Lansare Chrome 93

Compania Google a lansat versiunea 93 a browserului web Chrome. De asemenea, este disponibilă o versiune stabilă a proiectului liber Chromium, care stă la baza Chrome. Browserul Chrome se distinge prin utilizarea logo-urilor Google, fiind dotat cu un sistem de trimitere a notificărilor în caz de erori, module pentru redarea conținutului video protejat (DRM), un sistem automat de instalare a actualizărilor și un transfer de parametrii RLZ în timpul căutărilor. Următoarea versiune, Chrome 94, este programată pentru 21 septembrie (dezvoltarea a fost mutată pe un ciclu de formare a versiunilor de 4 săptămâni).

Principalele modificări din Chrome 93:

• A fost modernizat aspectul blocului de informații despre pagină (page info), în care s-a implementat suport pentru blocuri încrustate, iar listele derulante cu permisiunile au fost înlocuite cu comutatoare. În liste, s-a asigurat afișarea informațiilor cele mai importante în primul rând. Modificarea nu este activată pentru toți utilizatorii, activarea putând fi realizată prin setarea „chrome://flags/#page-info-version-2-desktop”.
• Pentru un procent mic de utilizatori, ca experiment, indicatorul conexiunii securizate din bara de adrese a fost înlocuit cu un simbol mai neutru, care nu provoacă interpretări ambigue (lacătul a fost înlocuit cu semnul „V”). Pentru conexiunile stabilite fără criptare, indicatorul „nesecurizat” continuă să fie afișat. Motivul înlocuirii indicatorului se referă la faptul că mulți utilizatori asociază indicatorul lacătului cu faptul că conținutul site-ului este de încredere, mai degrabă decât să-l perceapă ca un semn al criptării conexiunii. Conform unui sondaj Google, doar 11% dintre utilizatori înțeleg semnificația pictogramei cu lacăt.
• În lista tab-urilor recent închise este asigurat afișajul conținutului grupurilor de tab-uri închise (în trecut, lista arăta doar denumirea grupului fără detalii despre conținut) cu posibilitatea de a restaura simultan atât întreaga grupă, cât și tab-urile individuale din grup. Posibilitatea nu este activată pentru toți utilizatorii, deci activarea poate necesita modificarea setării „chrome://flags/#tab-restore-sub-menus”.
• Pentru întreprinderi, au fost implementate noi setări DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites și JavaScriptJitBlockedForSites, care permit gestionarea modului JIT-less, dezactivând utilizarea compilării JIT în timpul executării JavaScript (este folosită doar interpretul Ignition) și interzicerea alocării de memorie executabilă în timpul execuției codului. Dezactivarea JIT poate fi utilă pentru creșterea securității în utilizarea aplicațiilor web potențial periculoase, cu costul scăderii performanței execuției JavaScript cu aproximativ 17%. Este remarcabil că Microsoft a mers mai departe, implementând în browserul Edge un mod experimental „Super Duper Secure”, care permite utilizatorului să dezactiveze JIT și să activeze mecanismele de protecție hardware incompatibile cu JIT, CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) și CFG (Control Flow Guard) pentru procesele care procesează conținut web. Dacă experimentul se dovedește a fi un succes, se poate aștepta transferul acestuia în versiunea principală a Chrome.
• Pe pagina noului tab, este prezentată o listă cu cele mai solicitate documente salvate în Google Drive. Conținutul listei corespunde secțiunii Priority din drive.google.com. Pentru a gestiona afișarea conținutului Google Drive, pot fi folosite setările „chrome://flags/#ntp-modules” și „chrome://flags/#ntp-drive-module”.
