Bản phát hành Chrome 91

Google đã tiết lộ việc phát hành trình duyệt web Chrome 91. Đồng thời, đã có sẵn bản phát hành ổn định của dự án Chrome miễn phí, đóng vai trò là nền tảng của Chrome. Trình duyệt Chrome nổi bật nhờ việc sử dụng logo Google, sự hiện diện của hệ thống gửi thông báo trong trường hợp gặp sự cố, mô-đun phát nội dung video được bảo vệ (DRM), hệ thống tự động cài đặt các bản cập nhật và truyền thông số RLZ khi tìm kiếm. Bản phát hành tiếp theo của Chrome 92 được lên lịch vào ngày 20 tháng XNUMX.

Những thay đổi chính trong Chrome 91:

• Đã triển khai khả năng dừng thực thi JavaScript trong nhóm tab bị thu gọn. Chrome 85 đã giới thiệu hỗ trợ sắp xếp các tab thành các nhóm có thể được liên kết với một màu và nhãn cụ thể. Khi bạn nhấp vào nhãn nhóm, các tab được liên kết với nhãn đó sẽ bị thu gọn và thay vào đó, một nhãn vẫn còn lại (nhấp vào nhãn một lần nữa sẽ mở nhóm). Trong bản phát hành mới, để giảm tải CPU và tiết kiệm năng lượng, hoạt động trong các tab thu nhỏ đã bị tạm dừng. Một ngoại lệ chỉ được thực hiện đối với các tab phát âm thanh, sử dụng Web Locks hoặc API IndexedDB, kết nối với thiết bị USB hoặc quay video, âm thanh hoặc nội dung cửa sổ. Thay đổi sẽ được triển khai dần dần, bắt đầu với một tỷ lệ nhỏ người dùng.
• Bao gồm hỗ trợ cho phương pháp thỏa thuận chính có khả năng chống lại lực lượng vũ phu trên máy tính lượng tử. Máy tính lượng tử hoàn toàn nhanh hơn trong việc giải quyết vấn đề phân tách số tự nhiên thành thừa số nguyên tố, vốn là nền tảng của các thuật toán mã hóa bất đối xứng hiện đại và không thể giải quyết một cách hiệu quả trên các bộ xử lý cổ điển. Để sử dụng trong TLSv1.3, plugin CECPQ2 (Đường cong Elliptic kết hợp và Hậu lượng tử 2) được cung cấp, kết hợp cơ chế trao đổi khóa X25519 cổ điển với sơ đồ HRSS dựa trên thuật toán NTRU Prime, được thiết kế cho các hệ thống mật mã sau lượng tử.
• Hỗ trợ cho các giao thức TLS 1.0 và TLS 1.1, đã bị ủy ban IETF (Lực lượng đặc nhiệm kỹ thuật Internet) coi là lỗi thời, đã bị ngừng hoàn toàn. Bao gồm khả năng trả lại TLS 1.0/1.1 bằng cách thay đổi chính sách SSLVersionMin đã bị xóa.
• Trong các cụm lắp ráp cho nền tảng Linux Chế độ "DNS qua HTTPS" (DoH), vốn đã được cung cấp cho người dùng trước đây, hiện đã được kích hoạt. Windows, macOS, ChromeOS và AndroidDNS-over-HTTPS sẽ tự động được kích hoạt cho người dùng có nhà cung cấp DNS hỗ trợ công nghệ này trong cài đặt của họ (cùng một nhà cung cấp được sử dụng cho DNS cũng được sử dụng cho DNS-over-HTTPS). Ví dụ, nếu người dùng đã chỉ định DNS 8.8.8.8 trong cài đặt hệ thống của họ, dịch vụ DNS-over-HTTPS của Google ("https://dns.google.com/dns-query") sẽ được kích hoạt trong Chrome; nếu DNS là 1.1.1.1, dịch vụ DNS-over-HTTPS của Cloudflare ("https://cloudflare-dns.com/dns-query") sẽ được kích hoạt, và cứ thế tiếp tục.
• Cổng 10080, được sử dụng trong bản sao lưu Amanda và VMWare vCenter, đã được thêm vào danh sách các cổng mạng bị cấm. Trước đây, các cổng 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061 và 6566 đã bị chặn. Đối với các cổng trong danh sách đen, việc gửi yêu cầu HTTP, HTTPS và FTP bị chặn để bảo vệ chống lại cuộc tấn công trượt luồng NAT , cho phép khi mở một trang web do kẻ tấn công chuẩn bị đặc biệt trong trình duyệt, thiết lập kết nối mạng từ máy chủ của kẻ tấn công tới bất kỳ cổng UDP hoặc TCP nào trên hệ thống của người dùng, bất chấp việc sử dụng dải địa chỉ nội bộ (192.168.xx, 10 .xxx).
