Bản phát hành Chrome 91

Google đã tiết lộ việc phát hành trình duyệt web Chrome 91. Đồng thời, đã có sẵn bản phát hành ổn định của dự án Chrome miễn phí, đóng vai trò là nền tảng của Chrome. Trình duyệt Chrome nổi bật nhờ việc sử dụng logo Google, sự hiện diện của hệ thống gửi thông báo trong trường hợp gặp sự cố, mô-đun phát nội dung video được bảo vệ (DRM), hệ thống tự động cài đặt các bản cập nhật và truyền thông số RLZ khi tìm kiếm. Bản phát hành tiếp theo của Chrome 92 được lên lịch vào ngày 20 tháng XNUMX.

Những thay đổi chính trong Chrome 91:

• Đã triển khai khả năng dừng thực thi JavaScript trong nhóm tab bị thu gọn. Chrome 85 đã giới thiệu hỗ trợ sắp xếp các tab thành các nhóm có thể được liên kết với một màu và nhãn cụ thể. Khi bạn nhấp vào nhãn nhóm, các tab được liên kết với nhãn đó sẽ bị thu gọn và thay vào đó, một nhãn vẫn còn lại (nhấp vào nhãn một lần nữa sẽ mở nhóm). Trong bản phát hành mới, để giảm tải CPU và tiết kiệm năng lượng, hoạt động trong các tab thu nhỏ đã bị tạm dừng. Một ngoại lệ chỉ được thực hiện đối với các tab phát âm thanh, sử dụng Web Locks hoặc API IndexedDB, kết nối với thiết bị USB hoặc quay video, âm thanh hoặc nội dung cửa sổ. Thay đổi sẽ được triển khai dần dần, bắt đầu với một tỷ lệ nhỏ người dùng.
• Bao gồm hỗ trợ cho phương pháp thỏa thuận chính có khả năng chống lại lực lượng vũ phu trên máy tính lượng tử. Máy tính lượng tử hoàn toàn nhanh hơn trong việc giải quyết vấn đề phân tách số tự nhiên thành thừa số nguyên tố, vốn là nền tảng của các thuật toán mã hóa bất đối xứng hiện đại và không thể giải quyết một cách hiệu quả trên các bộ xử lý cổ điển. Để sử dụng trong TLSv1.3, plugin CECPQ2 (Đường cong Elliptic kết hợp và Hậu lượng tử 2) được cung cấp, kết hợp cơ chế trao đổi khóa X25519 cổ điển với sơ đồ HRSS dựa trên thuật toán NTRU Prime, được thiết kế cho các hệ thống mật mã sau lượng tử.
• Hỗ trợ cho các giao thức TLS 1.0 và TLS 1.1, đã bị ủy ban IETF (Lực lượng đặc nhiệm kỹ thuật Internet) coi là lỗi thời, đã bị ngừng hoàn toàn. Bao gồm khả năng trả lại TLS 1.0/1.1 bằng cách thay đổi chính sách SSLVersionMin đã bị xóa.
• Các tập hợp dành cho nền tảng Linux bao gồm việc sử dụng chế độ “DNS qua HTTPS” (DoH, DNS qua HTTPS), chế độ này trước đây đã được cung cấp cho người dùng Windows, macOS, ChromeOS và Android. DNS-over-HTTPS sẽ được kích hoạt tự động cho những người dùng có cài đặt chỉ định nhà cung cấp DNS hỗ trợ công nghệ này (đối với DNS-over-HTTPS, nhà cung cấp tương tự được sử dụng như đối với DNS). Ví dụ: nếu người dùng có DNS 8.8.8.8 được chỉ định trong cài đặt hệ thống thì dịch vụ DNS-over-HTTPS của Google (“https://dns.google.com/dns-query”) sẽ được kích hoạt trong Chrome nếu DNS là 1.1.1.1 , sau đó là dịch vụ DNS-over-HTTPS Cloudflare (“https://cloudflare-dns.com/dns-query”), v.v.
• Cổng 10080, được sử dụng trong bản sao lưu Amanda và VMWare vCenter, đã được thêm vào danh sách các cổng mạng bị cấm. Trước đây, các cổng 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 và 6566 đã bị chặn. Đối với các cổng trong danh sách đen, việc gửi yêu cầu HTTP, HTTPS và FTP bị chặn để bảo vệ chống lại cuộc tấn công trượt luồng NAT , cho phép khi mở một trang web do kẻ tấn công chuẩn bị đặc biệt trong trình duyệt, thiết lập kết nối mạng từ máy chủ của kẻ tấn công tới bất kỳ cổng UDP hoặc TCP nào trên hệ thống của người dùng, bất chấp việc sử dụng dải địa chỉ nội bộ (192.168.xx, 10 .xxx).
