Versão 98 do Chrome

O Google revelou o lançamento do navegador Chrome 98. Ao mesmo tempo, está disponível uma versão estável do projeto gratuito Chromium, que serve de base ao Chrome. O navegador Chrome se diferencia pelo uso dos logotipos do Google, pela presença de um sistema de envio de notificações em caso de travamento, módulos para reprodução de conteúdo de vídeo protegido contra cópia (DRM), sistema de instalação automática de atualizações e transmissão de parâmetros RLZ quando procurando. O próximo lançamento do Chrome 99 está agendado para 1 de março.

Principais mudanças no Chrome 98:

• O navegador possui seu próprio armazenamento de certificados raiz de autoridades certificadoras (Chrome Root Store), que será utilizado no lugar de armazenamentos externos específicos de cada sistema operacional. O armazenamento é implementado de forma semelhante ao armazenamento independente de certificados raiz no Firefox, que é usado como o primeiro link para verificar a cadeia de confiança do certificado ao abrir sites via HTTPS. O novo armazenamento ainda não é usado por padrão. Para facilitar a transição das configurações de armazenamento do sistema e garantir a portabilidade, haverá um período de transição durante o qual a Chrome Root Store incluirá uma seleção completa de certificados aprovados na maioria das plataformas suportadas.
• O plano de reforçar a proteção contra ataques relacionados com o acesso a recursos na rede local ou no computador do utilizador (localhost) a partir de scripts carregados quando o site é aberto continua a ser implementado. Tais solicitações são utilizadas por invasores para realizar ataques CSRF em roteadores, pontos de acesso, impressoras, interfaces web corporativas e outros dispositivos e serviços que aceitam solicitações apenas da rede local.

  Para se proteger contra tais ataques, se algum sub-recurso for acessado na rede interna, o navegador começará a enviar uma solicitação explícita de permissão para baixar tais sub-recursos. A solicitação de permissões é realizada enviando uma solicitação CORS (Cross-Origin Resource Sharing) com o cabeçalho “Access-Control-Request-Private-Network: true” ao servidor do site principal antes de acessar a rede interna ou localhost. Ao confirmar a operação em resposta a esta solicitação, o servidor deverá retornar o cabeçalho “Access-Control-Allow-Private-Network: true”. No Chrome 98, a verificação é implementada em modo de teste e caso não haja confirmação, um aviso é exibido no console web, mas a solicitação do sub-recurso em si não é bloqueada. O bloqueio não está planejado para ser ativado até o lançamento do Chrome 101.

