Bản phát hành Chrome 105

Google đã tiết lộ việc phát hành trình duyệt web Chrome 105. Đồng thời, đã có sẵn bản phát hành ổn định của dự án Chrome miễn phí, đóng vai trò là nền tảng của Chrome. Trình duyệt Chrome khác với Chrome ở chỗ sử dụng logo Google, sự hiện diện của hệ thống gửi thông báo trong trường hợp gặp sự cố, mô-đun phát nội dung video được bảo vệ bản sao (DRM), hệ thống tự động cài đặt các bản cập nhật, bật vĩnh viễn cách ly Sandbox , cung cấp khóa cho Google API và truyền RLZ- khi tìm kiếm thông số. Đối với những người cần thêm thời gian để cập nhật, nhánh Extended Stable được hỗ trợ riêng, sau đó là 8 tuần. Bản phát hành tiếp theo của Chrome 106 được lên lịch vào ngày 27 tháng XNUMX.

Những thay đổi chính trong Chrome 105:

• Hỗ trợ cho các ứng dụng web chuyên dụng Ứng dụng Chrome đã ngừng hoạt động, được thay thế bằng các ứng dụng web độc lập dựa trên công nghệ Ứng dụng web lũy tiến (PWA) và API Web tiêu chuẩn. Google ban đầu công bố ý định từ bỏ Ứng dụng Chrome vào năm 2016 và dự định ngừng hỗ trợ chúng cho đến năm 2018, nhưng sau đó đã hoãn kế hoạch này. Trong Chrome 105, khi cố gắng cài đặt Ứng dụng Chrome, bạn sẽ nhận được cảnh báo rằng các ứng dụng này sẽ không được hỗ trợ nữa nhưng các ứng dụng sẽ tiếp tục chạy. Trong Chrome 109, khả năng chạy Ứng dụng Chrome sẽ bị tắt.
• Cung cấp sự cách ly bổ sung cho quá trình kết xuất, chịu trách nhiệm kết xuất. Quá trình này hiện được thực hiện trong một vùng chứa bổ sung (App Container), được triển khai trên hệ thống cách ly hộp cát hiện có. Nếu một lỗ hổng trong mã kết xuất bị khai thác, các hạn chế bổ sung sẽ ngăn kẻ tấn công truy cập vào mạng bằng cách ngăn chặn quyền truy cập vào các lệnh gọi hệ thống liên quan đến khả năng của mạng.
• Đã triển khai lưu trữ thống nhất các chứng chỉ gốc của cơ quan cấp chứng chỉ (Cửa hàng Chrome Root). Cửa hàng mới chưa được bật theo mặc định và cho đến khi quá trình triển khai hoàn tất, các chứng chỉ sẽ tiếp tục được xác minh bằng cách sử dụng cửa hàng dành riêng cho từng hệ điều hành. Giải pháp đang được thử nghiệm gợi nhớ đến cách tiếp cận của Mozilla, duy trì một kho chứng chỉ gốc độc lập riêng cho Firefox, được sử dụng làm liên kết đầu tiên để kiểm tra chuỗi tin cậy chứng chỉ khi mở các trang web qua HTTPS.
• Quá trình chuẩn bị đã bắt đầu cho việc ngừng sử dụng API Web SQL. API này không được tiêu chuẩn hóa, phần lớn không được sử dụng và cần phải thiết kế lại để đáp ứng các yêu cầu bảo mật hiện đại. Chrome 105 ngăn chặn quyền truy cập vào Web SQL từ mã được tải mà không sử dụng HTTPS, đồng thời thêm cảnh báo không dùng nữa cho DevTools. API Web SQL dự kiến ​​sẽ bị xóa vào năm 2023. Đối với các nhà phát triển cần chức năng như vậy, một giải pháp thay thế dựa trên WebAssugging sẽ được chuẩn bị.
• Tính năng đồng bộ hóa Chrome không còn hỗ trợ đồng bộ hóa với Chrome 73 và các bản phát hành cũ hơn nữa.
• Đối với nền tảng macOS và Windows, trình xem chứng chỉ tích hợp sẽ được kích hoạt, thay thế việc gọi giao diện do hệ điều hành cung cấp. Trước đây, trình xem tích hợp chỉ được sử dụng trong các bản dựng dành cho Linux và ChromeOS.
• Phiên bản Android bổ sung cài đặt để quản lý API Nhóm chủ đề & sở thích, được quảng bá như một phần của sáng kiến ​​Hộp cát bảo mật, cho phép bạn xác định danh mục sở thích của người dùng và sử dụng chúng thay vì theo dõi Cookie để xác định các nhóm người dùng có cùng sở thích mà không cần xác định cá nhân. người dùng. Trong bản phát hành gần đây nhất, các cài đặt tương tự đã được thêm vào các phiên bản dành cho Linux, ChromeOS, macOS và Windows.
• Khi bạn bật tính năng bảo vệ trình duyệt nâng cao (Duyệt web an toàn > Bảo vệ nâng cao), dữ liệu đo từ xa về các tiện ích bổ sung đã cài đặt, quyền truy cập vào API và kết nối với các trang web bên ngoài sẽ được thu thập. Dữ liệu này được sử dụng trên các máy chủ của Google để phát hiện hoạt động độc hại và vi phạm quy tắc của các tiện ích bổ sung của trình duyệt.
• Không được dùng nữa và sẽ chặn việc sử dụng các ký tự không phải ASCII trong các miền được chỉ định trong tiêu đề Cookie trong Chrome 106 (đối với các miền IDN, các miền phải ở định dạng mã trừng phạt). Thay đổi này sẽ khiến trình duyệt tuân thủ RFC 6265bis và hành vi được triển khai trong Firefox.
• API đánh dấu tùy chỉnh đã được đề xuất, được thiết kế để thay đổi tùy ý kiểu của các vùng văn bản đã chọn và cho phép bạn không bị giới hạn bởi kiểu cố định do trình duyệt cung cấp cho các vùng được đánh dấu (::selection, ::inactive-selection) và đánh dấu về các lỗi cú pháp (::chính tả-lỗi, ::ngữ pháp- lỗi). Phiên bản đầu tiên của API cung cấp hỗ trợ thay đổi màu văn bản và màu nền bằng cách sử dụng các phần tử giả màu và màu nền, nhưng các tùy chọn kiểu dáng khác sẽ được thêm vào trong tương lai.

