Uvoľnenie Chrome 119

Spoločnosť Google vydala verziu webového prehliadača Chrome 119. Súčasne je k dispozícii stabilná verzia voľného projektu Chromium, ktorý je základom pre Chrome. Prehliadač Chrome sa od Chromia líši používaním loga Google, systémom zasielania upozornení v prípade havárie, modulmi na prehrávanie chráneného videobsahu (DRM), systémom automatického inštalovania aktualizácií, trvalým zapnutím izolácie Sandbox, poskytovaním kľúčov k Google API a prenosom RLZ-parametrov pri vyhľadávaní. Pre tých, ktorí potrebujú viac času na aktualizáciu, je samostatne podporovaná vetva Extended Stable, ktorá je sprevádzaná 8 týždňami. Nasledujúce vydanie Chrome 120 je naplánované na 5. decembra.

Hlavné zmeny v Chrome 119:

• Znížil sa cyklus vydávania verzií, pričom sa skrátil čas medzi vytvorením novej vetvy a začiatkom beta testovania — beta verzia sa teraz vytvára dva dni po vytvorení vetvy, a nie po 8 dňoch. Stabilizácia beta verzie sa ako obvykle uskutočňuje počas 4 týždňov. Tým sa cyklus prípravy nových vydaní skrátil o týždeň.
• Poskytla sa možnosť uloženia skupín kariet. Používateľ teraz môže uložiť skupinu a zatvoriť karty, ktoré obsahuje, aby nezaberali zdroje. Následne, keď nastane potreba, je možné vrátiť karty zo zloženej skupiny a taktiež ich otvoriť na iných zariadeniach, ktoré sa zúčastňujú na synchronizácii kariet. Možnosť je aktivovaná pre časť používateľov, pre nútené aktivovanie je určená nastavenie „chrome://flags/#tab-groups-save“.
• V rozhraní boli zmenené formulácie operácií a nastavení, ktoré súvisia s odstraňovaním a stratou dát. Namiesto termínu „vyčistenie“ (Clear) sa v podobných operáciách teraz používa slovo „odstránenie“ (Delete), pretože slovo „vyčistenie“ nebolo niektorými používateľmi vnímané ako znak nezvratnej straty dát.
• Pri automatickom doplňovaní URL sa teraz berú do úvahy akékoľvek kľúčové slová, ktoré boli predtým použité na vyhľadávanie webovej stránky, a nie len slová, ktoré sa zhodujú so začiatkom adresy. Napríklad automatické doplňovanie adresy „https://www.google.com/travel/flights“ sa spustí nielen pri zadávaní slova „google“, ale aj pri zadaní „flights“.
• Bola implementovaná automatická oprava preklepov pri zadávaní adresy webovej stránky a poskytnuté relevantné návrhy, pričom sa zohľadňujú stránky, ktoré používateľ predtým navštívil. Napríklad pri zadaní „youutube“ sa navrhne otvoriť YouTube.com.
• Poskytla sa možnosť vyhľadávania v sekciách záložiek prostredníctvom adresného riadka. Napríklad pri zadaní názvu sekcie záložiek, Chrome navrhne odkazy z tejto sekcie, ktoré zodpovedajú zadanému kľúčovému slovu. Napríklad pri zadaní „cestovanie 2023 New“ budú navrhnuté odkazy zo sekcie záložiek „cestovanie 2023“, súvisiace s New Yorkom.
• Bola implementovaná funkcia odporúčaní populárnych stránok, aj keď sa používateľ predtým na niektoré z nich nedostal alebo urobil chybu pri zadávaní URL. Napríklad, keď používateľ, ktorý sa snažil otvoriť Google Earth, začal písať „googleear“ bez presného adresy, prehliadač navrhne prechod na earth.google.com.
• V Chrome pre desktopové systémy bola zlepšená čitateľnosť informácií v adresnom riadku a zvýšená reakcia rozhrania - výsledky sa teraz zobrazujú ihneď po začatí písania v adresnom riadku.
• V súlade so zmenou špecifikácie API Fetch bola zabezpečená eliminácia HTTP hlavičky Authorization pri presmerovaní na iný domén (cross origin).
