Spoločnosť Google uviedla vydanie webového prehliadača Chrome 93. Súčasne je dostupné stabilné vydanie voľného projektu Chromium, ktorý slúži ako základ pre Chrome. Prehliadač Chrome sa vyznačuje používaním logотипov Google, systémom zasielania notifikácií v prípade pádu, modulmi na prehrávanie chráneného video obsahu (DRM), systémom automatickej inštalácie aktualizácií a prenášaním RLZ-parametrov pri vyhľadávaní. Ďalšie vydanie Chrome 94 je naplánované na 21. septembra (vývoj bol prevedený na 4-týždňový cyklus prípravy vydaní).
Hlavné zmeny vo verzii Chrome 93:
- Bola modernizovaná úprava bloku s informáciami o stránke (page info), v ktorom bola implementovaná podpora vnorených blokov, a rozbaľovacie zoznamy s prístupovými právami boli nahradené prepínačmi. V zoznamoch je zabezpečené zobrazenie najdôležitejších informácií prednostne. Zmena nie je zavedená pre všetkých používateľov, pre aktiváciu je možné využiť nastavenie „chrome://flags/#page-info-version-2-desktop“.
- Pre malý percento používateľov bol v rámci experimentu indikátor zabezpečeného pripojenia v adresnom riadku nahradený neutrálnym a nevyvolávajúcim dvojzmyselnosť symbolom (zámok bol nahradený znakom „V“). Pre pripojenia, ktoré neboli vytvorené s šifrovaním, sa naďalej zobrazuje indikátor „nie je zabezpečené“. Ako dôvod výmeny indikátora sa uvádza, že mnohí používatelia asociujú zámok s dôveryhodnosťou obsahu stránky, a nie s tým, že indikátor znak je znamením šifrovaného pripojenia. Podľa prieskumu Google iba 11% používateľov rozumie významu ikony so zámkom.
- V zozname nedávno zatvorených kariet je zabezpečené zobrazenie obsahu zatvorených skupín kariet (predtým sa v zozname len zobrazoval názov skupiny bez detailov o obsahu) s možnosťou naraz vrátiť ako celú skupinu, tak aj jednotlivé karty z skupiny. Možnosť je aktivovaná nie pre všetkých používateľov, preto na jej aktiváciu môže byť potrebné zmeniť nastavenie „chrome://flags/#tab-restore-sub-menus“.
- Pre podniky boli implementované nové nastavenia DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites a JavaScriptJitBlockedForSites, ktoré umožňujú spravovať režim JIT-less, vypínajúci použitie JIT-kompilačného procesu pri vykonávaní JavaScriptu (používa sa iba interpret Ignition) a zakazujúci pridelenie vykonávacej pamäte počas vykonávania kódu. Vypnutie JIT môže byť užitočné na zvýšenie bezpečnosti pri práci s potenciálne nebezpečnými webovými aplikáciami na úkor zníženia výkonu JavaScriptu približne o 17%. Zvlášť zaujímavé je, že spoločnosť Microsoft išla ešte ďalej a implementovala v prehliadači Edge experimentálny režim „Super Duper Secure“, ktorý umožňuje používateľovi vypnúť JIT a aktivovať hardvérové ochranné mechanizmy nesúvisiace s JIT, ako CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) a CFG (Control Flow Guard) pre procesy spracovávajúce webový obsah. Ak bude experiment úspešný, môžeme očakávať, že sa prenesie aj do hlavného kompónentov Chrome.
- Na stránke novej karty je zobrazený zoznam najžiadanejších dokumentov uložených v Google Drive. Obsah zoznamu zodpovedá sekcii Priority na drive.google.com. Na správu zobrazenia obsahu Google Drive môžete použiť nastavenia „chrome://flags/#ntp-modules“ a „chrome://flags/#ntp-drive-module“.
