Utgåvan av Chrome 94

Google har släppt webbläsaren Chrome 94. Samtidigt lanseras en stabil version av det öppna projektet Chromium som utgör grunden för Chrome. Chrome-webbläsaren kännetecknas av användningen av Googles logotyper, ett system för att skicka notiser vid krasch, moduler för att spela upp skyddat videoinnehåll (DRM), ett automatiskt uppdateringssystem och överföring av RLZ-parametrar vid sökningar. Den nästa versionen, Chrome 95, är planerad att släppas den 19 oktober.

Från och med utgåvan av Chrome 94 har utvecklingen överförts till en ny releasecykel. Större versioner kommer hädanefter att publiceras vart fjärde vecka istället för vart sjätte vecka, vilket kommer att göra det möjligt att snabbare få de nya funktionerna till användarna. Det noteras att optimering av releaseprocessen och förbättrade testsystem gör att utgåvor kan skapas oftare utan att kvalitén påverkas. För företag och för dem som behöver mer tid för uppdatering kommer en separat Extended Stable-version att släppas vart åttonde vecka, vilket gör att man kan övergå till nya funktionsversioner vart åttonde vecka istället för vart fjärde.

Huvudsakliga förändringar i Chrome 94:

• En HTTPS-First-läge har lagts till, vilket liknar det tidigare introducerade läget HTTPS Only i Firefox. Om läget aktiveras i inställningarna, kommer webbläsaren först att försöka nå en resurs via HTTPS om användaren försöker öppna en resurs utan kryptering via HTTP. Om försöket misslyckas kommer ett meddelande att visas för användaren som informerar om avsaknaden av stöd för HTTPS och föreslår att öppna webbplatsen utan kryptering. I framtiden överväger Google att aktivera HTTPS-First som standard för alla användare, begränsa åtkomst till vissa funktioner på webplattformen för sidor som öppnas via HTTP, samt lägga till ytterligare varningar som informerar användare om hot som uppstår vid åtkomst till webbplatser utan kryptering. Läge kan aktiveras i inställningarna under "Integritet och säkerhet" > "Säkerhet" > "Ytterligare".
• För sidor som öppnas utan HTTPS är det förbjudet att skicka förfrågningar (ladda resurser) till lokala URL:er (t.ex. "http://router.local" och localhost) och interna adressintervall (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8, osv.). Undantag görs endast för sidor som laddas från servrar, som har interna IP. Till exempel, en sida som laddats från servern 1.2.3.4 kan nå en resurs som är placerad på IP 192.168.0.1 eller IP 127.0.0.1, medan en sida som laddats från servern 192.168.1.1 kan göra det. Ändringen introducerar en extra skyddsnivå mot utvinning av sårbarheter i hanterare som tar emot förfrågningar på lokala IP, samt skyddar mot DNS rebinding-attacker.
• Funktionen 'Sharing Hub' har lagts till, vilket möjliggör snabb delning av aktuell sidlänk med andra användare. Det finns möjlighet att generera en QR-kod med URL, spara sidan, skicka länken till en annan enhet kopplad till användarens konto och dela länken till externa webbplatser som Facebook, WhatsApp, Twitter och VK. Möjligheten är för närvarande inte tillgänglig för alla användare. För att tvinga fram ‘Share’-knappen i menyn och adressfältet kan inställningarna ‘chrome://flags/#sharing-hub-desktop-app-menu’ och ‘chrome://flags/#sharing-hub-desktop-omnibox’ användas.
• Det har genomförts en omstrukturering av inställningsgränssnittet i webbläsaren. Varje inställningssektion visas nu på en separat sida istället för på en gemensam.
• Stöd för dynamisk uppdatering av loggen för utfärdade och återkallade certifikat (Certificate Transparency) har implementerats, som nu kommer att uppdateras oberoende av webbläsarens uppdateringar.
• En ny funktionell sida ‘chrome://whats-new’ har lagts till, med en översikt över synliga förändringar för användaren i den nya versionen. Sidan visas automatiskt direkt efter en uppdatering eller är tillgänglig via knappen ‘Vad är nytt’ (What’s New) i Hjälp-menyn. För närvarande nämns sökning på flikar, möjligheten att dela profiler och funktionen att byta bakgrundsfärg på sidan, som inte är specifika för Chrome 94 och har funnits i tidigare versioner. Visningen av sidan är för närvarande inte aktiverad för alla användare: för att styra aktiveringen kan inställningarna ‘chrome://flags#chrome-whats-new-ui’ och ‘chrome://flags#chrome-whats-new-in-main-menu-new-badge’ användas.
• Anrop till WebSQL API från innehåll som laddas från externa webbplatser (till exempel via iframe) har förklarats som föråldrat. I Chrome 94 visas en varning när man försöker anropa WebSQL från externa skript, men från och med Chrome 97 kommer sådana anrop att blockeras. I framtiden planeras det att gradvis helt upphöra med stödet för WebSQL, oavsett användningssituation. WebSQL-hanteraren baseras på SQLite-kod och kan ha utnyttjats av illvilliga aktörer för att utnyttja sårbarheter i SQLite.
• Av säkerhetsskäl och för att förhindra skadlig aktivitet har användningen av det föråldrade protokollet MK (URL:MK) blockerats, vilket en gång användes i Internet Explorer och tillät webbapplikationer att hämta information från komprimerade filer.
• Stödet för synkronisering med äldre versioner av Chrome (Chrome 48 och äldre) har upphört.
• HTTP-huvudet Permissions-Policy, som är avsett för att aktivera vissa funktioner och hantera åtkomst till API:er, har fått stöd för flaggan "display-capture", vilket möjliggör kontroll över användningen av API:et Screen Capture på sidan (som standard blockeras möjligheten att fånga skärminnehåll från externa iframes).
• I läget Origin Trials (experimentella funktioner som kräver separat aktivering) har flera nya API:er lagts till. Origin Trial innebär möjlighet att arbeta med det angivna API:et från applikationer som laddas från localhost eller 127.0.0.1, eller efter registrering och erhållande av en speciell token som gäller under en begränsad tid för en specifik webbplats.
  • API:et WebGPU har lagts till, vilket ersätter API:et WebGL och ger medel för att utföra operationer på GPU:n, såsom rendering och beräkningar. Konceptuellt är WebGPU nära API:et Vulkan, Metal och Direct3D 12. WebGPU skiljer sig konceptuellt från WebGL ungefär som grafik-API:t Vulkan skiljer sig från OpenGL, men det baseras inte på något specifikt grafik-API utan utgör ett universellt lager som använder samma lågnivåprimitiv som finns i Vulkan, Metal och Direct3D 12.

