Vydanie Chrome 80

Google представила vydanie webového prehliadača Chrome 80... Súčasne k dispozícii stabilné vydanie bezplatného projektu Chróm, ktorý slúži ako základ prehliadača Chrome. Prehliadač Chrome odlišný používanie log Google, prítomnosť systému na odosielanie upozornení v prípade havárie, možnosť stiahnuť si Flash modul na požiadanie, moduly na prehrávanie chráneného video obsahu (DRM), systém na automatickú inštaláciu aktualizácií a prenos počas vyhľadávania parametre RLZ. Ďalšie vydanie prehliadača Chrome 81 je naplánované na 17. marca.

Hlavné zmeny в chróm 80:

• Pre malé percento používateľov sa ponúka funkcia zoskupovania kariet, ktorá umožňuje spojiť niekoľko kariet s podobným účelom do vizuálne oddelených skupín. Každej skupine je možné priradiť vlastnú farbu a názov. Používatelia, ktorí neboli zahrnutí do prvej vlny aktivácie, môžu povoliť podporu zoskupovania prostredníctvom možnosti „chrome://flags/#tab-groups“.
  

• Pridaná podpora pre túto funkciu Scroll-To-Text, ktorá vám umožňuje vytvárať odkazy na jednotlivé slová alebo frázy bez explicitného zadávania menoviek v dokumente pomocou značky „a name“ alebo vlastnosti „id“. Plánuje sa schválenie syntaxe takýchto odkazov ako webového štandardu, ktorý je zatiaľ v štádiu návrh. Prechodová maska ​​(v podstate rolovacie vyhľadávanie) je oddelená od bežnej kotvy atribútom „:~:“. Napríklad, keď otvoríte odkaz „https://opennet.ru/52312/#:~:text=Chrome“, stránka sa presunie na pozíciu s prvou zmienkou o slove „Chrome“ a toto slovo sa zvýrazní .
• Aplikované Prísnejšie obmedzenie prenosu súborov cookie medzi stránkami v prípade žiadostí iných ako HTTPS, ktoré zakazuje spracovanie súborov cookie tretích strán nastavených pri prístupe na iné stránky, než je doména aktuálnej stránky. Takéto súbory cookie sa používajú na sledovanie pohybu používateľov medzi stránkami v kóde reklamných sietí, widgetov sociálnych sietí a systémov webovej analýzy. Pripomeňme, že na riadenie prenosu súborov cookie sa používa atribút SameSite špecifikovaný v hlavičke Set-Cookie, ktorý je teraz štandardne nastavený na hodnotu „SameSite=Lax“, čo obmedzuje odosielanie súborov cookie pre čiastkové požiadavky medzi stránkami. , ako je žiadosť o obrázok alebo načítanie obsahu prostredníctvom prvku iframe z inej lokality. Stránky môžu prepísať predvolené správanie SameSite explicitným nastavením nastavenia Cookie na SameSite=None. Hodnotu SameSite=None pre Cookie je však možné nastaviť len v zabezpečenom režime (platí pre pripojenia cez HTTPS). Zmena sa začne postupne uplatniť 17. februára, spočiatku pre malé percento používateľov a potom sa postupne rozširuje pokrytie.
• Pridané ochrana pred nepríjemnými upozorneniami súvisiacimi s potvrdením prihlasovacích údajov. Keďže aktivity ako spamovanie žiadostí push notifikácie prerušujú používateľskú skúsenosť a odvádzajú pozornosť od dialógových okien s potvrdením, v prehliadači Chrome 80 sa teraz namiesto samostatného dialógového okna môže v paneli s adresou zobraziť informačný popis s upozornením, že žiadosť o povolenie bola zablokovaná, čo potom zrúti sa do indikátora s obrázkom preškrtnutého zvona. Kliknutím na indikátor môžete kedykoľvek aktivovať alebo odmietnuť požadované povolenie. Automaticky bude nový režim selektívne povolený pre používateľov, ktorí predtým zvyčajne takéto požiadavky blokovali, ako aj pre stránky, ktoré zaznamenávajú veľké percento zamietnutých žiadostí. Na povolenie nového režimu pre všetky požiadavky bola do nastavení pridaná špeciálna možnosť (chrome://flags/#quiet-notification-prompts).
  

