Versão 93 do Chrome

O Google revelou o lançamento do navegador Chrome 93. Ao mesmo tempo, está disponível uma versão estável do projeto gratuito Chromium, que serve de base ao Chrome. O navegador Chrome se diferencia pelo uso dos logotipos do Google, pela presença de um sistema de envio de notificações em caso de travamento, módulos para reprodução de conteúdo de vídeo protegido (DRM), sistema de instalação automática de atualizações e transmissão de parâmetros RLZ durante a pesquisa. O próximo lançamento do Chrome 94 está agendado para 21 de setembro (o desenvolvimento foi movido para um ciclo de lançamento de 4 semanas).

Principais mudanças no Chrome 93:

• O design do bloco com informações da página (informações da página) foi modernizado, no qual foi implementado suporte para blocos aninhados e listas suspensas com direitos de acesso foram substituídas por switches. As listas garantem que as informações mais importantes sejam exibidas primeiro. A alteração não está habilitada para todos os usuários; para ativá-la, você pode usar a configuração “chrome://flags/#page-info-version-2-desktop”.
• Para uma pequena porcentagem de usuários, a título experimental, o indicador de conexão segura na barra de endereço foi substituído por um símbolo mais neutro que não causa dupla interpretação (o cadeado foi substituído por um sinal “V”). Para conexões estabelecidas sem criptografia, o indicador “não seguro” continua sendo exibido. O motivo citado para a substituição do indicador é que muitos usuários associam o indicador de cadeado ao fato de que o conteúdo do site é confiável, em vez de vê-lo como um sinal de que a conexão está criptografada. A julgar por uma pesquisa do Google, apenas 11% dos usuários entendem o significado do ícone com cadeado.
• A lista de guias fechadas recentemente agora exibe o conteúdo de grupos de guias fechados (anteriormente a lista simplesmente mostrava o nome do grupo sem detalhar o conteúdo) com a capacidade de retornar o grupo inteiro e as guias individuais do grupo de uma só vez. O recurso não está habilitado para todos os usuários, então pode ser necessário alterar a configuração "chrome://flags/#tab-restore-sub-menus" para habilitá-lo.
• Para empresas, novas configurações foram implementadas: DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites e JavaScriptJitBlockedForSites, que permitem controlar o modo JIT-less, que desativa o uso de compilação JIT ao executar JavaScript (apenas o interpretador Ignition é usado) e proíbe a alocação de executáveis memória durante a execução do código. Desabilitar o JIT pode ser útil para melhorar a segurança do trabalho com aplicações web potencialmente perigosas ao custo de reduzir o desempenho de execução do JavaScript em aproximadamente 17%. Vale ressaltar que a Microsoft foi ainda mais longe e implementou um modo experimental “Super Duper Secure” no navegador Edge, permitindo ao usuário desabilitar o JIT e ativar mecanismos de segurança de hardware não compatíveis com JIT CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) e CFG (Control Flow Guard) para processos de processamento de conteúdo web. Se a experiência for bem-sucedida, podemos esperar que ela seja transferida para a parte principal do Chrome.
• A página da nova guia fornece uma lista dos documentos mais populares salvos no Google Drive. O conteúdo da lista corresponde à seção Prioridade em drive.google.com. Para controlar a exibição do conteúdo do Google Drive, você pode usar as configurações “chrome://flags/#ntp-modules” e “chrome://flags/#ntp-drive-module”.
• Novos cartões de informações foram adicionados à página Abrir nova guia para ajudá-lo a encontrar conteúdo visualizado recentemente e informações relacionadas. Os cartões foram concebidos para facilitar a continuação do trabalho com informações cuja visualização foi interrompida, por exemplo, os cartões irão ajudá-lo a encontrar a receita de um prato que foi encontrado recentemente online, mas que se perdeu após fechar a página, ou continuar a fazer compras em lojas. Como experiência, são oferecidos aos usuários dois novos mapas: “Receitas” (chrome://flags/#ntp-recipe-tasks-module) para pesquisar receitas culinárias e mostrar receitas visualizadas recentemente; “Shopping” (chrome://flags/#ntp-chrome-cart-module) para lembretes sobre produtos selecionados em lojas online.
• A versão Android adiciona suporte opcional para um painel de pesquisa contínua (chrome://flags/#continuous-search), que permite manter visíveis os resultados de pesquisa recentes do Google (o painel continua a mostrar resultados após passar para outras páginas).
• Um modo experimental de compartilhamento de citações foi adicionado à versão Android (chrome://flags/#webnotes-stylize), que permite salvar um fragmento selecionado de uma página como uma citação e compartilhá-lo com outros usuários.
• Ao publicar novas adições ou atualizações de versão na Chrome Web Store, agora é necessária a verificação de dois fatores do desenvolvedor.
• Os usuários de Contas do Google têm a opção de salvar informações de pagamento em suas Contas do Google.
• No modo de navegação anônima, se a opção de limpar os dados de navegação estiver ativada, uma nova caixa de diálogo de confirmação da operação foi implementada, explicando que a limpeza dos dados fechará a janela e encerrará todas as sessões no modo de navegação anônima.
• Devido às incompatibilidades identificadas com o firmware de alguns dispositivos, foi adicionado suporte ao novo método de acordo de chave adicionado ao Chrome 91, resistente a adivinhações em computadores quânticos, baseado no uso da extensão CECPQ1.3 (Combined Elliptic-Curve and Post-Quantum 2) em TLSv2, combinando um mecanismo clássico de troca de chaves X25519 com um esquema HRSS baseado no algoritmo NTRU Prime projetado para criptosistemas pós-quânticos.
• As portas 989 (dados FTP) e 990 (ftps) foram adicionadas ao número de portas de rede proibidas para bloquear o ataque ALPACA. Anteriormente, para proteção contra ataques de slipstreaming de NAT, as portas 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080 já estavam bloqueadas.
• O TLS não oferece mais suporte a cifras baseadas no algoritmo 3DES. Em particular, o conjunto de cifras TLS_RSA_WITH_3DES_EDE_CBC_SHA, que é suscetível ao ataque Sweet32, foi removido.
• O suporte para Ubuntu 16.04 foi descontinuado.
• É possível utilizar a API WebOTP entre diferentes dispositivos conectados através de uma conta Google comum. WebOTP permite que um aplicativo da web leia códigos de verificação únicos enviados via SMS. A mudança proposta possibilita receber um código de verificação em um dispositivo móvel rodando o Chrome para Android, e aplicá-lo em um sistema desktop.
• A API User-Agent Client Hints foi expandida, desenvolvida como um substituto para o cabeçalho User-Agent. As dicas do cliente do agente do usuário permitem que você organize a entrega seletiva de dados sobre parâmetros específicos do navegador e do sistema (versão, plataforma, etc.) somente após uma solicitação do servidor. O usuário, por sua vez, pode determinar quais informações podem ser fornecidas aos proprietários do site. Ao usar User-Agent Client Hints, o identificador do navegador não é transmitido sem uma solicitação explícita e, por padrão, apenas parâmetros básicos são especificados, o que dificulta a identificação passiva.