• Có thể định cấu hình tự động khởi chạy các ứng dụng web độc lập (PWA - Progressive Web Apps) khi người dùng đăng nhập vào hệ thống (Windows và macOS). Tự động chạy được định cấu hình trên trang chrome://apps. Chức năng này hiện đang được thử nghiệm trên một tỷ lệ nhỏ người dùng và đối với những người còn lại, chức năng này yêu cầu kích hoạt cài đặt “chrome://flags/#enable-desktop-pwas-run-on-os-login”.
• Là một phần trong công việc nhằm chuyển trình duyệt sang sử dụng thuật ngữ tổng hợp, tệp "master_preferences" đã được đổi tên thành "initial_preferences". Để duy trì khả năng tương thích, hỗ trợ cho “master_preferences” sẽ vẫn còn trong trình duyệt trong một thời gian. Trước đây, trình duyệt đã loại bỏ việc sử dụng các từ “danh sách trắng”, “danh sách đen” và “gốc”.
• Chế độ Duyệt web an toàn nâng cao, kích hoạt các bước kiểm tra bổ sung để bảo vệ chống lừa đảo, hoạt động độc hại và các mối đe dọa khác trên Web, bao gồm khả năng gửi các tệp đã tải xuống để quét từ phía Google. Ngoài ra, Duyệt web an toàn nâng cao triển khai tính năng tính toán các mã thông báo được liên kết với tài khoản Google khi xác định các nỗ lực lừa đảo, cũng như gửi các giá trị tiêu đề Người giới thiệu đến máy chủ Google để kiểm tra việc chuyển tiếp từ một trang web độc hại.
• Trong phiên bản dành cho nền tảng Android, thiết kế của các thành phần biểu mẫu web đã được cải tiến, được tối ưu hóa để sử dụng trên màn hình cảm ứng và hệ thống dành cho người khuyết tật (đối với hệ thống máy tính để bàn, thiết kế đã được làm lại trong Chrome 83). Mục đích của việc làm lại là để thống nhất thiết kế của các thành phần biểu mẫu và loại bỏ sự không nhất quán về kiểu dáng - trước đây, một số thành phần biểu mẫu được thiết kế phù hợp với các thành phần giao diện hệ điều hành và một số thành phần biểu mẫu phù hợp với các kiểu phổ biến nhất. Do đó, các thành phần khác nhau sẽ phù hợp khác nhau đối với màn hình cảm ứng và hệ thống dành cho người khuyết tật.
• Đã thêm cuộc thăm dò ý kiến ​​của người dùng được hiển thị khi mở cài đặt Hộp cát về quyền riêng tư (chrome://settings/privacySandbox).
• Khi chạy phiên bản Chrome dành cho Android trên máy tính bảng có màn hình lớn, yêu cầu được đưa ra cho phiên bản dành cho máy tính để bàn của trang web chứ không phải phiên bản dành cho thiết bị di động. Bạn có thể thay đổi hành vi bằng cách sử dụng cài đặt “chrome://flags/#request-desktop-site-for-tablets”.
• Mã để hiển thị bảng đã được làm lại, cho phép chúng tôi giải quyết các vấn đề về hành vi không nhất quán khi hiển thị bảng trong Chrome và trong Firefox/Safari.
• Việc xử lý chứng chỉ máy chủ từ cơ quan chứng nhận Camerfirma của Tây Ban Nha đã bị dừng do các sự cố tái diễn kể từ năm 2017 liên quan đến vi phạm trong việc cấp chứng chỉ. Hỗ trợ cho chứng chỉ ứng dụng khách được giữ lại; việc chặn chỉ áp dụng cho các chứng chỉ được sử dụng trên các trang web HTTPS.
• Chúng tôi tiếp tục triển khai hỗ trợ phân đoạn mạng để bảo vệ khỏi các phương pháp theo dõi chuyển động của người dùng giữa các trang web dựa trên việc lưu trữ số nhận dạng trong các khu vực không dành cho việc lưu trữ thông tin vĩnh viễn (“Siêu cookie”). Bởi vì các tài nguyên được lưu trong bộ nhớ đệm được lưu trữ trong một không gian tên chung, bất kể miền gốc là gì, một trang web có thể xác định rằng một trang khác đang tải tài nguyên bằng cách kiểm tra xem tài nguyên đó có trong bộ nhớ đệm hay không. Việc bảo vệ dựa trên việc sử dụng phân đoạn mạng (Phân vùng mạng), bản chất của nó là thêm vào bộ đệm chia sẻ ràng buộc bổ sung của các bản ghi với miền mà trang chính được mở, điều này giới hạn phạm vi bộ đệm chỉ dành cho các tập lệnh theo dõi chuyển động đến trang hiện tại (tập lệnh từ iframe sẽ không thể kiểm tra xem tài nguyên có được tải xuống từ trang khác hay không).