• Zakázané zobrazovanie vyskakovacích okien (volanie metódy window.open()) a odosielanie synchrónnych požiadaviek XMLHttpRequests v obslužných nástrojoch udalostí zatvorenia alebo skrytia stránky (uvoľnenie, pred uvoľnením, skrytie stránky a zmena viditeľnosti);
• Navrhovaná iniciála Bezpečnosť z načítania zmiešaného multimediálneho obsahu (keď sa zdroje načítajú na stránku HTTPS prostredníctvom protokolu http://). Na stránkach otvorených cez HTTPS budú odkazy „http://“ teraz automaticky nahradené „https://“ v blokoch spojených s prehrávaním audio a video súborov. Ak zdroj zvuku alebo videa nie je dostupný cez https, jeho sťahovanie je zablokované (blokovanie môžete manuálne označiť cez ponuku prístupnú cez symbol visiaceho zámku v paneli s adresou).

  Obrázky sa budú naďalej načítavať nezmenené (v prehliadači Chrome 81 sa použije automatická oprava), ale na ich nahradenie obrázkami https alebo blokovaním majú vývojári stránok k dispozícii vlastnosti CSP upgrade-insecure-requests a block-all-mixed-content. Pre skripty a prvky iframe už bolo blokovanie zmiešaného obsahu implementované skôr.

• Postupne vypnutie podpora FTP. Štandardne je podpora FTP stále dostupná, ale bude uskutočnené experiment, v ktorom bude podpora FTP deaktivovaná pre určité percento používateľov (pre návrat budete musieť spustiť prehliadač s možnosťou „-enable-ftp“). Pripomeňme, že v predchádzajúcich vydaniach už bolo zakázané zobrazovanie obsahu zdrojov stiahnutých cez protokol „ftp://“ v okne prehliadača (napríklad zobrazovanie HTML dokumentov a súborov README bolo zastavené), používanie FTP bolo zakázané pri sťahovaní čiastkových zdrojov z dokumentov a podpora servera proxy bola pre FTP ukončená. Naďalej však bolo možné sťahovať súbory cez priame odkazy a zobrazovať obsah adresárov.
• Pridané
  možnosť použiť vektorové obrázky SVG ako ikonu stránky (favicon).

• Do nastavení pribudla možnosť selektívne zakázať určité typy prenášaných dát počas synchronizácie medzi prehliadačmi.
• Pribudlo pravidlo pre centrálne spravovaných podnikových používateľov BlockExternalExtensions, ktorý umožňuje zabrániť inštalácii externých doplnkov na zariadení.
• Implementovaná príležitosť jednorazová kontrola celého reťazca vlastností alebo volaní v JavaScripte. Napríklad pri prístupe „db.user.name.length“ bolo predtým potrebné skontrolovať definíciu všetkých komponentov krok za krokom, napríklad cez „if (db && db.user && db.user.name)“. Teraz pomocou operácie "?." k hodnote “db?.user?.name?.dĺžka” sa dostanete bez predbežných kontrol a takýto prístup nepovedie k chybe. V prípade problémov (ak je niektorý prvok spracovaný ako nulový alebo nedefinovaný)) bude výstup „nedefinovaný“.
• JavaScript zavádza nový logický operátor zreťazenia "??", ktorý vráti pravý operand, ak je ľavý operand NULL alebo nedefinovaný, a naopak. Napríklad „const foo = bar ?? 'predvolený reťazec'", ak je bar null, vráti hodnotu bar inak, aj keď bar je 0 a ' ', na rozdiel od operátora "||".
• V režime Origin Trials (experimentálne funkcie, ktoré vyžadujú samostatné aktivácia) navrhované Content Indexing API. Origin Trial znamená schopnosť pracovať so špecifikovaným API z aplikácií stiahnutých z localhost alebo 127.0.0.1, alebo po registrácii a prijatí špeciálneho tokenu, ktorý je platný na obmedzený čas pre konkrétnu stránku. API Indexovanie obsahu, poskytuje metadáta o obsahu, ktorý bol predtým uložený do vyrovnávacej pamäte webovými aplikáciami spustenými v režime progresívnych webových aplikácií (PWS). Aplikácia dokáže ukladať rôzne dáta na strane prehliadača, vrátane obrázkov, videí a článkov, a keď dôjde k strate sieťového pripojenia, použiť ju pomocou Cache Storage a IndexedDB API. Content Indexing API umožňuje pridávať, vyhľadávať a odstraňovať takéto zdroje. V prehliadači sa toto API už používa na vypísanie zoznamu stránok a multimediálnych údajov dostupných na offline prezeranie.
  

