Chrome sürümü 90

Google, Chrome 90 web tarayıcısının çıkışını duyurdu.Aynı zamanda Chrome'un temelini oluşturan ücretsiz Chromium projesinin de kararlı bir sürümü mevcut. Chrome tarayıcısı, Google logolarının kullanımı, çökme durumunda bildirim göndermek için bir sistemin varlığı, korumalı video içeriğini (DRM) oynatmak için modüller, güncellemeleri otomatik olarak yüklemek için bir sistem ve arama sırasında RLZ parametrelerini iletmek için bir sistem varlığı ile ayırt edilir. Chrome 91'in bir sonraki sürümünün 25 Mayıs'ta yayınlanması planlanıyor.

Chrome 90'deki önemli değişiklikler:

• Tüm kullanıcıların, adres çubuğuna ana bilgisayar adlarını yazarken varsayılan olarak siteleri HTTPS aracılığıyla açmasına izin verilir. Örneğin example.com ana bilgisayarına girdiğinizde varsayılan olarak https://example.com sitesi açılacak ve açarken sorun çıkarsa http://example.com'a geri alınacaktır. Varsayılan "https://" kullanımını kontrol etmek için "chrome://flags#omnibox-default-typed-navigations-to-https" ayarı önerilmektedir.
• Artık pencerelere farklı etiketler atamak ve bunları masaüstü panelinde görsel olarak ayırmak mümkün. Pencere adını değiştirme desteği, farklı görevler için ayrı tarayıcı pencereleri kullanırken, örneğin iş görevleri, kişisel ilgi alanları, eğlence, ertelenmiş materyaller vb. için ayrı pencereler açarken işin organizasyonunu basitleştirecektir. Ad, sekme çubuğunda boş bir alana sağ tıkladığınızda açılan içerik menüsündeki "Pencere başlığı ekle" öğesi aracılığıyla değiştirilir. Uygulama panelinde adı değiştirdikten sonra, etkin sekmedeki site adı yerine seçilen ad görüntülenir; bu, aynı siteleri ayrı hesaplara bağlı farklı pencerelerde açarken yararlı olabilir. Bağlantı oturumlar arasında korunur ve yeniden başlatmanın ardından pencereler seçilen adlarla geri yüklenir.
• “chrome://flags” (“chrome://flags#read-later”) içindeki ayarları değiştirmek zorunda kalmadan “Okuma Listesini” gizleme yeteneği eklendi. Gizlemek için artık yer imleri çubuğuna sağ tıkladığınızda gösterilen içerik menüsünün alt kısmındaki “Okuma Listesini Göster” seçeneğini kullanabilirsiniz. Son sürümde bazı kullanıcılar adres çubuğundaki yıldız işaretine tıkladığında, “Yer işareti ekle” butonunun yanı sıra ikinci bir “Okuma listesine ekle” butonunun göründüğünü ve ekranın sağ köşesinde olduğunu da hatırlatalım. yer imleri panelinde, listeye önceden eklenen tüm sayfaları listeleyen “Okuma listesi” menüsü görünür. Listeden bir sayfa açtığınızda okundu olarak işaretlenir. Listedeki sayfalar ayrıca manüel olarak okundu veya okunmadı olarak işaretlenebilir veya listeden kaldırılabilir.
• Tanımlayıcıların bilgilerin kalıcı olarak saklanması amaçlanmayan alanlarda ("Süper Çerezler") saklanmasına dayalı olarak siteler arasındaki kullanıcı hareketlerinin izlenmesine yönelik yöntemlere karşı koruma sağlamak amacıyla ağ bölümlendirme desteği eklendi. Önbelleğe alınan kaynaklar, kaynak etki alanından bağımsız olarak ortak bir ad alanında depolandığından, bir site, kaynağın önbellekte olup olmadığını kontrol ederek başka bir sitenin kaynakları yüklediğini belirleyebilir. Koruma, özü paylaşılan önbelleklere, kayıtların ana sayfanın açıldığı alana ek olarak bağlanmasını eklemek olan ve yalnızca hareket izleme komut dosyaları için önbellek kapsamını sınırlayan ağ bölümlemesinin (Ağ Bölümleme) kullanımına dayanmaktadır. geçerli siteye (iframe'den gelen bir komut dosyası, kaynağın başka bir siteden indirilip indirilmediğini kontrol edemez). Segmentasyonun bedeli, önbellekleme verimliliğinde bir azalmadır ve bu da sayfa yükleme süresinde hafif bir artışa neden olur (maksimum %1.32, ancak sitelerin %80'i için %0.09-0.75).