- Na stránke otvárania novej karty sú navrhnuté nové informačné karty, ktoré pomáhajú nájsť nedávno prezeraný obsah a s ním súvisiace informácie. Karty majú za cieľ uľahčiť pokračovanie v práci s informáciami, ktorých prezeranie bolo prerušené, napríklad karty pomôžu nájsť recept na jedlo, ktorý bol nedávno objavený online, ale bol stratený po zatvorení stránky, alebo pokračovať v nákupe v obchodoch. Ako experiment sú používateľom ponúkané dve nové karty: „Recepty“ (chrome://flags/#ntp-recipe-tasks-module) na vyhľadávanie kuchynských receptov a zobrazenie nedávno prehľadaných receptov; „Nákupy“ (chrome://flags/#ntp-chrome-cart-module) na pripomienky o vybraných tovaroch v internetových obchodoch.
- Do verzie pre platformu Android bola pridaná voliteľná podpora panela kontinuálneho vyhľadávania (chrome://flags/#continuous-search), ktorý umožňuje sledovať nedávne výsledky vyhľadávania v Google (panel naďalej zobrazuje výsledky po prechode na iné stránky).
- Do verzie pre platformu Android bol pridaný experimentálny režim výmeny citátov (chrome://flags/#webnotes-stylize), ktorý umožňuje uložiť vybraný fragment stránky vo forme citátu a zdieľať ho s ostatnými používateľmi.
- Pri publikovaní nových doplnkov alebo aktualizácií verzií v Chrome Web Store je teraz povinné uplatnenie dvojfaktorovej autentizácie pre vývojárov.
- Pre používateľov Google Account je k dispozícii možnosť uchovávania informácií o platbách vo svojom účte Google.
- V režime inkognito, v prípade aktivácie možnosti vymazania údajov o navigácii, bol implementovaný nový dialóg potvrdzujúci operáciu, ktorý vysvetľuje, že vymazanie údajov povedie k zatvoreniu okna a ukončeniu všetkých relácií v režime inkognito.
- Z dôvodu zistených nekompatibility s firmvérmi niektorých zariadení bola dočasne vypnutá podpora nového kľúčového protokolu od Chromu 91, odolného voči útokom kvantových počítačov, založeného na použití rozšírenia TLSv1.3 CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2), ktoré kombinuje klasický mechanizmus výmeny kľúčov X25519 so schémou HRSS, založenou na algoritme NTRU Prime, vyvinutém pre postkvantové kryptosystémy.
- Do skupiny zakázaných sieťových portov boli pridané porty 989 (ftps-data) a 990 (ftps) s cieľom blokovať útok ALPACA. Predtým už boli z dôvodu ochrany pred útokom NAT slipstreaming zablokované porty 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 a 10080.
- V TLS bola ukončená podpora šifrovacích algoritmov založených na 3DES. Najmä bol odstránený šifrovací súbor TLS_RSA_WITH_3DES_EDE_CBC_SHA, ktorý je podozrivý z útoku Sweet32.
- Podpora distribúcie Ubuntu 16.04 bola ukončená.
- Bola poskytnutá možnosť používať API WebOTP medzi rôznymi zariadeniami, ktoré sú viazané na spoločný účet Google. WebOTP umožňuje webovej aplikácii čítať jednorazové potvrďovacie kódy zasielané prostredníctvom SMS. Navrhnutá zmena umožňuje získať potvrďovací kód na mobilnom zariadení s Chrome pre Android a aplikovať ho na desktopovom systéme.
- API User-Agent Client Hints, vyvíjané ako náhrada za hlavičku User-Agent, bolo rozšírené. User-Agent Client Hints umožňuje organizovať selektívne poskytovanie údajov o konkrétnych parametroch prehliadača a systému (verzia, platforma atď.) iba na základe požiadavky. serveromPoužívateľ môže, na druhej strane, určiť, aké informácie môžu byť poskytnuté vlastníkom webových stránok. Pri použití User-Agent Client Hints sa identifikátor prehliadača neodovzdáva bez explicitnej požiadavky a predvolene sa uvádzajú iba základné parametre, čo sťažuje pasívnu identifikáciu.
