Versão 91 do Chrome

O Google revelou o lançamento do navegador Chrome 91. Ao mesmo tempo, está disponível uma versão estável do projeto gratuito Chromium, que serve de base ao Chrome. O navegador Chrome se diferencia pelo uso dos logotipos do Google, pela presença de um sistema de envio de notificações em caso de travamento, módulos para reprodução de conteúdo de vídeo protegido (DRM), sistema de instalação automática de atualizações e transmissão de parâmetros RLZ durante a pesquisa. O próximo lançamento do Chrome 92 está previsto para 20 de julho.

Principais mudanças no Chrome 91:

• Implementada a capacidade de interromper a execução de JavaScript em um grupo de guias recolhido. O Chrome 85 introduziu suporte para organização de guias em grupos que podem ser associados a uma cor e rótulo específicos. Quando você clica em um rótulo de grupo, as guias associadas a ele são recolhidas e um rótulo permanece em seu lugar (clicar no rótulo novamente abre o grupo). Na nova versão, para reduzir a carga da CPU e economizar energia, a atividade nas abas minimizadas foi suspensa. Uma exceção é feita apenas para guias que reproduzem som, usam Web Locks ou IndexedDB API, conectam-se a um dispositivo USB ou capturam vídeo, som ou conteúdo de janela. A mudança será implementada gradualmente, começando com uma pequena porcentagem de usuários.
• Suporte incluído para um método de acordo chave que é resistente à força bruta em computadores quânticos. Os computadores quânticos são radicalmente mais rápidos na resolução do problema de decomposição de um número natural em fatores primos, que está na base dos modernos algoritmos de criptografia assimétrica e não pode ser resolvido de forma eficaz em processadores clássicos. Para uso em TLSv1.3, é fornecido o plugin CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2), combinando o mecanismo clássico de troca de chaves X25519 com o esquema HRSS baseado no algoritmo NTRU Prime, projetado para criptossistemas pós-quânticos.
• O suporte aos protocolos TLS 1.0 e TLS 1.1, que se tornaram obsoletos pelo comitê IETF (Internet Engineering Task Force), foi completamente descontinuado. A inclusão da possibilidade de retornar TLS 1.0/1.1 alterando a política SSLVersionMin foi removida.
• Os assemblies para a plataforma Linux incluem o uso do modo “DNS over HTTPS” (DoH, DNS sobre HTTPS), que anteriormente era trazido para usuários de Windows, macOS, ChromeOS e Android. O DNS sobre HTTPS será ativado automaticamente para usuários cujas configurações especifiquem provedores de DNS que suportam essa tecnologia (para DNS sobre HTTPS, o mesmo provedor é usado como para DNS). Por exemplo, se o usuário tiver o DNS 8.8.8.8 especificado nas configurações do sistema, o serviço DNS sobre HTTPS do Google (“https://dns.google.com/dns-query”) será ativado no Chrome se o DNS é 1.1.1.1 , então o serviço DNS sobre HTTPS Cloudflare (“https://cloudflare-dns.com/dns-query”), etc.
• A porta 10080, usada no backup Amanda e no VMWare vCenter, foi adicionada à lista de portas de rede proibidas. Anteriormente, já estavam bloqueadas as portas 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 e 6566. Para portas na lista negra, o envio de solicitações HTTP, HTTPS e FTP é bloqueado para proteção contra o ataque de slipstreaming NAT , que permite, ao abrir uma página web especialmente preparada pelo invasor no navegador, estabelecer uma conexão de rede do servidor do invasor a qualquer porta UDP ou TCP do sistema do usuário, apesar do uso do intervalo de endereços interno (192.168.xx, 10 .xxx).
• É possível configurar o lançamento automático de aplicações web autônomas (PWA - Progressive Web Apps) quando o usuário faz login no sistema (Windows e macOS). A execução automática é configurada na página chrome://apps. A funcionalidade está sendo testada atualmente em uma pequena porcentagem de usuários e, para o restante, requer a ativação da configuração “chrome://flags/#enable-desktop-pwas-run-on-os-login”.
• Como parte do trabalho para mover o navegador para usar terminologia inclusiva, o arquivo "master_preferences" foi renomeado para "initial_preferences". Para manter a compatibilidade, o suporte para “master_preferences” permanecerá no navegador por algum tempo. Anteriormente, o navegador já havia se livrado do uso das palavras “lista branca”, “lista negra” e “nativo”.
• O modo Enhanced Safe Browsing, que ativa verificações adicionais para proteção contra phishing, atividades maliciosas e outras ameaças na Web, inclui a capacidade de enviar arquivos baixados para verificação no lado do Google. Além disso, o Enhanced Safe Browsing implementa a contabilização de tokens vinculados a uma conta do Google ao identificar tentativas de phishing, bem como envia valores de cabeçalho do Referrer aos servidores do Google para verificar o encaminhamento de um site malicioso.
• Na edição para plataforma Android, foi aprimorado o design dos elementos do formulário web, que foram otimizados para uso em telas sensíveis ao toque e sistemas para pessoas com deficiência (para sistemas desktop, o design foi refeito no Chrome 83). O objetivo do retrabalho era unificar o design dos elementos do formulário e eliminar inconsistências de estilo - anteriormente, alguns elementos do formulário eram projetados de acordo com os elementos da interface do sistema operacional e alguns de acordo com os estilos mais populares. Por causa disso, diferentes elementos foram adequados de forma diferente para telas sensíveis ao toque e sistemas para pessoas com deficiência.
• Adicionada uma pesquisa de opinião do usuário que é mostrada ao abrir as configurações do Privacy Sandbox (chrome://settings/privacySandbox).
• Ao executar a versão Android do Chrome em tablets com telas grandes, a solicitação é feita para a versão desktop do site, e não para a edição para dispositivos móveis. Você pode alterar o comportamento usando a configuração “chrome://flags/#request-desktop-site-for-tablets”.
• O código para renderização de tabelas foi reformulado, o que permitiu solucionar problemas de inconsistência de comportamento na exibição de tabelas no Chrome e no Firefox/Safari.
• O processamento de certificados de servidores da autoridade certificadora espanhola Camerfirma foi interrompido devido a incidentes recorrentes desde 2017 envolvendo violações na emissão de certificados. O suporte para certificados de cliente é mantido; o bloqueio só se aplica a certificados usados ​​em sites HTTPS.
• Continuamos a implementar suporte à segmentação de rede para proteger contra métodos de rastreamento de movimentos de usuários entre sites com base no armazenamento de identificadores em áreas não destinadas ao armazenamento permanente de informações (“Supercookies”). Como os recursos armazenados em cache são armazenados em um namespace comum, independentemente do domínio de origem, um site pode determinar que outro site está carregando recursos verificando se esse recurso está no cache. A proteção é baseada no uso de segmentação de rede (particionamento de rede), cuja essência é adicionar aos caches compartilhados ligação adicional de registros ao domínio a partir do qual a página principal é aberta, o que limita a cobertura do cache apenas para scripts de rastreamento de movimento para o site atual (um script de um iframe não poderá verificar se o recurso foi baixado de outro site).

