Izdanje Chrome 93

Podjetje Google je predstavilo izdajo spletnega brskalnika Chrome 93. Hkrati je na voljo stabilna različica prostega projekta Chromium, ki je osnova za Chrome. Brskalnik Chrome se razlikuje po uporabi logotipov Google, obstoju sistema za pošiljanje obvestil v primeru zrušitve, modulih za predvajanje zaščitenega videoinformacijskega vsebine (DRM), sistemu za samodejno nameščanje posodobitev in prenosu RLZ-parametrov ob iskanju. Naslednja izdaja Chrome 94 je načrtovana za 21. september (razvoj je bil premeščen na 4-tedenski cikel oblikovanja izdaj).

Glavne spremembe v Chrome 93:

• Izvedena je bila modernizacija oblikovanja blokov z informacijami o strani (page info), v katerem je bila uvedena podpora za vgrajene bloke, medtem ko so bile spustne sezname s pravicami dostopa zamenjane s stikali. V seznamih je zagotovo izpisana najpomembnejša informacija na prvem mestu. Sprememba ni vključena za vse uporabnike, za aktivacijo pa se lahko uporabi nastavitev «chrome://flags/#page-info-version-2-desktop».
• Za majhen odstotek uporabnikov je kot eksperiment indikator zaščitene povezave v naslovni vrstici zamenjan z bolj neutralnim in brez dvoumnih razlag simbolom (ključavnica je zamenjana s znamenjem «V»). Za povezave, vzpostavljene brez šifriranja, se še naprej prikazuje indikator «ni zaščiteno». Kot razlog za zamenjavo indikatorja se navaja, da mnogi uporabniki simbol ključa povezujejo s tem, da je vsebini spletne strani mogoče zaupati, in ne dojemajo tega kot znak šifriranja povezave. Sodeč po ankieti Google le 11% uporabnikov razume pomen ikone s ključno ključavnico.
• Na seznamu nedavno zaprtih zavihkov je zagotovljen prikaz vsebine zaprtih skupin zavihkov (prej se je v seznamu preprosto prikazalo ime skupine brez podrobnosti vsebine) z možnostjo, da vrnete bodisi celo skupino bodisi posamezne zavihke iz skupine. Možnost je aktivirana ne za vse uporabnike, zato je za vključitev morda potrebna sprememba nastavitve «chrome://flags/#tab-restore-sub-menus».
• Za podjetja so bili uvedeni novi nastavitvi DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites in JavaScriptJitBlockedForSites, ki omogočajo upravljanje z načinom JIT-less, ki onemogoča uporabo JIT-kompilacije pri izvajanju JavaScript (uporablja se samo interpreter Ignition) in prepoveduje dodeljevanje izvajalne pomnilnika med izvajanjem kode. Onemogočanje JIT-a je lahko koristno za povečanje varnosti pri delu s potencialno nevarnimi spletnimi aplikacijami, vendar na račun zmanjšanja učinkovitosti izvajanja JavaScript za približno 17%. Zanimivo je, da je podjetje Microsoft šlo še dlje in v brskalniku Edge uvedlo eksperimentalni način „Super Duper Secure“, ki uporabniku omogoča onemogočanje JIT-a in aktiviranje sredstev zaščite, ki niso združljiva z JIT, kot so CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) in CFG (Control Flow Guard) za procese, ki obdelujejo spletno vsebino. Če se bo eksperiment izkazal za uspešnega, lahko pričakujemo prenos v glavno različico Chrome-a.
• Na strani novega zavihka je omogočeno prikazovanje seznama najbolj iskanih dokumentov, shranjenih v Google Drive. Vsebina seznama ustreza razdelku Priority na drive.google.com. Za upravljanje prikaza vsebine Google Drive lahko uporabite nastavitve „chrome://flags/#ntp-modules“ in „chrome://flags/#ntp-drive-module“.
