Chrome 97-utgåvan

Google har släppt version 97 av webbläsaren Chrome. Samtidigt finns en stabil version av det fria projektet Chromium, som utgör grunden för Chrome. Chrome-webbläsaren kännetecknas av användning av Google-logotyper, ett system för att skicka aviseringar vid krascher, moduler för att spela upp copy-skyddat videoinnehåll (DRM), ett automatiskt uppdateringssystem och överföring av RLZ-parametrar vid sökningar. För dem som behöver mer tid att uppdatera finns en separat Extended Stable-version som stöds i 8 veckor, där en uppdatering för den tidigare versionen Chrome 96 har skapats. Nästa version av Chrome 98 är planerad till 1 februari.

Huvudsakliga ändringar i Chrome 97:

• För vissa användare har en ny datastyrningsgränssnitt aktiverats i inställningarna för webbläsaren ("chrome://settings/content/all"). En viktig skillnad i det nya gränssnittet är inriktningen på att ställa in behörigheter och rensa alla webbplatsens cookies på en gång, utan möjlighet att se detaljerad information om enskilda cookies eller välja att ta bort specifika cookies. Enligt Google kan tillgång till hantering av enskilda cookies för en vanlig användare, som inte förstår detaljerna i webbutveckling, leda till oförutsägbara störningar på webbplatser på grund av oöverlagda ändringar av enskilda inställningar samt av misstag stänga av mekanismer för integritetsskydd som aktiveras via cookies. För dem som behöver manipulera enskilda cookies rekommenderas det att använda avsnittet för lagringshantering i verktygen för webbutvecklare (Application/Storage/Cookie).
• I informationsavsnittet om webbplatsen visas en kort beskrivning av webbplatsen (till exempel beskrivningar från Wikipedia), om sök- och navigeringsoptimeringsläget (alternativet "Make searches and browsing better") är aktiverat i inställningarna.
• Stödet för automatisk ifyllning av fält i webbformulär har förbättrats. Rekommendationer med alternativ för automatisk ifyllning visas nu med en lätt förskjutning och förses med informationsikoner för en mer användarvänlig förhandsvisning och tydlig identifiering av kopplingen till det ifyllda fältet. Till exempel indikerar profilikonen att den föreslagna automatiska ifyllningen rör fält som är relaterade till adress och kontaktinformation.
• Radering av användarprofiler har säkerställts efter stängning av relaterade webbläsarfönster. Tidigare kvarstod profilerna i minnet och fortsatte att utföra uppgifter relaterade till synkronisering och körning av bakgrundsskript för tillägg, vilket ledde till onödig resursanvändning på system där flera profiler användes samtidigt (t.ex. gästprofil och koppling till Google-konto). Dessutom har en noggrannare rengöring av data, som kvarstår under arbetet med profilen, säkerställts.
• Sidan med inställningar för sökmotorer har förbättrats ("Inställningar > Hantera sökmotorer"). Automatisk aktivering av motorer har inaktiverats, information om vilken som ges när man öppnar en webbplats via OpenSearch-skript — nya motorer för att bearbeta sökfrågor från adressfältet måste nu aktiveras i inställningarna manuellt (tidigare automatiskt aktiverade motorer fortsätter att fungera utan ändringar).
• Från och med den 17 januari kommer inga tillägg som använder andra versionen av Chrome-manifestet att accepteras i katalogen Chrome Web Store, men utvecklare av tidigare tillagda tillägg, som tidigare, kan publicera uppdateringar.
• Experimentellt stöd för specifikationen WebTransport har lagts till, vilket definierar protokollet och den tillhörande JavaScript API för att skicka och ta emot data mellan webbläsaren och servern. Kommunikationskanalen organiseras ovanpå HTTP/3 med användning av QUIC-protokollet som transport. WebTransport kan användas istället för WebSockets-mekanismen och erbjuder sådana extra möjligheter som att organisera överföring i flera strömmar, ensidiga strömmar, leverans utan ordning (out-of-order) och tillförlitliga samt opålitliga leveranslägen. Dessutom kan WebTransport användas istället för Server Push-mekanismen, vars användning Google har övergivit i Chrome.
• Metoderna findLast och findLastIndex har lagts till i JavaScript-objekten Array och TypedArrays, vilket gör det möjligt att söka efter element med resultat som relaterar till slutet av arrayen. [1,2,3,4].findLast((el) => el % 2 === 0) // → 4 (det sista jämna elementet)
• Stängda (utan attributet "open") HTML-element
  , är nu sökbara och kan länkas, och öppnas automatiskt när man använder sidans sökfunktion och navigerar via fragment (ScrollToTextFragment).
• Begränsningar för Content Security Policy (CSP) i svaret headers servern tillämpas nu också på dedikerade arbetare som tidigare betraktades som separata dokument.
• Ett uttryckligt krav på att ladda subresurser från det interna nätverket har införts - innan en förfrågan görs till det interna nätverket eller localhost på huvudservern, skickas nu en CORS (Cross-Origin Resource Sharing) förfrågan med headern «Access-Control-Request-Private-Network: true», vilket kräver bekräftelse av operationen genom att återvända headern «Access-Control-Allow-Private-Network: true».
• CSS-egenskapen font-synthesis har lagts till, vilket gör det möjligt att styra browserns syntes av saknade typsnittsstilar (oblique, bold och small-cap) som saknas i det valda typsnittsfamiljen.
• För CSS-transformationer har parametern 'none' implementerats i funktionen perspective(), vilket behandlas som ett oändligt värde vid animering.
• HTTP-headern Permissions-Policy (Feature Policy), som används för delegering av behörigheter och aktivering av utökade funktioner, har fått stöd för värdet keyboard-map, vilket tillåter användning av Keyboard API. Metoden Keyboard.getLayoutMap() har implementerats, som gör det möjligt att fastställa vilken tangent som trycks ned med hänsyn till olika tangentbordslayouter (t.ex. om tangenten trycks ned i rysk eller engelsk layout).
• Metoden HTMLScriptElement.supports() har lagts till, vilket standardiserar definitionen av nya funktioner som är tillgängliga i elementet «script», till exempel kan man ta reda på listan över stödja värden för attributet «type».
• Processen för normalisering av nya rader vid webformulärens skickande har anpassats till webbläsarmotorerna Gecko och WebKit. Normaliseringen av radbrytning och återgång till början (ersättningen av /r och /n med \r\n) i Chrome utförs nu i det slutliga steget, istället för i början av formulärskickandet (dvs. mellanliggande hanterare som använder FormData objektet kommer att se data som användaren lade till istället för i normaliserat format).
• Namnen på egenskaper för API Client Hints, som utvecklas som en ersättning för User-Agent headern, standardiseras och tillåter selektivt att skicka data om specifika webbläsar- och systemparametrar (version, plattform etc.) först efter begäran från servern. Egenskaperna anges nu med prefixet «sec-ch-«, exempelvis sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink och sec-ch-ect.
• Den andra fasen av nedstängning av API:et WebSQL har trätt i kraft, vilket nu blockerar åtkomst från tredjepartsskript. Det planeras att successivt helt stoppa stödet för WebSQL, oavsett användningskontext. WebSQL-handlaren är baserad på SQLite-koden och kunde utnyttjas av angripare för att exploatera sårbarheter i SQLite.
• För Windows-plattformen aktiverades en byggversion med integritetskontroller för exekveringsflödet (CFG, Control Flow Guard) som blockerar försök att infoga kod i Chrome-processen. Dessutom tillämpas nu sandbox-isolering på nätverks tjänster som körs i separata processer, vilket begränsar kodens möjligheter i dessa processer.
• I Chrome för Android har en mekanism för dynamisk uppdatering av loggar över utfärdade och återkallade certifikat (Certificate Transparency) aktiverats, som tidigare var aktiv i versionerna för stationära system.
• Förbättringar har gjorts i verktygen för webbutvecklare. Experimentellt stöd för synkronisering av DevTools-inställningar mellan olika enheter har implementerats. En ny pannell, Recorder, har lagts till, som gör det möjligt att spela in, återspela och analysera användarens åtgärder på sidan.