    WebGPU ger JavaScript-applikationer medel för lågnivåkontroll över organisation, bearbetning och överföring av kommandon till GPU:n, samt möjliggör hantering av relaterade resurser, minne, buffertar, textureobjekt och kompilera grafikshader. En sådan strategi möjliggör högre prestanda för grafiska program genom att minska overhead och öka effektiviteten i arbetet med GPU:n. API:et ger också möjlighet att skapa komplexa 3D-projekt för webben som fungerar lika bra som fristående program, men som inte är knutna till specifika plattformar.

  • För fristående PWA-applikationer har möjligheten att registrera sig som URL-behandlare implementerats. Till exempel kan applikationen music.example.com registrera sig som behandlare av URL https://*.music.example.com, och alla övergångar från externa applikationer via dessa länkar, till exempel från meddelande-appar och e-postklienter, kommer att leda till att denna PWA-applikation öppnas, istället för en ny flik i webbläsaren.
  • Stödet för den nya HTTP-svarskoden — 103 har implementerats, som kan användas för att förhandsvisa rubriker. Koden 103 gör det möjligt att informera klienten om innehållet i vissa HTTP-rubriker omedelbart efter begäran, utan att vänta på att servern ska avsluta alla relaterade operationer och börja leverera innehåll. På så sätt kan tips om relaterade element på den levererade sidan meddelas, vilka kan förladdas (till exempel kan länkar till använda CSS- och JavaScript-filer anges). När webbläsaren får information om sådana resurser påbörjar den deras inladdning utan att vänta på att den huvudsakliga sidan ska levereras, vilket gör att den totala förfrågningsbehandlingstiden kan förkortas.
• API WebCodecs har lagts till för att manipulera multimediaflöden på låg nivå, vilket kompletterar de högre nivåerna av API:er som HTMLMediaElement, Media Source Extensions, WebAudio, MediaRecorder och WebRTC. Det nya API:et kan efterfrågas inom områden som spelströmning, tillämpning av effekter på klientsidan, omkodning av flöden och stöd för icke-standardiserade multimediaformat. Istället för att implementera separata codecs i JavaScript eller WebAssembly, erbjuder API WebCodecs tillgång till färdiga högpresterande komponenter som är inbyggda i webbläsaren. I synnerhet erbjuder API WebCodecs avkodare och kodare för ljud och video, bildavkodare och funktioner för att arbeta med enskilda videoramar på låg nivå.
• Stabiliserat API Insertable Streams, som ger möjlighet att manipulera råa multimediaflöden som överförs via API MediaStreamTrack, såsom data från kamera och mikrofon, resultat av skärminspelning eller mellanliggande data från dekodern. För att representera råa ramar används gränssnittet WebCodec, vilket skapar ett flöde som liknar det som API WebRTC Insertable Streams genererar baserat på RTCPeerConnections. På ett praktiskt sätt möjliggör det nya API:et funktionalitet såsom tillämpning av maskininlärningsmetoder för att identifiera eller annotera objekt i realtid eller för att lägga till effekter, såsom att ta bort bakgrunden, före kodning eller efter dekodning av dekodern.
• Stabiliserad metod scheduler.postTask(), som möjliggör hantering av schemaläggningen av uppgiftsexekvering (callback-anrop i JavaScript) med olika prioritetsnivåer. Tre prioritetsnivåer erbjuds: 1 - utförs i första hand, även om användaroperationer kan blockeras; 2 - tillåts synliga förändringar för användaren; 3 - utförs i bakgrunden). Prioritet och avbokning av uppgifter kan hanteras med hjälp av objektet TaskController.
• Stabiliserad och nu tillgänglig utanför Origin Trials API Idle Detection för att upptäcka användarens inaktivitet. API:et gör det möjligt att fastställa tiden när användaren inte interagerar med tangentbordet/musen, skärmsläckaren är aktiverad, skärmen är låst eller arbetet utförs på en annan skärm. Applikationen informeras om inaktivitet genom att skicka en avisering efter att en angiven inaktivitetsgräns har uppnåtts.