• V nastaveniach upozornení a určovania polohy bola pridaná možnosť na aktiváciu služby automatického potláčania žiadostí o potvrdenie oprávnení (Permission Suggestions Service). Na výber sú navrhnuté režimy:
  • vždy zobrazovať žiadosti o získanie oprávnení na zobrazenie upozornení a prístup k polohe;
  • automaticky ignorovať spamové žiadosti o oprávnenia, pomocou mechanizmu Permission Suggestions Service;
  • vždy ignorovať všetky žiadosti o zobrazenie upozornení;
  • vždy blokovať všetky žiadosti o získanie oprávnení na zobrazenie upozornení a prístup k polohe.
• V zostavách pre platformu Android pri povolení štandardnej ochrany prehliadača (Safe Browsing > Standard protection) sa v reálnom čase vykonáva kontrola bezpečnosti otvorených URL, na základe odosielania na servery Google čiastkových hashov otvorených používateľom URL. Pre vylúčenie zhodnosti IP adresy Používateľské a hash dáta sa prenášajú prostredníctvom medziľahlého proxy. Predtým sa overovanie vykonávalo pomocou nahrania lokálnej kópie zoznamu nebezpečných URL do systému používateľa. Nová schéma umožňuje rýchlejšie blokovanie škodlivých URL. Pre stolné systémy bol tento režim zahrnutý v predchádzajúcej verzii.
• Escaping non-alphanumeric characters in the hostname when calling the URL function is aligned with the updated specification. For instance, calling the function 'URL("http://exa(mple.com;")' previously returned 'http://example.com/', but now it will output an error 'Invalid URL'.
• Na všetky predtým uložené Cookie sa uplatňuje obmedzenie času existencie, podobné tomu, ktoré sa uplatňuje od verzie Chrome 104 pre nové a aktualizované Cookie. Pre existujúce Cookie sa doba existencie zníži na 400 dní od publikovania vydania Chrome 119.
• V CSS sú navrhnuté nové pseudo-klasifikácie ‘:user-valid’ a ‘:user-invalid’, ktoré predstavujú prvky formulárov, ktorých hodnoty prešli alebo neprešli overením. Na rozdiel od ‘:valid’ a ‘:invalid’ nové pseudo-klasifikácie sa spúšťajú len po interakcii používateľa s prvkom formulára.
• Pri nastavovaní farieb v CSS je povolené určovanie hodnôt, ktoré sa počítajú vzhľadom na iné parametre farby. Napríklad pri uvedení ‘oklab(from magenta calc(l * 0.8) a b)’ bude získaná farba o 80 % svetlejšia ako purpurová.
• Do CSS vlastnosti clip-path, ktorá umožňuje obmedziť viditeľnosť prvku na určitú oblasť, bola pridaná podpora hodnoty na definovanie ľubovoľnej oblasti na orezávanie. Taktiež je poskytnutá možnosť používať funkcie xywh() a rect() na zjednodušenie definovania obdĺžnikových alebo zaoblených oblastí.
• Podpora API WebSQL bola vypnutá, namiesto ktorého sa odporúča používať API Web Storage a Indexed Database. WebSQL handler vychádzal z kódu knižnice SQLite. API WebSQL nebolo podporované v iných prehliadačoch, bolo viazané na API vonkajšej knižnice a zvyšovalo riziko bezpečnostných problémov (WebSQL mohlo byť zneužité útočníkmi na vyťažovanie zraniteľností v SQLite). Na obnovenie podpory WebSQL pre firemných používateľov zostala politika WebSQLAccess, ktorá bude odstránená v Chrome 123.
• API HTML Sanitizer, ktorý umožňuje vystrihnúť z obsahu prvky ovplyvňujúce zobrazenie a vykonávanie pri výstupe cez metódu setHTML(), bol dočasne odstránený. API bolo navrhnuté na vystrihovanie HTML značiek, ktoré môžu byť použité na vykonávanie XSS útokov. Dôvodom odstránenia je neúplnosť špecifikácie, ktorá sa od pridania Sanitizeru do Chrome výrazne zmenila. Po dokončení špecifikácie bude API vrátené.