  Cái giá của việc phân đoạn là giảm hiệu quả của bộ nhớ đệm, dẫn đến thời gian tải trang tăng nhẹ (tối đa là 1.32%, nhưng đối với 80% trang web là 0.09-0.75%). Để kiểm tra chế độ phân đoạn, bạn có thể chạy trình duyệt với tùy chọn “—enable-features=PartitionConnectionsByNetworkIsolationKey, Phân vùngExpectCTStateByNetworkIsolationKey, Phân vùngHttpServerPropertiesByNetworkIsolationKey, Phân vùngNelAndReportingByNetworkIsolationKey, Phân vùngSSLSessionsByNetworkIsolationKey, SplitHostCacheB yNetworkIsolationKey".

• Đã thêm Lịch sử phiên bản API REST bên ngoài (https://versionhistory.googleapis.com/v1/chrome), qua đó bạn có thể nhận thông tin về các phiên bản Chrome liên quan đến nền tảng và nhánh cũng như lịch sử cập nhật trình duyệt.
• Trong các iframe được tải từ các miền không phải miền của trang cơ sở, việc hiển thị các hộp thoại JavaScript Alert(), confirm() và Remind() đều bị cấm, điều này sẽ bảo vệ người dùng khỏi các nỗ lực của tập lệnh bên thứ ba nhằm hiển thị thông báo trong giả định rằng thông báo đã được hiển thị bởi trang web chính.
• API WebAssembly SIMD đã được ổn định và được cung cấp theo mặc định để sử dụng các hướng dẫn SIMD vector trong các ứng dụng có định dạng WebAssembly. Để đảm bảo tính độc lập của nền tảng, nó cung cấp loại 128 bit mới có thể biểu diễn các loại dữ liệu đóng gói khác nhau và một số thao tác vectơ cơ bản để xử lý dữ liệu đóng gói. SIMD cho phép bạn tăng năng suất bằng cách xử lý dữ liệu song song và sẽ hữu ích khi biên dịch mã gốc vào WebAssembly.
• Một số API mới đã được thêm vào chế độ Bản dùng thử gốc (các tính năng thử nghiệm yêu cầu kích hoạt riêng). Bản dùng thử gốc ngụ ý khả năng hoạt động với API được chỉ định từ các ứng dụng được tải xuống từ máy chủ cục bộ hoặc 127.0.0.1 hoặc sau khi đăng ký và nhận mã thông báo đặc biệt có giá trị trong thời gian giới hạn cho một trang web cụ thể.
  • WebTransport là một giao thức và API JavaScript đi kèm để gửi và nhận dữ liệu giữa trình duyệt và máy chủ. Kênh liên lạc được tổ chức dựa trên HTTP/3 bằng cách sử dụng giao thức QUIC làm phương tiện truyền tải, giao thức này là một tiện ích bổ sung cho giao thức UDP hỗ trợ ghép kênh nhiều kết nối và cung cấp các phương thức mã hóa tương đương với TLS/SSL.