• Formaliseringen av färghantering i CanvasRenderingContext2D och ImageData och användningen av färgrymden sRGB har genomförts. Möjligheten att skapa objekt av CanvasRenderingContext2D och ImageData i färgrymder som skiljer sig från sRGB, såsom Display P3, har erbjudits för att utnyttja de utökade möjligheterna hos moderna bildskärmar.
• API VirtualKeyboard har fått metoder och egenskaper för att hantera visningen och gömningen av det virtuella tangentbordet, samt för att hämta information om storleken på det visade virtuella tangentbordet.
• I JavaScript finns det möjlighet att använda statiska initialiseringsblock för klasser för att gruppera kod som körs en gång vid klassbehandling: class C { // Blocket körs vid behandling av själva klassen static { console.log(«C’s static block»); } }
• I CSS-egenskaperna flex-basis och flex har nyckelord som content, min-content, max-content och fit-content implementerats för mer flexibel styrning av storleken på huvudområdet i Flexbox.
• CSS-egenskapen scrollbar-gutter har lagts till för att hantera reservation av skärmutrymme för rullningslisten. Till exempel, när rullning av innehållet inte krävs, kan utmatningen utökas för att ta upp rullningslistens område.
• API:t Self Profiling har lagts till, med ett profilering system som möjliggör mätning av JavaScript-körningstider på klientsidan för att debugga prestandaproblem i JavaScript-kod utan att behöva utföra manuella manipulationer i webbutvecklarens gränssnitt.
• Efter borttagandet av Flash-pluginet beslutades det att lämna tomma värden i egenskaperna navigator.plugins och navigator.mimeTypes, men det visade sig att vissa applikationer använde dem för att kontrollera om plugins för att visa PDF-filer fanns. Eftersom Chrome har en inbyggd PDF-visare, kommer egenskaperna navigator.plugins och navigator.mimeTypes hädanefter att returnera en fast lista med standardplugins och MIME-typer för PDF-visning — «PDF Viewer, Chrome PDF Viewer, Chromium PDF Viewer, Microsoft Edge PDF Viewer och WebKit built-in PDF».
• Förbättringar har gjorts i verktygen för webbutvecklare. Enheter som Nest Hub och Nest Hub Max har lagts till i listan för simulering av skärmar. I gränssnittet för inspektion av nätverksaktivitet har en knapp för att invertera filter lagts till (till exempel, när man ställer in filtret «status-code: 404» kan man snabbt se alla andra förfrågningar), och det har också blivit möjligt att visa ursprungliga värden av Set-Cookie-huvuden (vilket gör det möjligt att avgöra om det finns ogiltiga värden som tas bort vid normalisering). Sidofältet i webbkonsolen har förklarats som föråldrat och kommer att tas bort i ett av de kommande släppen. En experimentell möjlighet att dölja problem i fliken Issues har lagts till. I inställningarna har det lagts till en möjlighet att välja språk för gränssnittet.

Utöver nyheter och felkorrigeringar i den nya versionen har 19 sårbarheter åtgärdats. Många av sårbarheterna upptäcktes genom automatiserad testning med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. Kritiska problem som skulle möjliggöra omvägning av alla skyddsnivåer i webbläsaren och körning av kod utanför sandbox-miljön har inte identifierats. Inom ramen för programmet för belöningar vid upptäckta sårbarheter har företaget Google betalat ut 17 belöningar på totalt 56500 USD (en belöning på 15000 USD, två belöningar på 10000 USD, en belöning på 7500 USD, fyra belöningar på 3000 USD och två belöningar på 1000 USD). Storleken på 7 belöningar är ännu inte fastställd.

Källa: opennet.ru