  Là một ví dụ về các nhiệm vụ có thể được giải quyết bằng API mới, đề cập đến việc thêm vào các khung web cung cấp công cụ chỉnh sửa văn bản, cơ chế chọn văn bản của riêng chúng, các điểm nổi bật khác nhau để nhiều người dùng cùng chỉnh sửa đồng thời, tìm kiếm trong tài liệu ảo hóa và gắn cờ lỗi khi kiểm tra chính tả. Nếu như trước đây, việc tạo vùng đánh dấu không chuẩn đòi hỏi các thao tác phức tạp với cây DOM thì Custom Highlight API cung cấp các thao tác có sẵn để thêm và xóa vùng đánh dấu không ảnh hưởng đến cấu trúc DOM và áp dụng các kiểu liên quan đến đối tượng Phạm vi.

• Đã thêm truy vấn “@container” vào CSS, cho phép tạo kiểu các phần tử dựa trên kích thước của phần tử gốc. “@container” tương tự như truy vấn “@media”, nhưng không được áp dụng cho kích thước của toàn bộ khu vực hiển thị mà cho kích thước của khối (vùng chứa) mà phần tử được đặt trong đó, cho phép bạn đặt phần tử của riêng mình logic lựa chọn kiểu cho các phần tử con, bất kể phần tử được đặt chính xác ở đâu trên trang.
• Đã thêm lớp giả CSS “:has()” để kiểm tra sự hiện diện của phần tử con trong phần tử cha. Ví dụ: "p:has(span)" kéo dài các phần tử , bên trong có một phần tử .
• Đã thêm API HTML Sanitizer, cho phép bạn loại bỏ các phần tử khỏi nội dung ảnh hưởng đến việc hiển thị và thực thi trong khi xuất thông qua phương thức setHTML(). API có thể hữu ích trong việc làm sạch dữ liệu bên ngoài nhằm xóa các thẻ HTML có thể được sử dụng để thực hiện các cuộc tấn công XSS.
• Có thể sử dụng API luồng (ReadableStream) để gửi yêu cầu tìm nạp trước khi nội dung phản hồi được tải, tức là. bạn có thể bắt đầu gửi dữ liệu mà không cần đợi quá trình tạo trang hoàn tất.
• Đối với các ứng dụng web độc lập đã cài đặt (PWA, Progressive Web App), có thể thay đổi thiết kế của khu vực tiêu đề cửa sổ bằng cách sử dụng các thành phần Lớp phủ Điều khiển Cửa sổ, giúp mở rộng vùng màn hình của ứng dụng web ra toàn bộ cửa sổ và giúp ứng dụng web có diện mạo giống như một ứng dụng máy tính để bàn thông thường. Một ứng dụng web có thể kiểm soát việc hiển thị và xử lý đầu vào trong toàn bộ cửa sổ, ngoại trừ khối lớp phủ có các nút điều khiển cửa sổ tiêu chuẩn (đóng, thu nhỏ, phóng to).
• Khả năng truy cập Tiện ích mở rộng nguồn đa phương tiện từ các trình xử lý chuyên dụng (trong ngữ cảnh Chuyên dụng) đã được ổn định, ví dụ: có thể được sử dụng để cải thiện hiệu suất phát lại dữ liệu đa phương tiện được đệm bằng cách tạo đối tượng MediaSource trong một trình xử lý riêng biệt và phát sóng kết quả công việc của nó đối với HTMLMediaElement trong luồng chính.
