Podjetje Google je predstavilo izid spletnega brskalnika Chrome 103. Hkrati je na voljo stabilna različica proste zasnove Chromium, ki služi kot osnova za Chrome. Brskalnik Chrome se od Chromium razlikuje po uporabi logotipov Google, sistemu za pošiljanje obvestil v primeru zrušitve, modulih za predvajanje zaščitenih videovsebin (DRM), sistemu samodejne namestitve posodobitev, stalni vključenosti Sandbox izolacije, dostavi ključev za Google API in posredovanju RLZ-parametrov pri iskanju. Za tiste, ki potrebujejo več časa za posodobitev, je posebej podprta veje Extended Stable, ki je spremljana 8 tednov. Naslednji izid Chrome 104 je načrtovan za 2. avgust.
Glavne novosti v Chrome 103:
- Dodano je eksperimentalno orodje za urejanje slik, ki se uporablja za urejanje posnetkov zaslona strani. Orodje omogoča funkcije, kot so obrezovanje, označevanje območja, risanje s čopičem, izbira barve, dodajanje besedilnih oznak ter risanje standardnih oblik in primitivi, kot so črte, pravokotniki, krogi in puščice. Za vključitev orodja je potrebno aktivirati nastavitve „chrome://flags/#sharing-desktop-screenshots“ in „chrome://flags/#sharing-desktop-screenshots-edit“. Po ustvarjanju posnetka zaslona preko menija Share v naslovni vrstici lahko v orodje preidete, če pritisnete gumb „Uredi“ na strani s predogledom posnetka zaslona.
- Razširjene so možnosti mehanizma predhodnega upodabljanja (prerender), dodanega v Chrome 101, za vsebino priporočil v naslovni vrstici Omnibox. Predhodno upodabljanje dopolnjuje prej na voljo možnost nalaganja najverjetnejših priporočil za prehod, brez čakanja na klik uporabnika. Poleg nalaganja lahko vsebina povezanih strani z priporočili zdaj tudi upodabljamo v predpomnilniku (vključno z izvajanjem skript in oblikovanjem DOM drevesa), kar omogoča takojšnjo predstavitev priporočil po kliku. Za upravljanje s predhodnim upodabljanjem so na voljo nastavitve „chrome://flags/#enable-prerender2“, „chrome://flags/#omnibox-trigger-for-prerender2“ in „chrome://flags/#search-suggestion-for-prerender2“.
V Chrome 103 za Android je dodan API Speculations Rules, ki omogoča avtorjem spletnih mest, da brskalniku posredujejo informacije o najbolj verjetnih straneh, na katere bi uporabnik lahko prešel. Brskalnik te informacije uporablja za predhodno nalaganje in upodabljanje vsebine strani.
- V različici za Android je vključen nov upravljalnik gesel, ki ponuja enoten vmesnik za upravljanje gesel, kot se uporablja za aplikacije za Android.
- V različico za Android je dodana podpora storitvi 'With Google', ki omogoča uporabnikom, da izražajo hvaležnost priljubljenim spletnim mestom, ki so se registrirala v storitvi, tako da prenašajo plačljive ali brezplačne digitalne nalepke. Storitev je trenutno na voljo le uporabnikom iz ZDA.
- Izboljšano je samodejno izpolnjevanje polj s številkami kreditnih in debetnih plačilnih kartic, pri čemer so zdaj podprte kartice, shranjene prek Google Pay.
- V različici za Windows je privzeto vključen vgrajeni DNS odjemalec, ki se uporablja tudi v različicah za macOS, Android in Chrome OS.
- Stabiliziran in ponujen vsem zainteresiranim je API Local Font Access, s pomočjo katerega lahko določite in uporabljate pisave, nameščene v sistemu, ter manipulirate s pisavami na nizki ravni (na primer, filtrirate in transformirate glife).
- Dodana je podpora za HTTP odgovor kode 103, ki omogoča obveščanje stranke o vsebini nekaterih HTTP glav po poizvedbi, ne da bi čakali, da strežnik izvrši vse s poizvedbo povezane operacije in začne predajati vsebino. Na podoben način je mogoče posredovati namige o elementih, povezanih z predajo strani, ki jih je mogoče predhodno naložiti (na primer, lahko so navedene povezave do CSS in JavaScript, ki se uporabljajo na strani). Ko brskalnik prejme informacije o takih virih, lahko začne njihovo nalaganje, ne da bi čakal na zaključek predaje glavne strani, kar omogoča zmanjšanje skupnega časa obdelave poizvedbe.