• Pentru pagina deschiderii unui nou tab, sunt propuse noi carduri informative, care ajută la găsirea conținutului recent vizionat și informațiilor asociate. Cardurile sunt destinate să simplifice continuarea lucrului cu informațiile a căror vizionare a fost întreruptă; de exemplu, cardurile pot ajuta la găsirea unei rețete de mâncare, care a fost recent găsită online, dar a fost pierdută după închiderea paginii, sau la continuarea alegerii produselor din magazine. Ca experiment, utilizatorilor li se oferă două carduri noi: „Rețete” (chrome://flags/#ntp-recipe-tasks-module) pentru căutarea rețetelor culinare și afișarea rețetelor recent vizionate; „Cumpărături” (chrome://flags/#ntp-chrome-cart-module) pentru reamintiri despre produsele selectate în magazinele online.
• În versiunea pentru platforma Android a fost adăugată suportul opțional pentru panoul de căutare continuă (chrome://flags/#continuous-search), care permite vizualizarea rezultatelor recente ale căutării în Google (panoul continuă să afișeze rezultatele după trecerea pe alte pagini).
• În versiunea pentru platforma Android a fost adăugat un mod experimental de schimb de citate (chrome://flags/#webnotes-stylize), care permite salvarea unei porțiuni selectate a paginii sub formă de citat și distribuirea acesteia cu alți utilizatori.
• La publicarea de noi extensii sau actualizări în Chrome Web Store, aplicarea verificării în doi pași pentru dezvoltatori este acum obligatorie.
• Pentru utilizatorii contului Google a fost oferită opțiunea de a salva informațiile de plată în contul lor Google.
• În modul incognito, în cazul activării opțiunii de ștergere a datelor de navigare, a fost implementat un nou dialog de confirmare a operațiunii, explicând că ștergerea datelor va duce la închiderea ferestrei și la încheierea tuturor sesiunilor în modul incognito.
• Din cauza unor incompatibilități identificate cu firmware-urile unor dispozitive, suportul pentru noua metodă de negociere a cheilor, rezistentă la atacuri de tip quantum, introdusă în Chrome 91 este temporar dezactivat. Aceasta se bazează pe utilizarea extensiei CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) în TLSv1.3, combinând mecanismul clasic de schimb de chei X25519 cu schema HRSS, bazată pe algoritmul NTRU Prime, dezvoltată pentru criptosistemele post-quantum.
• Porturile interzise au fost extinse cu porturile 989 (ftps-data) și 990 (ftps) pentru a bloca atacul ALPACA. Anterior, pentru a proteja împotriva atacului NAT slipstreaming, porturile 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 și 10080 au fost deja blocate.
• În TLS a fost oprit suportul pentru cifrurile bazate pe algoritmul 3DES. În special, setul de cifruri TLS_RSA_WITH_3DES_EDE_CBC_SHA, vulnerabil la atacul Sweet32, a fost eliminat.
• Suportul pentru distribuția Ubuntu 16.04 a fost oprit.
• A fost oferită posibilitatea utilizării API-ului WebOTP între diferite dispozitive conectate printr-un cont comun Google. WebOTP permite aplicației web să citească codurile unice de confirmare trimise prin SMS. Modificarea propusă permite obținerea codului de confirmare pe dispozitivul mobil cu Chrome pentru Android și aplicarea acestuia pe sistemul desktop.
• API-ul User-Agent Client Hints, dezvoltat ca o alternativă la antetul User-Agent, a fost extins. User-Agent Client Hints permite organizarea selecției și furnizării selective a datelor despre parametrii specifici ai browserului și sistemului (versiune, platformă etc.) doar după solicitare. serverul. Utilizatorul, la rândul său, poate determina ce informații pot fi furnizate proprietarilor de site-uri. Atunci când se folosește User-Agent Client Hints, identificatorul browserului nu este transmis fără o cerere explicită, iar în mod implicit sunt indicate doar parametrii de bază, ceea ce complică identificarea pasivă.