• Stabilizované a teraz distribuované mimo rozhrania Origin Trials API Kontaktujte Picker, čo umožňuje používateľovi vybrať položky z adresára a odoslať určité podrobnosti o nich na stránku. Požiadavka špecifikuje zoznam vlastností, ktoré je potrebné získať. Tieto vlastnosti sa explicitne zobrazia používateľovi, ktorý sa rozhodne, či tieto vlastnosti postúpi alebo nie. API je možné použiť napríklad vo webovom poštovom klientovi na výber adresátov pre odoslaný list, vo webovej aplikácii s funkciou VoIP na spustenie hovoru na konkrétne číslo alebo v sociálnej sieti na vyhľadávanie už zaregistrovaných priateľov . Zároveň sú v rámci Origin Trials ponúkané niektoré nové vlastnosti Contact Picker: okrem predtým dostupného celého mena, emailu a telefónneho čísla bola pridaná možnosť preniesť emailovú adresu a obrázok.
• In Web Workers navrhované nový spôsob načítania modulov ECMAScript, ktorý vám umožní vyhnúť sa používaniu funkcie importScripts(), ktorá blokuje pracovníka pri spracovaní importovaného skriptu a vykonáva ho v globálnom kontexte. Nová metóda zahŕňa vytvorenie špeciálnych modulov pre Web Workers, ktoré podporujú štandardné mechanizmy importu JavaScriptu a môžu byť načítané dynamicky bez blokovania vykonávania pracovníkov. Na načítanie modulov poskytuje konštruktor Worker nový typ prostriedku - 'modul':

  const worker = new Worker('worker.js', {
  typ: 'modul'
  });

• Implementovaná Vstavaná schopnosť JavaScriptu spracovať komprimované prúdy bez potreby použitia externých knižníc. Boli pridané API pre kompresiu a dekompresiu CompressionStream a DecompressionStream. Kompresia pomocou algoritmov gzip a deflate je podporovaná.

  const kompresiaReadableStream
  = inputReadableStream.pipeThrough(new CompressionStream('gzip'));

• Pridaná vlastnosť CSS "zalomenie riadku: kdekoľvek“, ktorý umožňuje prestávky na úrovni akéhokoľvek typografického znaku vrátane prestávok v blízkosti interpunkčných znakov vopred definovaných medzerami ( ) a uprostred slov. Tiež pridaná vlastnosť CSS "overflow-wrap: kdekoľvek» umožňuje prelomiť neprerušené sekvencie znakov kdekoľvek, ak sa v riadku nenašla vhodná pozícia pre prerušenie.
• Pre mediálny kontext spracovávaný v šifrovanej forme bola implementovaná podpora pre metódu MediaCapabilities.decodingInfo(), ktorá poskytuje informácie o možnostiach prehliadača na dekódovanie chráneného obsahu (túto metódu možno napríklad použiť na výber vysokokvalitných alebo energeticky efektívnych scenárov dekódovania na základe dostupnej šírky pásma a veľkosti obrazovky).
• Pridaná metóda HTMLVideoElement.getVideoPlaybackQuality(), prostredníctvom ktorého môžete získať informácie o výkone prehrávania videa na úpravu bitovej rýchlosti, rozlíšenia a ďalších parametrov videa.
• V API Správca platieb, ktorý zjednodušuje integráciu s existujúcimi platobnými systémami, pridal možnosť delegácie spracovanie adresných a kontaktných údajov externému spracovateľovi platobného systému (aplikácia platobného systému môže mať presnejšie informácie ako prehliadač).
• Pridaná podpora hlavičiek HTTP Sec-Fetch-Dest, ktorá vám umožňuje odoslať ďalšie metadáta o type obsahu súvisiaceho s požiadavkou (napríklad pre požiadavku prostredníctvom značky img je typ „obrázok“, pre písma – „font“, pre skripty – „script“, pre štýly - „štýl“ atď.). Na základe špecifikovaného typu môže server prijať opatrenia na ochranu pred určitými typmi útokov (napríklad je nepravdepodobné, že by odkaz na obsluhu pre prevod peňazí bol špecifikovaný prostredníctvom značky img, takže takéto požiadavky nie je potrebné byť spracované).
• V JavaScript engine V8 vykonaná optimalizácia ukladanie ukazovateľov na haldu. Namiesto uloženia celej 64-bitovej hodnoty sa uložia iba jedinečné spodné bity ukazovateľa. Táto optimalizácia umožnila znížiť spotrebu haldovej pamäte o 40 % za cenu zníženia výkonu o 3 – 8 %.
  
