
- O recurso de pesquisa por imagem usando o Google Lens, disponível no menu de contexto, agora inclui suporte para sobreposição de traduções em outro idioma (o texto traduzido é exibido sobre o texto original na imagem).
- Foi adicionado o API Direct Sockets, que permite estabelecer conexões TCP e UDP diretas com sistemas externos, além de criar soquetes de escuta para receber conexões. Na primeira tentativa de conexão com um novo host, o usuário recebe uma solicitação para confirmar a operação. A necessidade de adicionar uma nova API se justifica pela possibilidade de interagir com dispositivos de rede que usam protocolos próprios, funcionado sobre TCP e UDP, que não suportam interações via HTTPS ou WebSockets.
- No modo 'Origin trials', foi implementado o API Summarizer para resumir texto (apresentando uma síntese do conteúdo), utilizando um grande modelo de linguagem.
- No modo 'Origin trials', foi adicionado o API Playout Statistics, que define a interface AudioContext.playoutStats para obter estatísticas sobre a qualidade e latências na reprodução de áudio via API WebAudio.
- Para proteger contra abusos, foi adicionado um prompt de confirmação de permissões ao utilizar as APIs Keyboard Lock e Pointer Lock do site, fornecendo controle adicional sobre o teclado e o mouse (por exemplo, é possível ocultar o cursor padrão do mouse e garantir um tratamento próprio do movimento do mouse). O status da concessão de permissões pode ser verificado através da API Permissions.
- É permitido adicionar tags extras no elemento HTML "<select>" além das tags padrão "<option>», «<optgroup>” e “<hr>". A alteração foi feita como parte da preparação para a implementação nas futuras versões personalizadas "<select>", que expandem as possibilidades de formatação do menu.
- Nas propriedades CSS 'clip-path', 'fill', 'stroke' e 'marker-*' foi adicionada a suporte para especificar recursos SVG externos. Por exemplo, agora é possível especificar 'clip-path: url("resources.svg#myPath")'.
- O modelo de herança das propriedades de estilo de seleção de texto, definido através dos pseudoclassificadores «::selection» e «::target-text», foi modificado para seguir o modelo de herança dos pseudoclassificadores «::highlight», «::spelling-error» e «::grammar-error», e agora depende não da estrutura do documento (cadeias de elementos HTML), mas de como o texto é selecionado (cadeias de seleção). No exemplo abaixo, a cor dos elementos aninhados com texto no parágrafo «<p class="»blue»">» agora será escolhida de acordo com o estilo do pseudoclassificador «::selection», e não com o estilo de cor especificado para o parágrafo. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Isto é <em>enfatizado</em> texto. </p>
- As restrições que impediam a aplicação das propriedades CSS 'display' para elementos HTML '' e '
' foram removidas. Foi adicionado o pseudoelemento '::details-content' no CSS para personalizar o estilo do bloco recolhido e expandido.
- Adicionado o atributo CSS "font-variant-emoji" para ajustar o estilo de exibição de Emoji. Por exemplo, é possível escolher entre a representação textual ou gráfica.
- Na regra CSS @page, destinada a alterar a formatação da página antes da impressão ou exportação para PDF, agora é possível definir áreas para posicionar conteúdo na área de margens da página, por exemplo, para adicionar um cabeçalho personalizado, uma nota lateral ou um rodapé.
- A propriedade CSS 'inset-area', utilizada para controlar a exibição de elementos vinculados à posição de outros elementos (CSS Anchor Positioning), foi declarada obsoleta. De acordo com a recomendação do grupo de trabalho que padroniza o CSS, a propriedade 'position-area' que é completamente análoga, substitui 'inset-area'.
- As ferramentas para desenvolvedores web foram ampliadas. A aba Performance recebeu novas funcionalidades para análise de desempenho. Foi proposta uma aba experimental com um assistente de IA, onde em forma de chat é possível obter respostas relacionadas à depuração ou esclarecer detalhes sobre CSS.
Além das novas funcionalidades e correções de bugs, a nova versão resolveu 12 vulnerabilidades. Muitas dessas vulnerabilidades foram descobertas através de testes automatizados usando ferramentas como AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. A uma vulnerabilidade foi atribuída uma alta gravidade (um problema no código para trabalhar com extensões no motor Blink). Problemas críticos que permitiriam contornar todos os níveis de segurança do navegador e executar código no sistema fora do ambiente sandbox não foram identificados. No âmbito do programa de recompensas por descoberta de vulnerabilidades para a versão atual, a Google pagou 8 prêmios totalizando 1000 dólares americanos (um prêmio de 1000 $). O valor de 7 prêmios ainda não foi determinado.
Fonte: opennet.ru