  O preço da segmentação é uma diminuição na eficiência do cache, levando a um ligeiro aumento no tempo de carregamento da página (máximo de 1.32%, mas para 80% dos sites de 0.09-0.75%). To test the segmentation mode, you can run the browser with the option “—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey, PartitionSSLSessionsByNetworkIsolationKey, SplitHostCacheB yNetworkIsolationKey".

• Adicionado VersionHistory da API REST externa (https://versionhistory.googleapis.com/v1/chrome), por meio do qual você pode obter informações sobre as versões do Chrome em relação às plataformas e filiais, bem como o histórico de atualizações do navegador.
• Em iframes carregados de domínios diferentes do domínio da página base, é proibida a exibição dos diálogos JavaScript alert(), confirm() e prompt(), o que protegerá os usuários de tentativas de um script de terceiros de exibir mensagens sob o disfarçar que a notificação foi exibida pelo site principal.
• A API WebAssembly SIMD foi estabilizada e oferecida por padrão para uso de instruções SIMD vetoriais em aplicativos formatados em WebAssembly. Para garantir a independência da plataforma, oferece um novo tipo de 128 bits que pode representar diferentes tipos de dados compactados e diversas operações vetoriais básicas para processamento de dados compactados. O SIMD permite aumentar a produtividade ao paralelizar o processamento de dados e será útil ao compilar código nativo no WebAssembly.
• Várias novas APIs foram adicionadas ao modo Origin Trials (recursos experimentais que requerem ativação separada). O Origin Trial implica a capacidade de trabalhar com a API especificada a partir de aplicativos baixados de localhost ou 127.0.0.1, ou após o registro e recebimento de um token especial válido por tempo limitado para um site específico.
  • WebTransport é um protocolo e uma API JavaScript que o acompanha para enviar e receber dados entre o navegador e o servidor. O canal de comunicação é organizado em HTTP/3 usando o protocolo QUIC como transporte, que, por sua vez, é um complemento do protocolo UDP que suporta multiplexação de múltiplas conexões e fornece métodos de criptografia equivalentes a TLS/SSL.

    WebTransport pode ser usado em vez de mecanismos WebSockets e RTCDataChannel, oferecendo recursos adicionais como transmissão multi-stream, fluxos unidirecionais, entrega fora de ordem, modos de entrega confiáveis ​​e não confiáveis. Além disso, o WebTransport pode ser usado em vez do mecanismo Server Push, que o Google abandonou no Chrome.