  

• zmeny v nástrojoch pre vývojárov webu:
  • Webová konzola má teraz možnosť predefinovať výrazy let a class.
    

  • Vylepšené nástroje na ladenie WebAssembly. Pridaná podpora TRPASLÍK na ladenie krok za krokom, zadávanie bodov prerušenia a analýzu stôp zásobníka v zdrojovom kóde, v ktorom je napísaná aplikácia WebAssembly.
    

  • Vylepšený panel na analýzu sieťovej aktivity. Pridaná možnosť zobraziť reťazec volaní skriptov spojených s inicializáciou požiadavky.
    

    Pridané nové stĺpce Cesta a URL, ktoré zobrazujú absolútnu cestu a úplnú adresu URL pre každý sieťový zdroj. Zabezpečí, že vybraný dotaz je zvýraznený v prehľadovom diagrame.

    

  • V záložke Podmienky siete pribudla možnosť zmeniť parameter User-Agent.
    

  • Na konfiguráciu panela auditu bolo navrhnuté nové rozhranie.
    

  • V záložke Krytie poskytuje možnosť zhromažďovania údajov o pokrytí pre každú funkciu alebo pre každý blok kódu (podrobnejšie štatistiky, ale vyžaduje si viac zdrojov).
    

• AppCache manifest action (technológia na organizáciu prevádzky webovej aplikácie v režime offline) obmedzený aktuálny adresár lokality (ak bol manifest stiahnutý z www.example.com/foo/bar/, potom možnosť prepísania adresy URL bude fungovať iba v /foo/bar/). V Chrome 82 sa plánuje úplné odstránenie podpory AppCache. Uvedeným dôvodom je túžba zbaviť sa jedného z vektorov útokov skriptovania medzi stránkami. Namiesto AppCache sa odporúča použiť API Cache.
• Prerušené podpora pre staršie API WebVR 1.1, ktoré môže byť nahradené API Zariadenie WebXR, ktorá umožňuje prístup ku komponentom na vytváranie virtuálnej a rozšírenej reality a zjednotenie práce s rôznymi triedami zariadení, od stacionárnych prilieb pre virtuálnu realitu až po riešenia založené na mobilných zariadeniach.
• Obslužné nástroje protokolov pripojené prostredníctvom metód registerProtocolHandler() a UnregisterProtocolHandler() môžu teraz fungovať iba v zabezpečenom kontexte (keď sa k nim pristupuje cez HTTPS).

Okrem inovácií a opráv chýb nová verzia odstraňuje 56 zraniteľností. Mnohé zo zraniteľností boli identifikované ako výsledok automatizovaného testovania pomocou nástrojov AddressSanitizer, MemorySanitizer, Kontrola integrity toku, LibFuzzer и AFL. Neboli identifikované žiadne kritické problémy, ktoré by umožnili obísť všetky úrovne ochrany prehliadača a spustiť kód v systéme mimo prostredia karantény. V rámci programu vyplácania peňažných odmien za objavenie zraniteľností v aktuálnom vydaní spoločnosť Google vyplatila 37 ocenení v hodnote 48 10000 USD (jedno ocenenie 5000 3000 USD, tri ocenenia 2000 1000 USD, tri ocenenia 500 17 USD, štyri ocenenia XNUMX XNUMX USD, tri ocenenia XNUMX XNUMX USD a šesť ocenení XNUMX USD). Veľkosť XNUMX odmien ešte nie je určená.

Zdroj: opennet.ru