• Trong API Gợi ý Khách hàng, đang được phát triển để thay thế tiêu đề Tác nhân Người dùng và cho phép bạn cung cấp có chọn lọc dữ liệu về các tham số hệ thống và trình duyệt cụ thể (phiên bản, nền tảng, v.v.) chỉ sau khi có yêu cầu của máy chủ, hỗ trợ cho Sec Thuộc tính -CH-Viewport-Heigh đã được thêm vào, cho phép bạn lấy thông tin về chiều cao của vùng hiển thị. Định dạng đánh dấu để đặt tham số Gợi ý Máy khách cho các tài nguyên bên ngoài trong thẻ “meta” đã được thay đổi: Trước đây: Đã trở thành:
• Đã thêm khả năng tạo trình xử lý sự kiện onb Beforeinput toàn cầu (document.documentElement.onb Beforeinput), trong đó các ứng dụng web có thể ghi đè hành vi khi chỉnh sửa văn bản theo khối , và các phần tử khác có bộ thuộc tính "contenteditable", trước khi trình duyệt thay đổi nội dung và cây DOM của phần tử.
• Các khả năng của API Điều hướng đã được mở rộng, cho phép các ứng dụng web chặn các hoạt động điều hướng trong một cửa sổ, bắt đầu quá trình chuyển đổi và phân tích lịch sử các hành động với ứng dụng. Đã thêm các phương thức mới chặn() để chặn quá trình chuyển đổi và cuộn() để cuộn đến một vị trí nhất định.
• Đã thêm phương thức tĩnh Response.json(), cho phép bạn tạo nội dung phản hồi dựa trên dữ liệu thuộc loại JSON.
• Những cải tiến đã được thực hiện đối với các công cụ dành cho nhà phát triển web. Trong trình gỡ lỗi, khi điểm dừng được kích hoạt, việc chỉnh sửa các chức năng hàng đầu trong ngăn xếp được cho phép mà không làm gián đoạn phiên gỡ lỗi. Bảng ghi, cho phép bạn ghi, phát lại và phân tích hành động của người dùng trên một trang, hỗ trợ các điểm dừng, phát lại từng bước và ghi lại các sự kiện di chuột qua.

  Chỉ số LCP (Sơn nội dung lớn nhất) đã được thêm vào bảng điều khiển hiệu suất để xác định độ trễ khi hiển thị các phần tử lớn (người dùng có thể nhìn thấy) trong vùng hiển thị, chẳng hạn như hình ảnh, video và phần tử khối. Trong bảng Thành phần, các lớp trên cùng hiển thị phía trên nội dung khác được đánh dấu bằng một biểu tượng đặc biệt. WebAssembly cung cấp khả năng tải dữ liệu gỡ lỗi ở định dạng DWARF.

Ngoài những cải tiến và sửa lỗi, phiên bản mới còn loại bỏ 24 lỗ hổng. Nhiều lỗ hổng được xác định là kết quả của quá trình kiểm tra tự động bằng cách sử dụng các công cụ addressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer và AFL. Không có vấn đề nghiêm trọng nào được xác định có thể cho phép một người vượt qua tất cả các cấp độ bảo vệ của trình duyệt và thực thi mã trên hệ thống bên ngoài môi trường hộp cát. Là một phần của chương trình trả thưởng bằng tiền mặt cho việc phát hiện ra các lỗ hổng cho bản phát hành hiện tại, Google đã trả 21 giải thưởng trị giá 60500 USD (một giải thưởng 10000 USD, một giải thưởng 9000 USD, một giải thưởng 7500 USD, một giải thưởng 7000 USD, hai giải thưởng 5000 USD, bốn giải thưởng 3000 USD, hai giải thưởng ). $2000 và một $1000 tiền thưởng). Quy mô của bảy phần thưởng vẫn chưa được xác định.

Nguồn: opennet.ru