  A nova versão suporta o parâmetro Sec-CH-UA-Bitness para retornar dados sobre o número de bits da plataforma, que pode ser usado para servir arquivos binários otimizados. Por padrão, o parâmetro Sec-CH-UA-Platform é enviado com informações gerais da plataforma. O valor UADataValues ​​retornado ao chamar getHighEntropyValues() é implementado por padrão para retornar parâmetros generalizados se for impossível retornar uma opção detalhada. O método toJSON foi adicionado ao objeto NavigatorUAData, que permite usar construções como JSON.stringify(navigator.userAgentData).

• A capacidade de empacotar recursos em pacotes no formato Web Bundle, adequado para organizar o carregamento mais eficiente de um grande número de arquivos acompanhantes (estilos CSS, JavaScript, imagens, iframes), foi estabilizada e oferecida por padrão. Entre as deficiências no suporte existente para pacotes de arquivos JavaScript (webpack), que o Web Bundle está tentando eliminar: o pacote em si, mas não seus componentes, pode acabar no cache HTTP; a compilação e a execução só podem começar após o download completo do pacote; Recursos adicionais, como CSS e imagens, devem ser codificados na forma de strings JavaScript, o que aumenta o tamanho e requer outra etapa de análise.
• A API WebXR Plane Detection está incluída, fornecendo informações sobre superfícies planas em um ambiente 3D virtual. A API especificada permite evitar o processamento intensivo de dados obtidos por meio da chamada MediaDevices.getUserMedia(), usando implementações proprietárias de algoritmos de visão computacional. Lembramos que a API WebXR permite unificar o trabalho com diversas classes de dispositivos de realidade virtual, desde capacetes 3D estacionários até soluções baseadas em dispositivos móveis.
• Várias novas APIs foram adicionadas ao modo Origin Trials (recursos experimentais que requerem ativação separada). O Origin Trial implica a capacidade de trabalhar com a API especificada a partir de aplicativos baixados de localhost ou 127.0.0.1, ou após o registro e recebimento de um token especial válido por tempo limitado para um site específico.
  • Foi proposta a API Multi-Screen Window Placement, que permite colocar janelas em qualquer display conectado ao sistema atual, bem como salvar a posição da janela e, se necessário, expandir a janela para tela inteira. Por exemplo, usando a API especificada, um aplicativo da web para exibir uma apresentação pode organizar a exibição de slides em uma tela e exibir uma nota para o apresentador em outra.
  • O cabeçalho Cross-Origin-Embedder-Policy, que controla o modo de isolamento Cross-Origin e permite definir regras de uso seguras na página Operações Privilegiadas, agora suporta um parâmetro "sem credencial" para desabilitar a transmissão de informações relacionadas a credenciais, como Cookies e certificados de cliente.
  • Para aplicativos da web independentes (PWA, Progressive Web Apps) que controlam a renderização do conteúdo da janela e manipulam a entrada, é fornecida uma sobreposição com controles de janela, como uma barra de título e botões de expansão/recolhimento. Uma sobreposição estende a área editável para cobrir toda a janela e permite adicionar seus próprios elementos à área do título.
  • Adicionada a capacidade de criar aplicativos PWA que podem ser usados ​​como manipuladores de URL. Por exemplo, o aplicativo music.example.com pode registrar-se como um manipulador de URL https://*.music.example.com e todas as transições de aplicativos externos usando esses links, por exemplo, de mensagens instantâneas e clientes de e-mail, levarão à abertura deste aplicativo PWA, não a uma nova guia do navegador.
• É possível carregar arquivos CSS usando a expressão “importar”, semelhante ao carregamento de módulos JavaScript, o que é conveniente ao criar seus próprios elementos e permite fazer isso sem atribuir estilos usando código JavaScript. importar planilha de './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [folha]; shadowRoot.adoptedStyleSheets = [folha];