• As configurações da conta integram ferramentas para gerenciar a inclusão do Enhanced Safe Browsing, que ativa verificações adicionais para proteção contra phishing, atividades maliciosas e outras ameaças na Web. Ao ativar um modo em sua conta do Google, você será solicitado a ativar o modo no Chrome.
• Adicionado modelo de detecção de tentativas de phishing do lado do cliente, implementado utilizando a plataforma de aprendizado de máquina TFLite (TensorFlow Lite) e dispensa o envio de dados para realizar a verificação do lado do Google (neste caso, a telemetria é enviada com informações sobre a versão do modelo e pesos calculados para cada categoria). Se uma tentativa de phishing for detectada, o usuário verá uma página de aviso antes de abrir o site suspeito.
• Na API Client Hints, que está sendo desenvolvida como um substituto para o cabeçalho User-Agent e permite enviar seletivamente dados sobre parâmetros específicos do navegador e do sistema (versão, plataforma, etc.) somente após uma solicitação do servidor, é possível substituir nomes fictícios na lista de identificadores do navegador, de acordo com analogias com o mecanismo GREASE (Generate Random Extensions And Sustain Extensibility) usado no TLS. Por exemplo, além de '"Chrome"; v="98″' e '"Crómio"; v="98″' um identificador aleatório de um navegador inexistente '"(Not; Browser"; v="12″' pode ser adicionado à lista. Tal substituição ajudará a identificar problemas com o processamento de identificadores de navegadores desconhecidos, o que leva ao fato de que navegadores alternativos são forçados a fingir ser outros navegadores populares para ignorar a verificação nas listas de navegadores aceitáveis.
• A partir de 17 de janeiro, a Chrome Web Store não aceitará mais complementos que usem a versão 2023 do manifesto do Chrome. Agora novas adições só serão aceitas com a terceira versão do manifesto. Os desenvolvedores de complementos adicionados anteriormente ainda poderão publicar atualizações com a segunda versão do manifesto. A descontinuação completa da segunda versão do manifesto está prevista para janeiro de XNUMX.
• Adicionado suporte para fontes vetoriais coloridas no formato COLRv1 (um subconjunto de fontes OpenType que contém, além de glifos vetoriais, uma camada com informações de cores), que pode ser usada, por exemplo, para criar emoji multicoloridos. Ao contrário do formato COLRv0 anteriormente suportado, o COLRv1 agora tem a capacidade de usar gradientes, sobreposições e transformações. O formato também oferece uma forma de armazenamento compacta, oferece compactação eficiente e permite a reutilização de contornos, permitindo redução significativa no tamanho da fonte. Por exemplo, a fonte Noto Color Emoji ocupa 9 MB no formato raster e 1 MB no formato vetorial COLRv1.85.
• O modo Origin Trials (recursos experimentais que requerem ativação separada) implementa a API Region Capture, que permite cortar o vídeo capturado. Por exemplo, o corte pode ser necessário em aplicativos da web que capturam vídeo com o conteúdo de sua guia, para cortar determinado conteúdo antes do envio. Origin Trial implica a capacidade de trabalhar com a API especificada a partir de aplicativos baixados de localhost ou 127.0.0.1, ou após registrar e receber um token especial válido por tempo limitado para um site específico.
• A propriedade CSS "contain-intrinsic-size" agora suporta o valor "auto", que usará o último tamanho lembrado do elemento (quando usado com "content-visibility: auto", o desenvolvedor não precisa adivinhar o tamanho renderizado do elemento) .
• Adicionada a propriedade AudioContext.outputLatency, por meio da qual você pode obter informações sobre o atraso previsto antes da saída de áudio (atraso entre a solicitação de áudio e o início do processamento dos dados recebidos pelo dispositivo de saída de áudio).
• Propriedade CSS esquema de cores, que permite determinar em quais esquemas de cores um elemento pode ser exibido corretamente (“claro”, “escuro”, “modo diurno” e “modo noturno”), o parâmetro “apenas” foi adicionado para evitar esquemas de alterações forçadas de cores para elementos HTML individuais. Por exemplo, se você especificar “div { esquema de cores: somente claro }”, apenas o tema claro será usado para o elemento div, mesmo que o navegador force a ativação do tema escuro.
• Adicionado suporte para consultas de mídia de 'faixa dinâmica' e 'faixa dinâmica de vídeo' ao CSS para determinar se uma tela suporta HDR (High Dynamic Range).
• Adicionada a capacidade de escolher se deseja abrir um link em uma nova guia, nova janela ou janela pop-up à função window.open(). Além disso, a propriedade window.statusbar.visible agora retorna “false” para pop-ups e “true” para guias e janelas. const popup = window.open('_blank',",'popup=1′); // Abre em uma janela pop-up const tab = window.open('_blank',,"'popup=0′); //Abre na aba
• O método StructureClone() foi implementado para janelas e trabalhadores, o que permite criar cópias recursivas de objetos que incluem propriedades não apenas do objeto especificado, mas também de todos os outros objetos referenciados pelo objeto atual.
• A API de autenticação da Web adicionou suporte para a extensão de especificação FIDO CTAP2, que permite definir o tamanho mínimo permitido do código PIN (minPinLength).
• Para aplicativos da web independentes instalados, foi adicionado o componente Window Controls Overlay, que estende a área da tela do aplicativo para toda a janela, incluindo a área de título, na qual os botões de controle de janela padrão (fechar, minimizar, maximizar ) são sobrepostos. O aplicativo Web pode controlar a renderização e o processamento de entrada de toda a janela, exceto o bloco de sobreposição com botões de controle de janela.
• Adicionada uma propriedade de manipulação de sinal a WritableStreamDefaultController que retorna um objeto AbortSignal, que pode ser usado para interromper imediatamente as gravações em um WritableStream sem esperar que elas sejam concluídas.
• O WebRTC removeu o suporte ao mecanismo de acordo de chave SDES, que foi descontinuado pela IETF em 2013 devido a questões de segurança.
• Por padrão, a API U2F (Cryptotoken) está desabilitada, que foi anteriormente obsoleta e substituída pela API de autenticação da Web. A API U2F será completamente removida no Chrome 104.
• No API Directory, o campo install_browser_version foi descontinuado, substituído por um novo campo pendente_browser_version, que se diferencia por conter informações sobre a versão do navegador, levando em consideração as atualizações baixadas, mas não aplicadas (ou seja, a versão que será válida após o navegador for reiniciado).
• Opções removidas que permitiam retornar o suporte para TLS 1.0 e 1.1.
• Melhorias foram feitas nas ferramentas para desenvolvedores web. Foi adicionada uma aba para avaliar o funcionamento do cache Back-forward, que fornece navegação instantânea ao usar os botões Voltar e Avançar. Adicionada a capacidade de emular consultas de mídia com cores forçadas. Adicionados botões ao editor Flexbox para suportar as propriedades de reversão de linha e reversão de coluna. A guia “Alterações” garante que as alterações sejam exibidas após a formatação do código, o que simplifica a análise de páginas minificadas.

  A implementação do painel de revisão de código foi atualizada para o lançamento do editor de código CodeMirror 6, que melhora significativamente o desempenho do trabalho com arquivos muito grandes (WASM, JavaScript), resolve problemas com deslocamentos aleatórios durante a navegação e melhora as recomendações de o sistema de preenchimento automático ao editar o código. A capacidade de filtrar a saída por nome ou valor da propriedade foi adicionada ao painel de propriedades CSS.

  

Além de inovações e correções de bugs, a nova versão elimina 27 vulnerabilidades. Muitas das vulnerabilidades foram identificadas como resultado de testes automatizados usando as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Nenhum problema crítico foi identificado que permitiria ignorar todos os níveis de proteção do navegador e executar código no sistema fora do ambiente sandbox. Como parte do programa de recompensa em dinheiro pela descoberta de vulnerabilidades para a versão atual, o Google pagou 19 prêmios no valor de US$ 88 mil (dois prêmios de US$ 20000, um prêmio de US$ 12000, dois prêmios de US$ 7500, quatro prêmios de US$ 1000 e um de US$ 7000, US$ 5000, US$ 3000 e US$ 2000 de cada.

Fonte: opennet.ru