Utgåvan av Chrome 91

Google har släppt utgåvan av webbläsaren Chrome 91. Samtidigt finns en stabil version av det fria projektet Chromium tillgänglig, som utgör grunden för Chrome. Webbläsaren Chrome kännetecknas av användning av Googles logotyper, ett system för att skicka meddelanden vid krasch, moduler för uppspelning av skyddat videoinnehåll (DRM), ett automatiskt uppdateringssystem och överföring av RLZ-parametrar vid sökning. Nästa version av Chrome 92 är planerad till den 20 juli.

Huvudsakliga förändringar i Chrome 91:

• Möjlighet att pausa JavaScript-utförande i neddragna flikgrupper har införts. I Chrome 85 introducerades stöd för att gruppera flikar i grupper, som kan kopplas till en viss färg och etikett. När man klickar på etiketten för gruppen minimeras de anslutna flikarna och istället visas en etikett (ett ytterligare klick på etiketten expanderar gruppen). I den nya versionen, för att minska CPU-belastningen och spara energi, har aktiviteten i neddragna flikar pausa. Undantag görs endast för flikar som spelar upp ljud, använder API:et Web Locks eller IndexedDB, har en anslutning till en USB-enhet, eller fångar video, ljud eller innehåll från fönster. Ändringen kommer att införas gradvis, som börjar med en liten procentandel av användarna.
• Stöd för en nyckelutbytesmetod som är motståndskraftig mot kvantdatorer har införts. Kvantdatorer löser uppgiften att bryta ner naturliga tal i primtalsfaktorer, som ligger till grund för moderna asymmetriska krypteringsalgoritmer, avsevärt snabbare och är effektivt olösligt på klassiska processorer. För användning i TLSv1.3 finns en plugin CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2), som kombinerar den klassiska nyckelutbytesmetoden X25519 med HRSS-schemat, baserat på NTRU Prime-algoritmen, utvecklad för postkvantkryptosystem.
• Stödet för protokollen TLS 1.0 och TLS 1.1 har helt upphört, som IETF (Internet Engineering Task Force) har klassificerat som föråldrade. Möjligheten att återvända till TLS 1.0/1.1 genom att ändra policyn SSLVersionMin har också tagits bort.
• I Linux-versioner ingår användningen av läget "DNS över HTTPS" (DoH, DNS over HTTPS), som tidigare har gjorts tillgängligt för användare av Windows, macOS, ChromeOS och Android. DNS-over-HTTPS kommer att aktiveras automatiskt för användare vars inställningar anger DNS-leverantörer som stöder denna teknik (för DNS-over-HTTPS används samma leverantör som användes för DNS). Till exempel, om en användare har angett DNS 8.8.8.8 i sina systeminställningar, kommer DNS-over-HTTPS-tjänsten från Google ("https://dns.google.com/dns-query") att aktiveras i Chrome. Om DNS är 1.1.1.1 kommer DNS-over-HTTPS-tjänsten från Cloudflare ("https://cloudflare-dns.com/dns-query") att aktiveras och så vidare.
• Port 10080, som används av Amanda backup och VMWare vCenter, har lagts till på listan över förbjudna nätverksportar. Tidigare har portar 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 och 6566 blockerats. För portar i svarta listan blockeras skickandet av HTTP-, HTTPS- och FTP-begärningar för att skydda mot NAT slipstreaming-attacker, som gör det möjligt att etablera en nätverksanslutning från en angripares server till valfri UDP- eller TCP-port i användarens system när en speciellt förberedd webbsida öppnas i webbläsaren, trots användningen av interna adressintervall (192.168.x.x, 10.x.x.x).