    WebTransport có thể được sử dụng thay cho cơ chế WebSockets và RTCDataChannel, cung cấp các tính năng bổ sung như truyền đa luồng, luồng một chiều, phân phối không theo thứ tự, chế độ phân phối đáng tin cậy và không đáng tin cậy. Ngoài ra, WebTransport có thể được sử dụng thay cho cơ chế Server Push mà Google đã loại bỏ trong Chrome.

  • Giao diện khai báo để xác định liên kết đến các ứng dụng web độc lập (PWA), được bật bằng tham số capture_links trong bảng kê khai ứng dụng web và cho phép các trang web tự động mở cửa sổ PWA mới khi nhấp vào liên kết ứng dụng hoặc chuyển sang chế độ một cửa sổ, tương tự như các ứng dụng di động.
  • Đã thêm API phát hiện mặt phẳng WebXR, cung cấp thông tin về các bề mặt phẳng trong môi trường 3D ảo. API được chỉ định giúp tránh việc xử lý dữ liệu tốn nhiều tài nguyên thu được thông qua lệnh gọi MediaDevices.getUserMedia(), bằng cách sử dụng triển khai độc quyền các thuật toán thị giác máy tính. Hãy để chúng tôi nhắc bạn rằng API WebXR cho phép bạn hợp nhất công việc với nhiều loại thiết bị thực tế ảo khác nhau, từ mũ bảo hiểm 3D cố định đến các giải pháp dựa trên thiết bị di động.
• Hỗ trợ làm việc với WebSockets qua HTTP/2 (RFC 8441) đã được triển khai, chỉ hợp lệ cho các yêu cầu bảo mật tới WebSockets và khi có kết nối HTTP/2 đã được thiết lập với máy chủ, thông báo hỗ trợ cho “WebSockets over Phần mở rộng HTTP/2”.
• Các giới hạn về độ chính xác của các giá trị bộ hẹn giờ do lệnh gọi performance.now() tạo ra nhất quán trên tất cả các nền tảng được hỗ trợ và phù hợp với khả năng cô lập các trình xử lý trong các quy trình riêng biệt. Ví dụ: trên hệ thống máy tính để bàn, độ chính xác khi xử lý trong bối cảnh không bị cô lập đã giảm từ 5 xuống 100 micro giây.
• Các bản dựng máy tính để bàn hiện bao gồm khả năng đọc tệp từ bảng ghi tạm (việc ghi tệp vào bảng tạm vẫn bị cấm). hàm không đồng bộ onPaste(e) { let file = e.clipboardData.files[0]; let nội dung = đang chờ file.text(); }
• CSS triển khai quy tắc kiểu @counter, cho phép bạn xác định kiểu của riêng mình cho bộ đếm và nhãn trong danh sách được đánh số.
• Các lớp giả CSS “:host()” và “:host-context()” đã thêm khả năng truyền các giá trị đơn lẻ của bộ chọn kết hợp ( ) ngoài danh sách bộ chọn ( ).
• Đã thêm giao diện GravitySensor để xác định dữ liệu thể tích (ba trục tọa độ) từ cảm biến trọng lực.
• API truy cập hệ thống tệp cung cấp khả năng xác định các đề xuất để chọn tên tệp và thư mục được cung cấp trong hộp thoại để tạo hoặc mở tệp.
• Iframe được tải từ các miền khác được phép truy cập API WebOTP nếu người dùng cấp các quyền thích hợp. WebOTP cho phép bạn đọc mã xác minh một lần được gửi qua SMS.
• Được phép chia sẻ quyền truy cập vào thông tin xác thực cho các trang web được liên kết bằng cơ chế DAL (Liên kết tài sản kỹ thuật số), cho phép các ứng dụng Android được liên kết với các trang web để đơn giản hóa việc đăng nhập.
• Nhân viên dịch vụ cho phép sử dụng các mô-đun JavaScript. Khi bạn chỉ định loại 'mô-đun' khi gọi hàm tạo, các tập lệnh được chỉ định sẽ được tải ở dạng mô-đun và có sẵn để nhập trong ngữ cảnh của nhân viên. Hỗ trợ mô-đun giúp dễ dàng chia sẻ mã trên các trang web và nhân viên dịch vụ.
• JavaScript cung cấp khả năng kiểm tra sự tồn tại của các trường riêng tư trong một đối tượng bằng cú pháp "#foo in obj". lớp A { kiểm tra tĩnh(obj) { console.log(#foo in obj); } #foo = 0; } A.test(new A()); // đúng A.test({}); // SAI
• Theo mặc định, JavaScript cho phép sử dụng từ khóa chờ đợi trong các mô-đun ở cấp cao nhất, điều này cho phép các cuộc gọi không đồng bộ được tích hợp suôn sẻ hơn vào quá trình tải mô-đun và tránh gói chúng trong một “hàm không đồng bộ”. Ví dụ: thay vì (async function() { chờ Promise.resolve(console.log('test')); }()); bây giờ bạn có thể viết chờ Promise.resolve(console.log('test'));
• Công cụ JavaScript V8 đã cải thiện hiệu quả của bộ nhớ đệm mẫu, giúp tăng tốc độ vượt qua bài kiểm tra Speedometer4.5-FlightJS lên 2%.
• Một phần lớn các cải tiến đã được thực hiện đối với các công cụ dành cho nhà phát triển web. Chế độ Trình kiểm tra bộ nhớ mới đã được thêm vào, cung cấp các công cụ để kiểm tra dữ liệu ArrayBuffer và bộ nhớ Wasm.