• Na strani za odpiranje novega zavihka so predstavljene nove informacijske kartice, ki pomagajo najti nedavno ogledano vsebino in povezane informacije. Kartice so zasnovane za poenostavitev nadaljevanja dela z informacijami, katere ogled je bil prekinjen; kartice bodo pomagale najti recept jedi, ki je bila nedavno najdena na spletu, a izgubljena po zaprtju strani, ali nadaljevati z izbiro nakupov v trgovinah. Kot eksperiment so uporabnikom na voljo dve novi kartici: „Recepti“ (chrome://flags/#ntp-recipe-tasks-module) za iskanje kuharskih receptov in prikaz nedavno ogledanih receptov; „Nakupi“ (chrome://flags/#ntp-chrome-cart-module) za opomnike o izbranih izdelkih v spletnih trgovinah.
• V različico za platformo Android je dodana opcijska podpora za ploščo neprekinjenega iskanja (chrome://flags/#continuous-search), ki omogoča, da so nedavni rezultati iskanja v Googleu vedno na voljo (plošča še naprej prikazuje rezultate po preklopu na druge strani).
• V različici za platformo Android je dodan eksperimentalni način izmenjave citatov (chrome://flags/#webnotes-stylize), ki omogoča, da shranite izbran del strani kot citat in ga delite z drugimi uporabniki.
• Ob objavi novih dodatkov ali posodobitev različic v Chrome Web Store je zdaj obvezna uporaba dvofaktorske avtentifikacije za razvijalce.
• Uporabnikom Google Računa je na voljo možnost shranjevanja informacij o plačilih v svojem Google Računu.
• V incognito načinu, v primeru aktivacije možnosti čiščenja podatkov o brskanju, je uveden nov potrdilni dialog, ki pojasnjuje, da bo čiščenje podatkov povzročilo zaprtje okna in končanje vseh sej v incognito načinu.
• Zaradi odkritih nezdružljivosti z različicami programske opreme nekaterih naprav je začasno onemogočena podpora za nov način usklajevanja ključev, odporen proti poskusom s kvantnimi računalniki, uveden v Chromu 91, ki temelji na uporabi razširitve CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) v TLSv1.3, ki združuje klasičen mehanizem izmenjave ključev X25519 s shemo HRSS, zasnovano na algoritmu NTRU Prime, razvitim za postkvantne kriptografske sisteme.
• Na seznam prepovedanih omrežnih priključkov so dodani priključki 989 (ftps-data) in 990 (ftps) z namenom blokiranja napada ALPACA. Prej so bili v okviru zaščite pred napadom NAT slipstreaming že blokirani priključki 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 in 10080.
• V TLS je prenehana podpora šifram, ki temeljijo na algoritmu 3DES. Zlasti je bila odstranjena šifrirna zbirka TLS_RSA_WITH_3DES_EDE_CBC_SHA, ki je bila ranljiva na napad Sweet32.
• Podpora za distribucijo Ubuntu 16.04 je prenehana.
• Omogočena je uporaba API-ja WebOTP med različnimi napravami, povezanimi preko skupnega Google Računa. WebOTP omogoča spletnim aplikacijam, da berejo enkratne kode za potrditev, poslane prek SMS-a. Predlagana sprememba omogoča, da se potrdila na mobilni napravi s Chrome-om za Android, uporabi na namiznem sistemu.
• API User-Agent Client Hints je razširjen in se razvija kot zamenjava za glavo User-Agent. User-Agent Client Hints omogoča selektivno dostavljanje podatkov o specifičnih lastnostih brskalnika in sistema (različica, platforma itd.) le na zahtevo. serveromUporabnik lahko določi, katere informacije lahko posreduje lastnikom spletnih mest. Ko se uporablja User-Agent Client Hints, se identifikator brskalnika ne prenese brez izrecnega zahtevka, privzeto pa so navedeni le osnovni parametri, kar otežuje pasivno identifikacijo.