• Funktionen för att automatiskt starta fristående webbapplikationer (PWA — Progressive Web Apps) vid inloggning av användaren har erbjudits (Windows och macOS). Automatisk start kan konfigureras på sidan chrome://apps. Funktionaliteten testas för närvarande på en liten procent av användarna och kräver aktivering av inställningen "chrome://flags/#enable-desktop-pwas-run-on-os-login" för övriga.
• I arbetet med att förändra webbläsarens terminologi till inkluderande språk har filen "master_preferences" bytt namn till "initial_preferences". För att säkerställa bakåtkompatibilitet kommer stödet för "master_preferences" att finnas kvar i webbläsaren under en tid. Tidigare har webbläsaren redan avskaffat användningen av termerna "whitelist", "blacklist" och "native".
• I det utökade skyddsläget för farliga webbplatser (Enhanced Safe Browsing) aktiveras ytterligare kontroller för att skydda mot phishing, skadlig verksamhet och andra hot på webben, med möjligheten att skicka nedladdade filer för kontroll på Googles sida. Dessutom har Enhanced Safe Browsing implementerat spårning av tokens kopplade till Google-kontot när phishingförsök upptäcks, samt skickar värdena för Referrer-headern till Googles servrar för kontroll av genomsläpp från en skadlig webbplats.
• I versionen för Android-plattformen har utformningen av webblanketter förbättrats, vilket har optimerats för användning på pekskärmar och system för personer med funktionsnedsättning (utformningen för skrivbordssystemen gjordes om i Chrome 83). Målet med omarbetningen var att enhetliggöra utformningen av formulärelement och eliminera stilmässiga inkonsekvenser - tidigare var vissa formulärelement utformade enligt gränssnittselementen i operativsystemen, medan andra följde de mest populära stilarna. Detta ledde till att olika element fungerade olikt för pekskärmar och system för personer med funktionsnedsättning.
• En användarundersökning har lagts till som visas när inställningarna för Privacy Sandbox öppnas (chrome://settings/privacySandbox).
• Vid start av Android-versionen av Chrome på surfplattor med stora skärmar begärs skrivbordsversionen av webbplatsen, snarare än mobilversionen. Beteendet kan ändras med inställningen "chrome://flags/#request-desktop-site-for-tablets".
• Koden för att rendera tabeller har omarbetats, vilket löste problem med beteendeförskillnader vid tabellutskrift i Chrome och Firefox/Safari.
• Behandlingen av servercertifikat från den spanska certifieringsmyndigheten Camerfirma har avslutats på grund av upprepade incidenter med certifikatutfärdande sedan 2017. Stödet för klientcertifikat kvarstår, blockeringen gäller endast för certifikat som används på webbplatser för HTTPS.
• Implementeringen av nätverkssegmentering för att skydda mot metoder för att spåra användarens rörelser mellan webbplatser, baserat på lagring av identifierare i områden som inte är avsedda för permanent lagring av information («Supercookies»), har fortsatt. Eftersom resurser i cache lagras i ett gemensamt namnrymd oavsett ursprungsdomän, kan en webbplats upptäcka laddning av resurser från en annan webbplats genom att kontrollera om denna resurs finns i cachen. Skyddet baseras på tillämpningen av nätverkssegmentering, vars kärna är att lägga till en ytterligare bindning av poster till domän, från vilken huvudwebbsidan öppnades, vilket begränsar räckvidden för cachen för spårningsscript endast till den aktuella webbplatsen (ett script i iframe kan inte kontrollera om resursen laddades från en annan webbplats).