- V režimu Origin Trials (eksperimentalne funkcije, ki zahtevajo posebno aktivacijo) se je v zbirkah za platformo Android začelo testiranje API Federated Credential Management (FedCM), ki omogoča ustvarjanje združenih storitev identifikacije, ki zagotavljajo ohranjanje zasebnosti in delujejo brez mehanizmov za sledenje med spletnimi stranmi, kot je obdelava tretjih piškotkov. Origin Trial omogoča uporabo navedenega API-ja iz aplikacij, prenesenih z localhost ali 127.0.0.1, ali po registraciji in prejemu posebnega žetona, ki velja omejen čas za določen spletni naslov.
- V API Client Hints, ki se razvija kot nadomestek za glavo User-Agent in omogoča selektivno posredovanje podatkov o specifičnih parametrih brskalnika in sistema (različica, platforma itd.) le na zahtevo, serverom, je bila dodana možnost zamenjave v seznamu identifikatorjev brskalnika s fiktivnimi imeni, podobno mehanizmu GREASE (Generate Random Extensions And Sustain Extensibility) v TLS. Na primer, poleg ‘»Chrome»; v=»103″‘ in ‘»Chromium»; v=»103″‘ lahko v seznam dodamo naključni identifikator neobstoječega brskalnika ‘»(Not;Browser»; v=»12″‘. Takšna zamenjava bo omogočila odkrivanje težav pri obdelavi identifikatorjev neznanih brskalnikov, ki prisilijo alternativne brskalnike, da se pretvarjajo, da so drugi priljubljeni brskalniki, da bi se izognili preverjanju po seznamih dovoljenih brskalnikov.
- Datoteke v formatu slik AVIF so bile dodane na seznam dovoljenih za izmenjavo preko API iWeb Share.
- Dodana je podpora za format stiskanja ‘deflate-raw’, ki omogoča dostop do surove stisnjene naprave brez glav in pomožnih končnih blokov, kar se lahko uporabijo, na primer, za branje in pisanje zip-datotek.
- Za elemente spletnih obrazcev je zagotovljena možnost uporabe atributa ‘rel’, kar omogoča uporabo parametra ‘rel=noreferrer’ za onemogočitev pošiljanja glave Referer ali ‘rel=noopener’ za onemogočitev nastavitev lastnosti Window.opener in prepoved dostopa do konteksta, iz katerega je bil izveden prehod.
- Izvedba dogodka popstate je bila usklajevana z vedenjem Firefoxa. Dogodek popstate se zdaj generira takoj po spremembi URL, brez čakanja na pojavitev dogodka load.
- Za strani, ki so odprte brez HTTPS in iz blokov iframe, je prepovedan dostop do API Gampepad in API Battery Status.
- V objekt SerialPort je bila dodana metoda forget(), ki odrekla prejšnje odobritve uporabnika za dostop do serijskega vrat.
- V CSS lastnost overflow-clip-margin je dodan atribut visual-box, ki določa, od kje naj se začne obrezovanje vsebine, ki presega meje območja (lahko prevzame vrednosti content-box, padding-box in border-box).
- V blokih iframe z atributom sandbox je prepovedan klic zunanjih protokolov in zagon zunanjih aplikacijskih obdelovalnikov. Za odpravo omejitev je treba uporabiti lastnosti allow-popups, allow-top-navigation in allow-top-navigation-with-user-activation.
- Podpora za element je prenehala, saj je izgubil pomen po prenehanju podpore za vtičnike.
- Izboljšave so bile narejene v orodjih za spletne razvijalce. Na primer, v nadzorni plošči Styles je dodana možnost določanja barve točke zunaj okna brskalnika. Izboljšan je predogled vrednosti parametrov v odpravljalniku napak. Dodana je bila možnost spreminjanja zaporedja panelov v vmesniku Elements.
Poleg novosti in popravkov napak je v novi različici odpravljeno 14 ranljivosti. Mnoge ranljivosti so bile odkrite z avtomatiziranim testiranjem z orodji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer in AFL. Ena od težav (CVE-2022-2156) je bila dodeljena kritični ravni nevarnosti, ki omogoča obhod vseh ravni zaščite brskalnika in izvajanje kode v sistemu zunaj sandbox okolja. Podrobnosti o tej ranljivosti zaenkrat niso razkrite, znano pa je, da je povzročena z dostopom do sproščenega bloka pomnilnika (use-after-free).
V okviru programa za izplačilo denarnih nagrad za odkrivanje ranljivosti je podjetje Google za trenutno različico izplačalo 9 nagrad v skupni vrednosti 44 tisoč ameriških dolarjev (ena nagrada $20000, ena nagrada $7500, ena nagrada $7000, dve nagradi $3000 in po ena nagrada v $2000, $1000 in $500). Višina nagrade za kritično ranljivost zaenkrat še ni določena.
Izvor: opennet.ru