  Vid felutskrifter i webbkonsolen visas nu relaterade kolumnnummer, vilket är bekvämt för felsökning av problem i minifierad JavaScript-kod. Listan över enheter som kan simuleras för att bedöma sidvisningen på mobila enheter har uppdaterats. I gränssnittet för att redigera HTML-block (Edit as HTML) har syntaxmarkering och autokomplettering för inmatning lagts till.

  

Förutom nyheter och buggfixar har den nya versionen åtgärdat 37 sårbarheter. Många av sårbarheterna har upptäckts genom automatiserad testning med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. En av sårbarheterna har fått status som kritisk, vilket möjliggör omgång av alla nivåer av browser-säkerhet och exekvering av kod i systemet, utanför sandbox-miljön. Detaljer om den kritiska sårbarheten (CVE-2022-0096) offentliggörs ännu inte, det är bara känt att den är kopplad till åtkomst av redan frigjord minnesområde i koden för hantering av interna lagringsutrymmen (API Storage).

Inom ramen för programmet för utbetalning av pengar för upptäckte sårbarheter för den aktuella versionen har Google betalat 24 belöningar på totalt 54 000 USD (tre belöningar på $10 000, två belöningar på $5 000, en belöning på $4 000, tre belöningar på $3 000 och en belöning på $1 000). Storleken på 14 belöningar har ännu inte fastställts.

Källa: opennet.ru