• Nekonvenčný atribút shadowRoot, ktorý umožňuje z vlastných prvkov pristupovať k svojmu samostatnému koreňu v Shadow DOM, bol odstránený. Namiesto shadowRoot bol v Chrome 111 navrhnutý atribút shadowRootMode, ktorý sa stal súčasťou webového štandardu.
• The implementation of the HTML element '' has been improved, which resembles 'iframe' and also allows embedding third-party content on the page. The differences are related to restricting the interaction of the embedded content with the page's content at the DOM and attribute level. For example, a news.example page that embeds an advertisement block from shoes.example using fencedframe cannot access the data from shoes.example, and conversely, the code from shoes.example cannot access data related to news.example. The new version adds support for the Protected Audience API macro substitutions for ad block sizes, such as 'https://ad.com?width={/_WIDTH%}&height={/_HEIGHT%}'.
• Do metódy getDisplayMedia() bol pridaný parameter monitorTypeSurfaces, ktorý je možné použiť na zakázanie zdieľania celého obrazovky.
• Do metódy window.open() bol pridaný experimentálny (origin trial) parameter fullscreen, ktorý umožňuje otvoriť okno priamo v režime celej obrazovky.
• Do API AudioEncoderConfig bol pridaný príflag „bitrateMode“ na výber medzi konštantným (constant) a variabilným (variable) bitrate.
• TLS zahŕňa implementáciu mechanizmu enkapsulácie kľúčov (KEM, Key Encapsulation Mechanism), ktorý využíva hybridný algoritmus X25519Kyber768 odolný voči útokom kvantových počítačov. Na vytváranie relácie kľúčov používaných na šifrovanie údajov v rámci TLS spojení sa teraz môže použiť kombinácia mechanizmu výmeny kľúčov X25519, založeného na eliptických krivkách a aktuálne využívaného v TLS, s algoritmom Kyber-768, ktorý využíva metódy kryptografie založenej na riešení úloh teórie mriežok, kde čas riešenia nie je rozdielny na bežných a kvantových počítačoch.
• Predvolene je zapnutá podpora rozšírenia WasmGC, ktoré uľahčuje portovanie programov do WebAssembly napísaných v programovacích jazykoch s garbage collectorom (Kotlin, PHP, Java a pod.). WasmGC pridáva nové typy štruktúr a polí, pre ktoré je možné aplikovať nerovnomernú správu pamäte.
• Boli vykonané vylepšenia v nástrojoch pre webových vývojárov. Pridaná možnosť úpravy pravidiel CSS „@property“ a výstup varovaní pri ich nesprávnom určení. Aktualizovaný zoznam emulovaných zariadení (napríklad pridané iPhone 14 a Pixel 7). V webovej konzole bolo implementované automatické doplnenie súkromných polí. Zabezpečené formátovanie údajov JSON umiestnených vo vnútri blokov

Okrem noviniek a opravy chýb v novej verzii bolo odstránených 15 zraniteľností. Mnohé z zraniteľností boli zistené prostredníctvom automatizovaného testovania nástrojmi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Kritické problémy, ktoré umožňujú obísť všetky úrovne ochrany prehliadača a vykonať kód v systéme mimo sandboxového prostredia, neboli zistené. V rámci programu vyplácania odmien za objavenie zraniteľností spoločnosť Google vyplatila 13 odmien v celkovej hodnote 40,5 tisíc dolárov (jedna odmena vo výške 16 000 dolárov, 11 000 dolárov, 2 000 dolárov a 500 dolárov, tri odmeny po 3 000 dolárov a dve odmeny po 1 000 dolárov). Výška 4 odmien zatiaľ nebola určená.

Zdroj: opennet.ru