  Kostnaden för segmentering är en minskning av cacheeffektiviteten, vilket resulterar i en obetydlig ökning av sidladdningstiden (maximalt 1,32 %, men för 80% av webbplatserna mellan 0,09-0,75%). För att testa segmenteringsläget kan du starta webbläsaren med alternativet «—enable-features=PartitionConnectionsByNetworkIsolationKey, PartitionExpectCTStateByNetworkIsolationKey, PartitionHttpServerPropertiesByNetworkIsolationKey, PartitionNelAndReportingByNetworkIsolationKey, PartitionSSLSessionsByNetworkIsolationKey, SplitHostCacheByNetworkIsolationKey».

• En extern REST API VersionHistory (https://versionhistory.googleapis.com/v1/chrome) har lagts till, via vilken du kan få information om versionerna av Chrome kopplade till plattformar och grenar samt webbläsarens uppdateringshistorik.
• I iframes som laddas från domäner som är olika från baswebbplatsens domän har utmatningen av JavaScript-dialoger alert(), confirm() och prompt() förbjudits, vilket skyddar användarna från försök av externa skript att visa meddelanden som påstås vara från den huvudsakliga webbplatsen.
• API WebAssembly SIMD har stabiliserats och föreslagits som standard för användning av vektorinstruktioner i formatet WebAssembly. För att säkerställa plattformsoberoende föreslås en ny 128-bitars typ som kan representera olika typer av packade data och flera grundläggande vektoroperationer för att bearbeta packade data. SIMD möjliggör ökad prestanda genom att parallellisera databehandling och kommer att vara användbart vid kompilering av inbyggd kod till WebAssembly.
• I läget Origin Trials (experimentella funktioner som kräver separat aktivering) har flera nya API:er lagts till. Origin Trial innebär möjlighet att arbeta med det angivna API:et från applikationer som laddas från localhost eller 127.0.0.1, eller efter registrering och erhållande av en speciell token som gäller under en begränsad tid för en specifik webbplats.
  • WebTransport — ett protokoll och motsvarande JavaScript API för att skicka och ta emot data mellan webbläsaren och servern. Kommunikationskanalen organiseras ovanpå HTTP/3 med användning av QUIC-protokollet som transport, vilket i sin tur är en överbyggnad ovanpå UDP-protokollet. Detta stödjer multiplexering av flera anslutningar och erbjuder krypteringsmetoder som motsvarar TLS/SSL.

    WebTransport kan användas istället för mekanismerna WebSockets och RTCDataChannel, och erbjuder ytterligare funktioner som organisering av dataöverföring i flera strömmar, enkelfunktionströmmar, leverans utan att ta hänsyn till paketens skickade ordning (out-of-order) samt pålitliga och opålitliga leveranslägen. Dessutom kan WebTransport tillämpas istället för Server Push-mekanismen som Google avstod från användning i Chrome.