• HTTP, HTTPS ve FTP isteklerinin gönderilmesinin engellendiği ağ bağlantı noktalarının kara listesi, saldırgan tarafından özel olarak hazırlanmış bir web sayfasını bir tarayıcıda açarken bir ağ kurmaya olanak tanıyan NAT kayma saldırılarına karşı koruma sağlamak için yenilendi. Dahili adres aralığının (192.168.xx, 10.xxx) kullanılmasına rağmen, saldırganın sunucusundan kullanıcının sistemindeki herhangi bir UDP veya TCP bağlantı noktasına bağlantı. Yasaklanan bağlantı noktaları listesine 554 (RTSP protokolü) ve 10080 (Amanda yedekleme ve VMWare vCenter'da kullanılır) eklendi. Daha önce 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 ve 6566 numaralı bağlantı noktaları zaten engellenmişti.
• Tarayıcıda XFA formlarıyla PDF belgelerini açmak için başlangıç ​​desteği eklendi.
• Bazı kullanıcılar için, bireysel tanımlama olmadan ve referans olmadan kullanıcı ilgi alanları kategorisini belirlemeyi amaçlayan FLoC API'sinin parametrelerini yönetmenize olanak tanıyan yeni bir ayarlar bölümü "Chrome Ayarları > Gizlilik ve güvenlik > Gizlilik korumalı alanı" etkinleştirildi. belirli siteleri ziyaret etme geçmişi.
• Kullanıcı, merkezi yönetimin etkinleştirildiği bir profile bağlandığında artık izin verilen eylemlerin listesini içeren daha net bir bildirim görüntüleniyor.
• İzin isteği arayüzü daha az müdahaleci hale getirildi. Kullanıcının muhtemelen onaylamayacağı istekler, adres çubuğunda görüntülenen ilgili bir göstergeyle artık otomatik olarak engelleniyor; bu gösterge sayesinde kullanıcı, izinleri site bazında yönetmek için arayüze gidebilir.
• Geri dönüş odaklı programlama (ROP, Dönüş Odaklı Programlama) teknikleri kullanılarak oluşturulan açıklardan yararlanmaya karşı donanım koruması için Intel CET (Intel Control-flow Enforcement Technology) uzantıları desteği dahildir.
• Tarayıcının kapsayıcı terminolojiyi kullanmasına yönelik çalışmalar devam ediyor. "master_preferences" dosyası, "master" kelimesini atalarının eski köleliğine dair bir ipucu olarak algılayan kullanıcıların duygularını incitmemek için "initial_preferences" olarak yeniden adlandırıldı. Uyumluluğu korumak için "master_preferences" desteği bir süre tarayıcıda kalacaktır. Daha önce tarayıcı, "beyaz liste", "kara liste" ve "yerel" kelimelerinin kullanımından zaten kurtulmuştu.
• Android sürümünde, “Lite” trafik tasarrufu modu etkinleştirildiğinde, mobil operatörlerin ağları üzerinden bağlanıldığında video indirirken bit hızı düşürülür, bu da trafiğe dayalı tarifeleri etkinleştiren kullanıcıların maliyetlerini azaltacaktır. "Lite" modu aynı zamanda kamuya açık kaynaklardan (kimlik doğrulama gerektirmeyen) istenen görüntülerin HTTPS aracılığıyla sıkıştırılmasını da sağlar.