  Noua versiune implementează suportul pentru parametrul Sec-CH-UA-Bitness, care returnează informații despre arhitectura platformei, utilizat pentru a livra fișiere binare optimizate. În mod implicit, este asigurată trimiterea parametrului Sec-CH-UA-Platform cu date generale despre platformă. În valoarea UADataValues, generată la apelarea getHighEntropyValues(), în mod implicit se oferă parametrii generali, dacă varianta detaliată nu poate fi returnată. În obiectul NavigatorUAData a fost adăugat metoda toJSON, permițând utilizarea construcțiilor de tip JSON.stringify(navigator.userAgentData).

• S-a stabilizat și a fost propus implicit suportul pentru împachetarea resurselor în pachete în format Web Bundle, adecvate pentru organizarea unei încărcări mai eficiente a unui număr mare de fișiere asociate (CSS, JavaScript, imagini, iframe). Printre dezavantajele suportului actual pentru pachetele de fișiere JavaScript (webpack), pe care încearcă să le elimine Web Bundle, se numără: în cache-ul HTTP poate rămâne întregul pachet, dar nu componentele sale; compilarea și execuția pot începe doar după încărcarea completă a pachetului; resursele suplimentare, cum ar fi CSS și imaginile, trebuie codificate sub formă de stringuri JavaScript, ceea ce duce la creșterea dimensiunii și la o etapă suplimentară de analiză.
• S-a inclus API-ul WebXR Plane Detection, care oferă informații despre suprafețele plane în medii virtuale 3D. Acest API permite evitarea prelucrării intensive a datelor obținute prin apelarea MediaDevices.getUserMedia(), utilizând implementări proprii ale algoritmilor de viziune computerizată. Reamintim că API-ul WebXR permite unificarea interacțiunii cu diverse clase de dispozitive de realitate virtuală, de la headseturi 3D staționare la soluții bazate pe dispozitive mobile.
• În modul Origin Trials (funcționalități experimentale care necesită activare separată) au fost adăugate mai multe API-uri noi. Origin Trial permite utilizarea API-ului specificat din aplicații încărcate de pe localhost sau 127.0.0.1 sau după înregistrarea și obținerea unui token special, care este valabil pentru o perioadă limitată pentru un anumit site.
  • A fost propus API-ul Multi-Screen Window Placement, care permite plasarea ferestrelor pe orice ecran conectat la sistemul curent și salvarea poziției ferestrei, având, de asemenea, posibilitatea de a extinde fereastra pe tot ecranul. De exemplu, prin intermediul acestui API, o aplicație web destinată prezentărilor poate organiza afișarea slide-urilor pe un ecran, în timp ce notele pentru prezentator sunt prezentate pe altul.
  • În antetul Cross-Origin-Embedder-Policy, care gestionează modul de izolare Cross-Origin și permite definirea regulilor de utilizare sigură a operațiunilor privilegiate pe pagină, a fost adăugat suport pentru parametrul „credentialless” pentru a dezactiva transmiterea informațiilor legate de datele de autentificare, cum ar fi cookie-urile și certificatele client.
  • Pentru aplicațiile web instalate separat (PWA, Progressive Web Apps), care gestionează redarea conținutului feronței și se ocupă de procesarea input-ului, a fost furnizat un overlay cu elemente de control al feronței, cum ar fi zona de antet și butoanele de extindere / minimizare a feronței. Overlay-ul extinde zona disponibilă pentru modificare pe întreaga fereastră și permite adăugarea de elemente proprii în zona antetului.
  • A fost adăugată capacitatea de a crea aplicații PWA care pot fi utilizate ca gestionari de URL-uri. De exemplu, aplicația music.example.com poate să se înregistreze ca gestionară a URL-ului https://*.music.example.com, iar toate navigările din aplicațiile externe prin aceste linkuri, cum ar fi din mesageri și clienți de e-mail, vor duce la deschiderea acestor aplicații PWA, și nu la un nou tab în browser.