• Foi fornecido um novo método estático, AbortSignal.abort(), que retorna um objeto AbortSignal que já foi definido como abortado. Em vez de várias linhas de código para criar um objeto AbortSignal no estado abortado, agora você pode sobreviver com uma única linha de “return AbortSignal.abort()”.
• O elemento Flexbox adicionou suporte para as palavras-chave start, end, self-start, self-end, left e right, complementando as palavras-chave center, flex-start e flex-end com ferramentas para alinhamento simplificado da posição dos elementos flexíveis.
• O construtor Error() implementa uma nova propriedade opcional de “causa”, que permite associar facilmente erros entre si. const parentError = new Error('pai'); erro const = new Error('parent', { causa: parentError }); console.log(error.cause === parentError); // → verdadeiro
• Adicionado suporte ao modo noplaybackrate à propriedade HTMLMediaElement.controlsList, que permite desabilitar elementos da interface fornecida no navegador para alterar a velocidade de reprodução de conteúdo multimídia.
• Adicionado o cabeçalho Sec-CH-Prefers-Color-Scheme, que permite, na fase de envio da solicitação, transmitir dados sobre o esquema de cores preferido do usuário utilizado nas consultas de mídia “prefers-color-scheme”, o que permitirá ao site otimizar o carregamento de CSS associado ao esquema selecionado e evitar mudanças visíveis de outros esquemas.
• Adicionada a propriedade Object.hasOwn, que é uma versão simplificada de Object.prototype.hasOwnProperty, implementada como um método estático. Object.hasOwn({ prop: 42 }, 'prop') // → verdadeiro
• Projetado para compilação de força bruta muito rápida, o compilador JIT do Sparkplug adicionou um modo de execução em lote para reduzir a sobrecarga de troca de páginas de memória entre os modos de gravação e execução. O Sparkplug agora compila várias funções ao mesmo tempo e chama mprotect uma vez para alterar as permissões de todo o grupo. O modo proposto reduz significativamente o tempo de compilação (até 44%) sem impactar negativamente o desempenho de execução do JavaScript.
• A versão Android desativa a proteção integrada do mecanismo V8 contra ataques de canal lateral, como o Spectre, que não são considerados tão eficazes quanto isolar sites em processos separados. Na versão desktop, esses mecanismos foram desativados no lançamento do Chrome 70. A desativação de verificações desnecessárias permitiu aumentar o desempenho em 2 a 15%.
• Melhorias foram feitas nas ferramentas para desenvolvedores web. No modo de inspeção de folhas de estilo é possível editar consultas geradas utilizando a expressão @container. No modo de inspeção de rede, é implementada uma visualização dos recursos no formato de pacote Web. No console da web, opções para copiar strings na forma de literais JavaScript ou JSON foram adicionadas ao menu de contexto. Depuração aprimorada de erros relacionados ao CORS (Cross-Origin Resource Sharing).

Além de inovações e correções de bugs, a nova versão elimina 27 vulnerabilidades. Muitas das vulnerabilidades foram identificadas como resultado de testes automatizados usando as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Nenhum problema crítico foi identificado que permitiria ignorar todos os níveis de proteção do navegador e executar código no sistema fora do ambiente sandbox. Como parte do programa de pagamento de recompensas em dinheiro pela descoberta de vulnerabilidades na versão atual, o Google pagou 19 prêmios no valor de US$ 136500 (três prêmios de US$ 20000, um prêmio de US$ 15000, três prêmios de US$ 10000, um prêmio de US$ 7500, três prêmios de US$ 5000 e três prêmios de US$ 3000). O tamanho das 5 recompensas ainda não foi determinado.

Fonte: opennet.ru