V novej verzii bola implementovaná podpora parametra Sec-CH-UA-Bitness na získavanie informácií o architektúre platformy, čo možno využiť na poskytovanie optimalizovaných binárnych súborov. Predvolene sa zaisťuje odosielanie parametra Sec-CH-UA-Platform s obvyklými údajmi o platforme. V hodnote UADataValues, vydávanej pri volaní getHighEntropyValues(), sa predvolene poskytujú zhrnuté parametre, ak nie je možné vrátiť podrobnú verziu. Do objektu NavigatorUAData bol pridaný metóda toJSON, čo umožňuje použitie konštrukcií typu JSON.stringify(navigator.userAgentData).
- Bola stabilizovaná a navrhnutá predvolene možnosť balenia zdrojov do balíkov vo formáte Web Bundle, vhodných na efektívnejšie načítanie veľkého počtu sprievodných súborov (CSS štýly, JavaScript, obrázky, iframe). Medzi nedostatkami existujúcej podpory balíkov pre JavaScriptové súbory (webpack), ktoré sa snažia odstrániť v Web Bundle: v HTTP cache môže ostať samotný balík, ale nie jeho súčasti; kompilácia a vykonávanie môže začať iba po úplnom načítaní balíka; dodatočné zdroje, ako sú CSS a obrázky, musia byť kódované vo forme JavaScriptových reťazcov, čo vedie k zvýšeniu veľkosti a vykonaniu ešte jednej fázy analýzy.
- Bol pridaný API WebXR Plane Detection, ktorý poskytuje informácie o plochých povrchoch vo virtuálnom 3D prostredí. Uvedený API umožňuje obísť náročné spracovanie dát získaných prostredníctvom volania MediaDevices.getUserMedia() použitím vlastných implementácií algoritmov strojového videnia. Pripomeňme, že API WebXR umožňuje unifikovať prácu s rôznymi triedami zariadení virtuálnej reality, od stacionárnych 3D headsetov po riešenia založené na mobilných zariadeniach.
- Do režimu Origin Trials (experimentálne funkcie, ktoré vyžadujú samostatnú aktiváciu) bolo pridaných niekoľko nových API. Origin Trial umožňuje prístup k uvedenému API z aplikácií načítaných z localhost alebo 127.0.0.1, alebo po registrácii a získaní špeciálneho tokenu, ktorý platí obmedzený čas pre konkrétnu stránku.
- Bol navrhnutý API Multi-Screen Window Placement, ktorý umožňuje umiestňovanie okien na akomkoľvek displeji pripojenom k aktuálnemu systému, ako aj uchovanie polohy okna a podľa potreby rozšírenie okna na celú obrazovku. Napríklad, s použitím uvedeného API môže webová aplikácia na prezentáciu usporiadať zobrazenie snímok na jednom displeji a zobraziť poznámky pre rečníka na inom.
- Do hlavičky Cross-Origin-Embedder-Policy, ktorá riadi režim izolácie z cudzích zdrojov a umožňuje definovať pravidlá bezpečného používania privilégií na stránke, bola pridaná podpora parametra „credentialless“ na vypnutie prenosu informácií súvisiacich s povereniami, ako sú cookies a klientské certifikáty.
- Pre samostatne inštalované webové aplikácie (PWA, Progressive Web Apps), ktoré riadia vykresľovanie obsahu okna a zaoberajú sa spracovaním vstupu, bol poskytnutý overlay s ovládacími prvkami okna, ako sú oblasť s hlavičkou a tlačidlá na rozbalenie/zminimalizovanie okna. Overlay rozširuje dostupnú oblasť na úpravy na celé okno a umožňuje pridávať vlastné prvky do oblasti hlavičky.
- Bola pridaná možnosť vytvárania aplikácií PWA, ktoré môžu fungovať ako správcovia URL. Napríklad, aplikácia music.example.com môže zaregistrovať seba ako správcu URL https://*.music.example.com a všetky prechody z externých aplikácií na tieto odkazy, napríklad z messengerov a e-mailových klientov, povedú k otvoreniu tejto PWA aplikácie a nie novej karty v prehliadači.