  V novi različici je bila uvedena podpora za parameter Sec-CH-UA-Bitness za vračanje podatkov o razbitosti platforme, kar se lahko uporablja za predajo optimiziranih binarnih datotek. Privzeto je zagotovljeno pošiljanje parameter Sec-CH-UA-Platform s splošnimi podatki o platformi. V vrednosti UADataValues, ki se vrne pri klicu getHighEntropyValues(), privzeto vrnemo splošne parametre, če ni mogoče vrniti podrobnejše različice. V objekt NavigatorUAData je dodana metoda toJSON, kar omogoča uporabo konstrukcij, kot je JSON.stringify(navigator.userAgentData).

• Stabilizirana in privzeto predlagana možnost pakiranja virov v pakete v formatu Web Bundle, primernem za organizacijo bolj učinkovitega nalaganja velikega števila povezanih datotek (CSS slogi, JavaScript, slike, iframe). Med pomanjkljivostmi obstoječe podpore za pakete za datoteke JavaScript (webpack), ki jih poskušajo odpraviti v Web Bundle: v HTTP predpomnilniku se lahko zadrži sam paket, vendar ne njegove sestavne dele; kompilacija in izvajanje se lahko začneta šele po popolnem nalaganju paketa; dodatni viri, kot so CSS in slike, morajo biti kodirani v obliki JavaScript nizov, kar povečuje velikost in izvedbo še ene faze razčlenitve.
• Vključen je API WebXR Plane Detection, ki zagotavlja informacije o ravnih površinah v virtualnem 3D okolju. Ta API omogoča izogibanje obdelavi podatkov, pridobljenih preko klica MediaDevices.getUserMedia(), z uporabo lastnih implementacij algoritmov računskega vida. Spomnimo, da API WebXR omogoča enotno delovanje z različnimi razredi naprav virtualne resničnosti, od stacionarnih 3D očal do rešitev na osnovi mobilnih naprav.
• V načinu Origin Trials (eksperimentalne možnosti, ki zahtevajo ločeno aktivacijo) so dodani nekateri novi API-ji. Origin Trial pomeni možnost dela z določenim API-jem iz aplikacij, naloženih z localhost ali 127.0.0.1, ali po registraciji in pridobitvi posebnega žetona, ki deluje omejen čas za določeno spletno mesto.
  • Predlagan je API Multi-Screen Window Placement, ki omogoča postavitev okvirov na katerem koli zaslonu, priključenem na trenutni sistem, ter shranjevanje pozicije okna in po potrebi povečanje okna na celozaslonski način. Na primer, s pomočjo navedenega API-ja lahko spletna aplikacija za prikaz predstavitev organizira prikaz diapozitivov na enem zaslonu, medtem ko prikazuje opombe za govornika na drugem.
  • V glavi Cross-Origin-Embedder-Policy, ki upravlja način izolacije Cross-Origin in omogoča določanje pravil za varno uporabo privilegiranih operacij na strani, je bila dodana podpora za parameter 'credentialless' za onemogočanje prenosa informacij, povezanih s podatki za prijavo, kot so piškotki in odjemalski certifikati.
  • Za ločeno nameščene spletne aplikacije (PWA, Progressive Web Apps), ki upravljajo s prikazom vsebine okna in obdelavo vnosa, je na voljo prekrivni element z nadzornimi elementi okna, kot so območje z naslovom in gumbi za povečanje/minimiziranje okna. Prekrivni element razširi dostopno območje za spremembe na celotno okno in omogoča dodajanje lastnih elementov v območje naslova.
  • Dodana je možnost ustvarjanja PWA-aplikacij, ki jih je mogoče uporabiti kot obdelovalnike URL. Na primer, aplikacija music.example.com lahko registrira sebe kot obdelovalnik URL https://*.music.example.com in vse preusmeritve iz zunanjih aplikacij na te povezave, na primer iz sporočilnikov in e-poštnih odjemalcev, bodo pripeljale do odprtja te PWA-aplikacije namesto nove zavihke v brskalniku.