  • Ett deklarativt gränssnitt för att definiera länkar till separata web-appar (PWA), aktiverat med hjälp av parameter capture_links i manifestfilen för web-appen, vilket gör det möjligt för webbplatser att automatiskt öppna ett nytt PWA-fönster vid klick på en.app-länk eller gå till ett en-fönstersläge liknande mobilappar.
  • API WebXR Plane Detection har lagts till och ger information om plana ytor i en virtuell 3D-miljö. Det angivna API:et gör det möjligt att undvika resurskrävande databehandling från MediaDevices.getUserMedia()-anropet genom att använda egna implementeringar av datorseendealgoritmer. Vi påminner om att WebXR API:et gör det möjligt att enhetliggöra arbetet med olika klasser av virtuella verklighetsenheter, från stationära 3D-hjälmar till lösningar baserade på mobila enheter.
• Stödet för WebSockets över HTTP/2 (RFC 8441) har implementerats, vilket endast gäller för skyddade WebSockets-förfrågningar och när det redan finns en etablerad HTTP/2-anslutning till servern, där stöd för tillägget "WebSockets over HTTP/2" annonseras.
• Begränsningar för noggrannheten av timer-värden som ges av anropet performance.now() har enhetliggjorts för alla stödda plattformar och anpassats med hänsyn till möjlig isolering av handläggare i separata processer. Till exempel har noggrannheten för behandling i icke-isolerade sammanhang på skrivbordssystem minskats från 5 till 100 mikrosatser.
• I sammansättningarna för skrivbordssystem finns det möjlighet att läsa filer från urklipp (att skriva filer till urklippet är fortfarande förbjudet). async function onPaste(e) { let file = e.clipboardData.files[0]; let contents = await file.text(); }
• I CSS har regeln @counter-style implementerats, vilket gör det möjligt att definiera egna stilar för räknare och etiketter i numrerade listor.
• I CSS pseudo-klasserna ':host()' och ':host-context()' har möjligheten att överföra enskilda värden för sammansatta selektorer () lagts till, utöver listor med selektorer ().
• Gravitationens sensorgränssnitt, GravitySensor, har lagts till för att bestämma volymetriska (i tre koordinaxlar) data från gravitationssensorn.
• I API:t för filsystemåtkomst har möjligheten att ange rekommendationer för att välja fil- och katalognamn, som erbjuds i dialogrutan för att skapa eller öppna filer, införts.
• I iframes som laddas från andra domäner tillåts åtkomst till API:t WebOTP när användaren ger motsvarande behörigheter. WebOTP möjliggör läsning av engångskoder för bekräftelse som skickas via SMS.
• Det är nu tillåtet att dela inloggningsuppgifter mellan webbplatser kopplade via mekanismen DAL (Digital Asset Links), vilket gör det möjligt att koppla Android-applikationer till webbplatser för att förenkla inloggningen.
• I service-arbetare är användning av JavaScript-moduler nu tillåten. Genom att ange typen 'module' under anropet av konstruktorn kommer de angivna skripten att laddas som moduler och vara tillgängliga för import i arbetssammanhanget. Stödet för moduler underlättar delning av kod på webbsidor och i service-arbetare.
• I JavaScript finns det nu möjlighet att kontrollera om privata fält existerar i ett objekt med syntaxen '#foo in obj'. class A { static test(obj) { console.log(#foo in obj); } #foo = 0; } A.test(new A()); // true A.test({}); // false
• I JavaScript är det som standard tillåtet att använda nyckelordet await på högsta nivå i moduler, vilket gör att asynkrona anrop kan integreras mer smidigt i modulernas inläsningsprocess utan att behöva vara inslutna i en 'async function'. Till exempel, istället för (async function() { await Promise.resolve(console.log('test')); }()); kan man nu skriva await Promise.resolve(console.log('test'));
• I JavaScript-motorn V8 har effektiviteten för cachelagring av mallar förbättrats, vilket har ökat hastigheten på Speedometer2-FlightJS-testet med 4,5%.
• En betydande mängd förbättringar har genomförts i verktyg för webbutvecklare. En ny minnesinspektionsläge (Memory inspector) har lagts till, vilket tillhandahåller verktyg för att undersöka ArrayBuffer- och Wasm-minnesdata.

  I panelen för prestanda har en sammanfattande prestandaindikator lagts till, vilket gör det möjligt att bedöma om webbplatsen behöver optimering eller inte.

  

  Vid förhandsvisning av bilder i panelerna Elements och nätverksanalys presenteras information om bildförhållandet, visualiseringsinställningarna och filstorleken.

  

  I nätverksinspektionspanelen har möjligheten att ändra de mottagna värdena för rubriken Content-Encoding lagts till.

  

  I stilpanelen har möjligheten för snabbvisning av det beräknade värdet lagts till när man navigerar i CSS-parametrarna, genom att välja "View computed value" i kontextmenyn.

  

Förutom nya funktioner och buggfixar har 32 sårbarheter åtgärdats i den nya versionen. Många av sårbarheterna upptäcktes genom automatiserade tester med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. Inga kritiska problem som tillåter kringgående av alla nivåer av webbläsarskydd och exekvering av kod utanför sandbox-miljön har upptäckts. Inom ramen för programmet för belöningar för att upptäcka sårbarheter har Google betalat ut 21 belöningar värda totalt 92 000 USD (en belöning på 20 000 USD, en belöning på 15 000 USD, fyra belöningar på 7 500 USD, tre belöningar på 5 000 USD, tre belöningar på 3 000 USD, två belöningar på 1 000 USD och två belöningar på 500 USD). Störrelsen på fem belöningar har ännu inte fastställts.

Källa: opennet.ru