• WebRTC protokolünü temel alan video konferansta kullanım için özel olarak optimize edilmiş AV1 video formatı kodlayıcı eklendi. AV1'in video konferansta kullanılması, sıkıştırma verimliliğinin artırılmasını ve 30 kbit/sn bant genişliğine sahip kanallarda yayın yapılabilmesini mümkün kılmaktadır.
• JavaScript'te Array, String ve TypedArrays nesneleri, sona göre negatif değerlerin belirtilmesi (örneğin, "arr.at(-1)" dizinin son elemanını döndürecektir).
• JavaScript, normal ifadeler için, eşleşme gruplarının başlangıç ​​ve bitiş konumlarını içeren bir dizi içeren ".indices" özelliğini ekledi. Özellik yalnızca normal ifade "/d" bayrağıyla yürütülürken doldurulur. const re = /(a)(b)/d; const m = re.exec('ab'); console.log(m.indices[0]); // 0 — tüm eşleşme grupları // → [0, 2] console.log(m.indices[1]); // 1 ilk eşleşme grubudur // → [0, 1] console.log(m.indices[2]); // 2 - ikinci maç grubu // → [1, 2]
• Satır içi önbelleğin etkinleştirildiği "süper" özelliklerin (örneğin, super.x) performansı optimize edildi. "Süper" kullanmanın performansı artık normal özelliklere erişim performansına yakın.
• Satır içi dağıtımın kullanılması nedeniyle WebAssembly işlevlerinin JavaScript'ten çağrılması önemli ölçüde hızlandırıldı. Bu optimizasyon şimdilik deneysel kalıyor ve "-turbo-inline-js-wasm-calls" bayrağıyla çalıştırılmasını gerektiriyor.
• Örneğin daha gerçekçi artırılmış gerçeklik uygulamaları oluşturmak için kullanıcının ortamındaki nesneler ile kullanıcının cihazı arasındaki mesafeyi belirlemenize olanak tanıyan WebXR Derinlik Algılama API'si eklendi. WebXR API'nin, sabit 3D kasklardan mobil cihazlara dayalı çözümlere kadar çeşitli sınıftaki sanal gerçeklik cihazlarıyla çalışmayı birleştirmenize olanak tanıdığını hatırlatalım.
• WebXR AR Aydınlatma Tahmini özelliği, modellere daha doğal bir görünüm ve kullanıcının ortamıyla daha iyi entegrasyon sağlamak için WebXR AR oturumlarının ortam aydınlatma parametrelerini belirlemesine olanak tanıyacak şekilde sabitlenmiştir.
• Origin Trials modu (ayrı etkinleştirme gerektiren deneysel özellikler), şu anda Android platformuyla sınırlı olan birkaç yeni API ekler. Origin Trial, localhost veya 127.0.0.1'den indirilen uygulamalardan veya belirli bir site için sınırlı bir süre için geçerli olan özel bir belirteci kaydettikten ve aldıktan sonra belirtilen API ile çalışma yeteneğini ifade eder.
  • Geçerli sekmenin içeriğini yansıtan bir MediaStream video akışının yakalanmasını mümkün kılan getCurrentBrowsingContextMedia() yöntemi. Benzer getDisplayMedia() yönteminden farklı olarak, getCurrentBrowsingContextMedia() çağrılırken, kullanıcıya sekme içeriğiyle video aktarma işlemini onaylamak veya engellemek için basit bir iletişim kutusu sunulur.
  • MediaStreamTrack API aracılığıyla iletilen kamera ve mikrofon verileri, ekran yakalama sonuçları veya ara codec kod çözme verileri gibi ham medya akışlarını değiştirmenize olanak tanıyan Eklenebilir Akışlar API'si. WebCodec arayüzleri ham çerçeveleri sunmak için kullanılır ve RTCPeerConnections'a dayalı olarak WebRTC Eklenebilir Akışlar API'sinin ürettiğine benzer bir akış oluşturulur. Pratik açıdan bakıldığında, yeni API, nesneleri gerçek zamanlı olarak tanımlamak veya açıklama eklemek için makine öğrenimi tekniklerini uygulamak veya kodlamadan önce veya bir kodlayıcı tarafından kod çözüldükten sonra arka planda kırpma gibi efektler eklemek gibi işlevlere izin verir.