• A fost oferită posibilitatea de a încărca fișiere CSS prin intermediul expresiei „import”, similar cu încărcarea modulelor JavaScript, ceea ce este convenabil pentru crearea propriilor elemente și permite evitarea specificării stilurilor prin cod JavaScript. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• A fost introdusă o nouă metodă statică AbortSignal.abort(), care returnează un obiect AbortSignal, pentru care parametrul aborted este deja setat. În loc de mai multe linii de cod pentru a crea un obiect AbortSignal în starea aborted, acum se poate folosi o singură linie: „return AbortSignal.abort()”.
• În elementul Flexbox a fost adăugat suport pentru cuvintele cheie start, end, self-start, self-end, left și right, care completează cuvintele cheie center, flex-start și flex-end cu metode pentru simplificarea alinierii poziției flex-elementelor.
• În constructorul Error() a fost implementată o nouă proprietate opțională „cause”, care permite legarea ușoară a erorilor între ele. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• Proprietatea HTMLMediaElement.controlsList a fost adăugată cu suport pentru modul noplaybackrate, care permite dezactivarea elementelor interfeței furnizate de browser pentru a modifica viteza de redare a conținutului multimedia.
• A fost adăugat antetul Sec-CH-Prefers-Color-Scheme, care permite, în timpul trimiterii unei cereri, transmiterea datelor despre schema de culori preferată de utilizator, utilizată în media queries „prefers-color-scheme”, permițând site-ului să optimizeze încărcarea CSS-ului asociat cu schema selectată și să evite comutările vizibile de la alte scheme.
• A fost adăugată proprietatea Object.hasOwn, care reprezintă o variantă simplificată a Object.prototype.hasOwnProperty, implementată sub forma unei metode statice. Object.hasOwn({ prop: 42 }, ‘prop’) // → true
• În compilatorul JIT Sparkplug, destinat executării foarte rapide a compilării brute, a fost adăugată o modă de execuție în loturi, care reduce suprasarcina generată de comutarea paginilor de memorie între modul de scriere și cel de execuție. Sparkplug compilează acum mai multe funcții deodată și apelează mprotect o dată pentru a schimba drepturile de acces ale întregului grup. Modă propusă reduce semnificativ timpul de compilare (cu până la 44%) fără a afecta negativ performanța execuției JavaScript.
• În versiunea pentru Android, au fost dezactivate mecanismele integrate în motorul V8 de protecție împotriva atacurilor prin canale laterale, cum ar fi Spectre, care sunt considerate a fi mai puțin eficiente decât izolarea site-urilor în procese separate. În versiunea desktop, aceste mecanisme au fost dezactivate încă din lansarea Chrome 70. Dezactivarea verificărilor inutile a permis creșterea performanței cu 2-15%.
• Au fost aduse îmbunătățiri uneltelor pentru dezvoltatorii web. În modul de inspectare a foilor de stil, a fost adăugată posibilitatea de a edita cererile formate prin expresia @container. În modul de inspectare a rețelei, a fost implementat un preview al resurselor în format Web bundle. În consola web, opțiunile pentru copierea liniilor sub formă de litere JavaScript sau JSON au fost adăugate în meniul contextual. A fost simplificată depanarea erorilor legate de CORS (Cross-Origin Resource Sharing).

Pe lângă noutățile și corecțiile, noua versiune a eliminat 27 de vulnerabilități. Multe dintre aceste vulnerabilități au fost identificate prin testare automatizată folosind uneltele AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer și AFL. Nu au fost descoperite probleme critice care să permită ocolirea tuturor nivelurilor de protecție ale browserului și executarea codului în sistem, în afara mediului sandbox. În cadrul programului de recompense financiare pentru identificarea vulnerabilităților, compania Google a oferit 19 premii, având o valoare totală de 136500 de dolari SUA (trei premii de 20000 de dolari, un premiu de 15000 de dolari, trei premii de 10000 de dolari, un premiu de 7500 de dolari, trei premii de 5000 de dolari și trei premii de 3000 de dolari). Valoarea a cinci premii nu a fost încă stabilită.

Sursa: opennet.ro