  Chỉ báo hiệu suất tóm tắt đã được thêm vào bảng Hiệu suất, cho phép bạn đánh giá xem trang web có cần tối ưu hóa hay không.

  

  Bản xem trước hình ảnh trong bảng Thành phần và bảng Phân tích Mạng cung cấp thông tin về tỷ lệ khung hình, tùy chọn hiển thị và kích thước tệp của hình ảnh.

  

  Trong bảng kiểm tra mạng, giờ đây có thể thay đổi các giá trị được chấp nhận của tiêu đề Mã hóa nội dung.

  

  Trong bảng kiểu, giờ đây bạn có thể xem nhanh giá trị được tính toán khi điều hướng qua các tham số CSS bằng cách chọn “Xem giá trị được tính toán” trong menu ngữ cảnh.

  

Ngoài những cải tiến và sửa lỗi, phiên bản mới còn loại bỏ 32 lỗ hổng. Nhiều lỗ hổng được xác định là kết quả của quá trình kiểm tra tự động bằng cách sử dụng các công cụ addressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer và AFL. Không có vấn đề nghiêm trọng nào được xác định có thể cho phép một người vượt qua tất cả các cấp độ bảo vệ của trình duyệt và thực thi mã trên hệ thống bên ngoài môi trường hộp cát. Là một phần của chương trình trả thưởng bằng tiền mặt cho việc phát hiện ra các lỗ hổng cho bản phát hành hiện tại, Google đã trả 21 giải thưởng trị giá 92000 USD (một giải thưởng 20000 USD, một giải thưởng 15000 USD, bốn giải thưởng 7500 USD, ba giải thưởng 5000 USD, ba giải thưởng 3000 USD, hai giải thưởng 1000 USD và hai giải thưởng 500 USD). 5 USD). Quy mô của XNUMX phần thưởng vẫn chưa được xác định.

Nguồn: opennet.ru