  • Uma interface declarativa para definir links para aplicativos da web independentes (PWAs), habilitada usando o parâmetro capture_links no manifesto do aplicativo da web e permitindo que os sites abram automaticamente uma nova janela do PWA quando um link de aplicativo é clicado ou alternam para o modo de janela única, semelhante aos aplicativos móveis.
  • Adicionada a API WebXR Plane Detection, que fornece informações sobre superfícies planas em um ambiente 3D virtual. A API especificada permite evitar o processamento intensivo de dados obtidos por meio da chamada MediaDevices.getUserMedia(), usando implementações proprietárias de algoritmos de visão computacional. Lembramos que a API WebXR permite unificar o trabalho com diversas classes de dispositivos de realidade virtual, desde capacetes 3D estacionários até soluções baseadas em dispositivos móveis.
• Foi implementado suporte para trabalhar com WebSockets sobre HTTP/2 (RFC 8441), válido apenas para solicitações seguras a WebSockets e na presença de uma conexão HTTP/2 já estabelecida com o servidor, que anunciou suporte para o “WebSockets over Extensão HTTP/2”.
• Os limites na precisão dos valores do temporizador produzidos por uma chamada para performance.now() são consistentes em todas as plataformas suportadas e acomodam o potencial de isolamento de manipuladores em processos separados. Por exemplo, em sistemas desktop, a precisão do processamento em contextos não isolados foi reduzida de 5 para 100 microssegundos.
• As compilações para desktop agora incluem a capacidade de ler arquivos da área de transferência (gravar arquivos na área de transferência ainda é proibido). função assíncrona onPaste(e) { let file = e.clipboardData.files[0]; deixe conteúdo = aguarde arquivo.text(); }
• CSS implementa a regra @counter-style, que permite definir seu próprio estilo para contadores e rótulos em listas numeradas.
• As pseudoclasses CSS “:host()” e “:host-context()” adicionaram a capacidade de passar valores únicos de seletores compostos ( ) além de listas de seletores ( ).
• Adicionada interface GravitySensor para determinar dados volumétricos (três eixos de coordenadas) do sensor de gravidade.
• A API File System Access fornece a capacidade de definir recomendações para escolher um nome de arquivo e diretório oferecido na caixa de diálogo para criar ou abrir um arquivo.
• Iframes carregados de outros domínios têm permissão para acessar a API WebOTP se o usuário conceder as permissões apropriadas. WebOTP permite que você leia códigos de verificação únicos enviados via SMS.
• Permitido compartilhar acesso a credenciais de sites vinculados usando o mecanismo DAL (Digital Asset Links), que permite que aplicativos Android sejam associados a sites para simplificar o login.
• Os service workers permitem o uso de módulos JavaScript. Quando você especifica o tipo 'módulo' ao chamar o construtor, os scripts especificados serão carregados na forma de módulos e disponíveis para importação no contexto do trabalhador. O suporte ao módulo facilita o compartilhamento de código entre páginas da Web e service workers.
• JavaScript fornece a capacidade de verificar a existência de campos privados em um objeto usando a sintaxe "#foo in obj". classe A { teste estático (obj) { console.log (#foo em obj); } #foo = 0; } A.teste(novo A()); // verdadeiro A.test({}); // falso
• O JavaScript por padrão permite o uso da palavra-chave await em módulos de nível superior, o que permite que chamadas assíncronas sejam integradas de maneira mais suave ao processo de carregamento do módulo e evita envolvê-las em uma “função assíncrona”. Por exemplo, em vez de (async function() { await Promise.resolve(console.log('test')); }()); agora você pode escrever await Promise.resolve(console.log('test'));
• O mecanismo JavaScript V8 melhorou a eficiência do cache de modelos, o que aumentou a velocidade de aprovação no teste Speedometer4.5-FlightJS em 2%.
• Uma grande parte das melhorias foi feita nas ferramentas para desenvolvedores web. Um novo modo Memory inspector foi adicionado, fornecendo ferramentas para examinar dados ArrayBuffer e memória Wasm.

  Um indicador resumido de desempenho foi adicionado ao painel Desempenho, permitindo avaliar se um site requer otimização ou não.

  

  As visualizações de imagem no painel Elementos e no painel Análise de rede fornecem informações sobre a proporção da imagem, opções de renderização e tamanho do arquivo.

  

  No painel de inspeção de rede, agora é possível alterar os valores aceitos do cabeçalho Content-Encoding.

  

  No painel de estilo, agora você pode visualizar rapidamente o valor calculado ao navegar pelos parâmetros CSS selecionando “Exibir valor calculado” no menu de contexto.

  

Além de inovações e correções de bugs, a nova versão elimina 32 vulnerabilidades. Muitas das vulnerabilidades foram identificadas como resultado de testes automatizados usando as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Nenhum problema crítico foi identificado que permitiria ignorar todos os níveis de proteção do navegador e executar código no sistema fora do ambiente sandbox. Como parte do programa de pagamento de recompensas em dinheiro pela descoberta de vulnerabilidades na versão atual, o Google pagou 21 prêmios no valor de US$ 92000 (um prêmio de US$ 20000, um prêmio de US$ 15000, quatro prêmios de US$ 7500, três prêmios de US$ 5000, três prêmios de US$ 3000, dois prêmios de US$ 1000 e dois US$ 500). O tamanho das 5 recompensas ainda não foi determinado.

Fonte: opennet.ru