- Bola pridaná možnosť načítavania CSS súborov pomocou výrazu „import“ na podobnom princípe ako načítanie modulov JavaScript, čo je pohodlné pri vytváraní vlastných prvkov a umožňuje sa vyhnúť priraďovaniu štýlov kódom JavaScript. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
- Bol predstavený nový statický metóda AbortSignal.abort(), ktorá vracia objekt AbortSignal, pre ktorý bol už nastavený parameter aborted. Namiesto niekoľkých riadkov kódu na vytvorenie objektu AbortSignal v stave aborted teraz stačí jedna línia „return AbortSignal.abort();“
- Do prvku Flexbox bola pridaná podpora kľúčových slov start, end, self-start, self-end, left a right, ktoré dopĺňajú kľúčové slová center, flex-start a flex-end a poskytujú prostriedky na zjednodušenie zarovnávania pozície flex prvkov.
- V konštruktore Error() bolo implementované nové voliteľné vlastnosť „cause“, ktoré umožňuje ľahko prepojiť chyby navzájom. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
- Do vlastnosti HTMLMediaElement.controlsList bola pridaná podpora režimu noplaybackrate, ktorý umožňuje deaktivovať prvky predpísaného rozhrania prehliadača na menenie rýchlosti prehrávania multimediálneho obsahu.
- Pridaný hlavička Sec-CH-Prefers-Color-Scheme, ktorá umožňuje pri odosielaní požiadavky odoslať údaje o preferovanej farebnej schéme používateľa využívanej v mediálnych dopytoch „prefers-color-scheme“, čo umožní webu optimalizovať načítanie súvisiacich CSS, aby sa predišlo viditeľným prechodom z iných schém.
- Pridana vlastnosť Object.hasOwn, ktorá predstavuje zjednodušenú verziu Object.prototype.hasOwnProperty, implementovanú vo forme statickej metódy. Object.hasOwn({ prop: 42 }, ‘prop’) // → true
- Do JIT-kompilátora Sparkplug, určeného na veľmi rýchle vykonávanie hrubej kompilácie, bol pridaný režim dávkového vykonávania operácií, ktorý znižuje náklady na prepínanie stránok pamäte medzi režimom zápisu a vykonávania. Sparkplug teraz kompiluje naraz niekoľko funkcií a volá mprotect raz na zmenu prístupových práv celej skupiny. Navrhnutý režim výrazne skracuje čas kompilácie (až o 44%) bez negatívneho vplyvu na výkon JavaScriptu.
- Vo verzii pre Android boli vypnuté vstavané mechanizmy ochrany proti útokom cez vedľajšie kanály, ako je Spectre, ktoré sa ukázali byť menej efektívne než izolácia stránok do samostatných procesov. V desktopovej verzii boli uvedené mechanizmy vypnuté už v vydaní Chrome 70. Vypnutie nadbytočných kontrol viedlo k zvýšeniu výkonu o 2-15%.
- Boli vykonané vylepšenia v nástrojoch pre webových vývojárov. V režime inšpekcie štýlových tabuliek bola umožnená úprava dopytov vytvorených pomocou výrazu @container. V režime inšpekcie siete bol zavedený náhľad zdrojov vo formáte Web bundle. V webovej konzole boli do kontextového menu pridané možnosti na kopírovanie riadkov vo forme JavaScriptových literálov alebo JSON. Zjednodušené bolo aj odhaľovanie chýb súvisiacich s CORS (Cross-Origin Resource Sharing).
Okrem nových funkcií a opravy chýb bola v novej verzii odstránená 27 zraniteľností. Mnohé z nich boli identifikované v dôsledku automatizovaného testovania nástrojmi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Neboli zistené žiadne kritické problémy, ktoré by umožnili obísť všetky úrovne ochrany prehliadača a vykonať kód v systéme mimo sandboxového prostredia. V rámci programu vyplácania finančných odmien za zistenie zraniteľností pre aktuálnu verziu spoločnosť Google vyplatila 19 odmien v celkovej výške 136500 dolárov (tri odmeny po 20000 dolárov, jedna odmena 15000 dolárov, tri odmeny po 10000 dolárov, jedna odmena 7500 dolárov, tri odmeny po 5000 dolárov a tri odmeny po 3000 dolárov). Výška 5 odmien zatiaľ nebola určená.
Zdroj: opennet.ru