  • Çok sayıda eşlik eden dosyanın (CSS stilleri, JavaScript, resimler, iframe'ler) daha verimli yüklenmesini organize etmek için kaynakları paketler (Web Paketi) halinde paketleme yeteneği. Web Bundle'ın ortadan kaldırmaya çalıştığı, JavaScript dosyaları (webpack) için mevcut paket desteğindeki eksiklikler arasında şunlar yer almaktadır: bileşen parçaları değil, paketin kendisi HTTP önbelleğine düşebilir; derleme ve yürütme ancak paket tamamen indirildikten sonra başlayabilir; CSS ve resimler gibi ek kaynakların JavaScript dizeleri biçiminde kodlanması gerekir; bu da boyutu artırır ve başka bir ayrıştırma adımı gerektirir.
  • WebAssembly'da istisna işleme desteği.
• Örneğin içe aktarılan bir üçüncü taraf öğe stilini ve bununla ilişkili DOM alt dalını ana belgeden ayırmak için Shadow DOM'da yeni kök dallar oluşturmak üzere Bildirime Dayalı Shadow DOM API'si stabilize edildi. Önerilen bildirimsel API, JavaScript kodu yazmaya gerek kalmadan DOM dallarının sabitlemesini kaldırmak için yalnızca HTML kullanmanıza olanak tanır.
• En boy oranını herhangi bir öğeye açıkça bağlamanıza olanak tanıyan (yalnızca yüksekliği veya genişliği belirtirken eksik boyutu otomatik olarak hesaplamak için) en boy oranı CSS özelliği, animasyon sırasında değerleri enterpolasyon yapma yeteneğini uygular (birinden yumuşak geçiş) diğerine en boy oranı).
• CSS'deki özel HTML öğelerinin durumunu sözde sınıf ":state()" aracılığıyla yansıtma yeteneği eklendi. İşlevsellik, standart HTML öğelerinin kullanıcı etkileşimine bağlı olarak durumlarını değiştirme yeteneğine benzetilerek uygulanır.
• CSS özelliği "görünüm" artık varsayılan olarak ayarlanan 'auto' değerini destekliyor. Ve ve ayrıca Android platformunda , , , Ve .
• "Overflow" CSS özelliğine "clip" değeri desteği eklendi, ayarlandığında bloğun ötesine uzanan içerik, kaydırma olanağı olmaksızın bloğun izin verilen taşma sınırına kadar kırpılır. Kırpma başlamadan önce içeriğin kutunun gerçek sınırının ne kadar ötesine geçebileceğini belirleyen değer, yeni CSS özelliği "overflow-clip-margin" aracılığıyla ayarlanır. "Taşma: gizli" ile karşılaştırıldığında "taşma: klip" kullanılması daha iyi performans sağlar.
• Özellik Politikası HTTP üstbilgisi, izinlerin delegasyonunu ve yapılandırılmış alan değerleri desteğini de içeren gelişmiş özelliklerin etkinleştirilmesini kontrol etmek için yeni bir Permissions-Policy üstbilgisiyle değiştirildi (örneğin, artık "İzinler-İlkesi: coğrafi konum belirtebilirsiniz) =()" yerine "Özellik Politikası: coğrafi konum 'yok'").
• İşlemcilerdeki talimatların spekülatif yürütülmesinden kaynaklanan saldırılar için Protokol Arabelleklerinin kullanımına karşı güçlendirilmiş koruma. Koruma, Cross-Origin-Read-Blocking mekanizması yoluyla işlenen, asla koklanmayan MIME türleri listesine "application/x-protobuffer" MIME türünün eklenmesiyle uygulanır. Daha önce, "application/x-protobuf" MIME türü zaten benzer bir listeye dahil edilmişti ancak "application/x-protobuffer" dışarıda bırakılmıştı.