• Opravljena je možnost nalaganja CSS-dokumentov s pomočjo izraza 'import', na enak način kot nalaganje JavaScript modulov, kar je priročno pri ustvarjanju lastnih elementov in omogoča, da se izognemo dodeljevanju stilov s kodo v JavaScript. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Na voljo je nova statična metoda AbortSignal.abort(), ki vrača objekt AbortSignal, pri katerem je že nastavljen parameter aborted. Namesto več vrstic kode za ustvarjanje objekta AbortSignal v stanju aborted je zdaj mogoče uporabiti eno vrstico 'return AbortSignal.abort()'.
• V element Flexbox je bila dodana podpora za ključne besede start, end, self-start, self-end, left in right, ki dopolnjujejo ključne besede center, flex-start in flex-end z orodji za poenostavljeno poravnavo položaja flex- elementov.
• V konstruktoru Error() je dodana nova opcionalna značajka „cause“, koja omogućava lako povezivanje grešaka. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• Značajka HTMLMediaElement.controlsList sada podržava način noplaybackrate, koji omogućava isključivanje elemenata korisničkog sučelja u pregledniku za promjenu brzine reprodukcije multimedijalnog sadržaja.
• Dodana je zaglavlje Sec-CH-Prefers-Color-Scheme, koje omogućava slanje podataka o preferiranoj shemi boja koju korisnik koristi u medijskim upitima „prefers-color-scheme“ u trenutku slanja zahtjeva, što će omogućiti web stranicama da optimiziraju učitavanje CSS-a povezanog s izabranom shemom i izbjegnu vidljive prelaze s drugih shema.
• Dodana je značajka Object.hasOwn, koja predstavlja pojednostavljenu verziju Object.prototype.hasOwnProperty, implementiranu kao statička metoda. Object.hasOwn({ prop: 42 }, 'prop') // → true
• U JIT kompajleru Sparkplug, koji je namijenjen vrlo brzoj izvršnoj gruboj kompilaciji, dodat je način grupnog izvršenja operacija, koji smanjuje troškove prebacivanja stranica u memoriji između režima pisanja i izvršenja. Sparkplug sada kompajlira više funkcija odjednom i poziva mprotect jednom za promjenu prava pristupa cijeloj grupi. Ovaj predloženi način značajno smanjuje vrijeme kompilacije (do 44%) bez negativnog utjecaja na performanse izvršavanja JavaScripta.
• U verziji za Android isključeni su ugrađeni u V8 motor mehanizmi zaštite od napada putem bočnih kanala, poput Spectre, koji su priznati kao manje efikasni od izolacije web stranica u zasebnim procesima. U radnoj verziji ovi mehanizmi su isključeni još u izdanju Chrome 70. Isključivanje nepotrebnih provjera omogućilo je povećanje performansi od 2-15%.
• Unaprijeđeni su alati za web razvijače. U režimu inspekcije stilskih tablica omogućeno je uređivanje upita generiranih pomoću izraza @container. U načinu inspekcije mreže implementiran je pregled resursa u formatu Web bundle. U web konzoli dodane su opcije u kontekstualni izbornik za kopiranje redaka u obliku JavaScript ili JSON literala. Olakšano je otklanjanje grešaka povezanih s CORS-om (Cross-Origin Resource Sharing).

Poleg novih funkcij in odprave napak v novi različici je bilo odprtih 27 ranljivosti. Mnoge od ranljivosti so bile odkrite z avtomatiziranim testiranjem z orodji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer in AFL. Kritične težave, ki bi omogočile obvoz vseh ravni zaščite brskalnika in izvajanje kode v sistemu zunaj peskovnika, niso bile odkrili. V okviru programa za nagrade za odkrivanje ranljivosti je podjetje Google v tej različici izplačalo 19 nagrad v skupni vrednosti 136500 dolarjev (tri nagrade po 20000 dolarjev, ena nagrada po 15000 dolarjev, tri nagrade po 10000 dolarjev, ena nagrada po 7500 dolarjev, tri nagrade po 5000 dolarjev in tri nagrade po 3000 dolarjev). Višina 5 nagrad še ni določena.

Izvor: opennet.ru