• Dosya Sistemi Erişim API'si, FileSystemWritableFileStream.write() çağrısı aracılığıyla sonraki yazma sırasında ortaya çıkan boşluğu sıfırlarla doldurarak, bir dosyadaki geçerli konumu sonunun ötesine kaydırma yeteneğini uygular. Bu özellik, boş alanlara sahip seyrek dosyalar oluşturmanıza olanak tanır ve veri bloklarının sırasız gelişiyle dosya akışlarına yazma organizasyonunu önemli ölçüde basitleştirir (örneğin, bu BitTorrent'te uygulanır).
• DOM ağacı her değiştiğinde ilişkili tüm nesnelerin güncellenmesini gerektirmeyen hafif Range türlerinin uygulanmasıyla StaticRange yapıcısı eklendi.
• Öğeler için genişlik ve yükseklik parametrelerini belirtme yeteneği uygulandı elemanın içinde belirtildi . Bu özellik, öğelerin en boy oranını hesaplamanıza olanak tanır , bunun nasıl yapıldığına benzetme yoluyla , Ve .
• RTP Veri Kanallarına yönelik standartlaştırılmamış destek WebRTC'den kaldırılmıştır ve bunun yerine SCTP tabanlı veri kanallarının kullanılması önerilmektedir.
• navigator.plugins ve navigator.mimeTypes özellikleri artık her zaman boş bir değer döndürüyor (Flash desteği sona erdikten sonra bu özelliklere artık gerek kalmıyor).
• Web geliştiricilerine yönelik araçlarda küçük iyileştirmelerin büyük bir kısmı yapıldı ve yeni bir CSS hata ayıklama aracı olan flexbox eklendi.

Yeni sürüm, yenilikler ve hata düzeltmelerinin yanı sıra 37 güvenlik açığını da ortadan kaldırıyor. Güvenlik açıklarının çoğu, AdresSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ve AFL araçları kullanılarak yapılan otomatik testler sonucunda belirlendi. Tarayıcı korumasının tüm seviyelerinin aşılmasına ve sanal alan ortamı dışındaki sistemde kod yürütülmesine olanak sağlayacak hiçbir kritik sorun tespit edilmedi. Mevcut sürümdeki güvenlik açıklarını keşfetmeye yönelik nakit ödül programının bir parçası olarak Google, 19 ABD Doları değerinde 54000 ödül ödedi (bir 20000 ABD Doları ödül, bir 10000 ABD Doları ödül, iki 5000 ABD Doları ödül, üç 3000 ABD Doları ödül, bir 2000 ABD Doları ödül, bir 1000 ABD Doları ödül ve dört 500 ABD Doları ödül) ). 6 ödülün büyüklüğü ise henüz belirlenmedi.

Ayrı olarak, dün, 89.0.4389.128 numaralı düzeltici sürümün oluşturulmasından sonra, ancak Chrome 90'ın yayınlanmasından önce, Chrome 0'de düzeltilmeyen yeni bir 89.0.4389.128 günlük güvenlik açığı kullanan başka bir istismarın yayınlandığı belirtilebilir. . Bu sorunun Chrome 90'da çözülüp çözülmediği henüz belli değil. İlk durumda olduğu gibi, istismar yalnızca bir güvenlik açığını kapsıyor ve sandbox izolasyonunu atlayacak bir kod içermiyor (Chrome'u “--no-sandbox” bayrağıyla çalıştırırken) , Windows platformunda bir web sayfasını açarken Not Defteri'ni çalıştırmanıza izin veren bir istismar meydana gelir). Yeni istismarla ilişkili güvenlik açığı WebAssembly teknolojisini etkiliyor.

Kaynak: opennet.ru