• Chức năng cấu hình cho phép tự động khởi chạy các ứng dụng web độc lập (PWA - Progressive Web Apps) khi người dùng đăng nhập được cung cấp.Windows и macOSChức năng tự khởi động được cấu hình trên trang chrome://apps. Chức năng này hiện đang được thử nghiệm trên một phần nhỏ người dùng, và đối với những người dùng còn lại, cần phải bật thiết lập "chrome://flags/#enable-desktop-pwas-run-on-os-login."
• Là một phần trong công việc nhằm chuyển trình duyệt sang sử dụng thuật ngữ tổng hợp, tệp "master_preferences" đã được đổi tên thành "initial_preferences". Để duy trì khả năng tương thích, hỗ trợ cho “master_preferences” sẽ vẫn còn trong trình duyệt trong một thời gian. Trước đây, trình duyệt đã loại bỏ việc sử dụng các từ “danh sách trắng”, “danh sách đen” và “gốc”.
• Chế độ Duyệt web an toàn nâng cao, kích hoạt các bước kiểm tra bổ sung để bảo vệ chống lừa đảo, hoạt động độc hại và các mối đe dọa khác trên Web, bao gồm khả năng gửi các tệp đã tải xuống để quét từ phía Google. Ngoài ra, Duyệt web an toàn nâng cao triển khai tính năng tính toán các mã thông báo được liên kết với tài khoản Google khi xác định các nỗ lực lừa đảo, cũng như gửi các giá trị tiêu đề Người giới thiệu đến máy chủ Google để kiểm tra việc chuyển tiếp từ một trang web độc hại.
• Trong phiên bản dành cho nền tảng Android Thiết kế các phần tử biểu mẫu web đã được cải tiến, tối ưu hóa để sử dụng trên màn hình cảm ứng và các hệ thống hỗ trợ người khuyết tật (thiết kế cho hệ thống máy tính để bàn đã được thiết kế lại trong Chrome 83). Việc thiết kế lại này đã thống nhất thiết kế của các phần tử biểu mẫu và loại bỏ sự không nhất quán về kiểu dáng. Trước đây, một số phần tử biểu mẫu được thiết kế để phù hợp với các phần tử giao diện của hệ điều hành, trong khi những phần tử khác lại tuân theo các kiểu dáng phổ biến nhất. Điều này dẫn đến việc các phần tử khác nhau được thiết kế phù hợp khác nhau cho màn hình cảm ứng và các hệ thống hỗ trợ người khuyết tật.
• Đã thêm cuộc thăm dò ý kiến ​​của người dùng được hiển thị khi mở cài đặt Hộp cát về quyền riêng tư (chrome://settings/privacySandbox).
• Khi chạy AndroidPhiên bản Chrome trên máy tính bảng có màn hình lớn chắc chắn sẽ yêu cầu phiên bản dành cho máy tính để bàn của trang web, chứ không phải phiên bản dành cho thiết bị di động. Bạn có thể thay đổi hành vi này bằng cách sử dụng thiết lập "chrome://flags/#request-desktop-site-for-tablets".
• Mã để hiển thị bảng đã được làm lại, cho phép chúng tôi giải quyết các vấn đề về hành vi không nhất quán khi hiển thị bảng trong Chrome và trong Firefox/Safari.
• Việc xử lý chứng chỉ máy chủ từ cơ quan chứng nhận Camerfirma của Tây Ban Nha đã bị dừng do các sự cố tái diễn kể từ năm 2017 liên quan đến vi phạm trong việc cấp chứng chỉ. Hỗ trợ cho chứng chỉ ứng dụng khách được giữ lại; việc chặn chỉ áp dụng cho các chứng chỉ được sử dụng trên các trang web HTTPS.
• Việc hỗ trợ phân đoạn mạng tiếp tục được duy trì để bảo vệ chống lại các phương pháp theo dõi xuyên trang web dựa trên việc lưu trữ các định danh trong các khu vực không dành cho lưu trữ lâu dài ("Supercookies"). Vì các tài nguyên được lưu trữ trong bộ nhớ cache nằm trong không gian tên dùng chung, bất kể tên miền gốc là gì, một trang web có thể phát hiện việc tải tài nguyên từ một trang web khác bằng cách kiểm tra xem tài nguyên đó có trong bộ nhớ cache hay không. Sự bảo vệ này dựa trên việc sử dụng phân vùng mạng, bao gồm việc thêm các ánh xạ bổ sung vào bộ nhớ cache dùng chung. lãnh địaTừ đó trang chính được mở ra, điều này giới hạn phạm vi của bộ nhớ đệm để theo dõi các tập lệnh chỉ trong trang web hiện tại (một tập lệnh từ iframe sẽ không thể kiểm tra xem tài nguyên có được tải từ trang web khác hay không).

  Cái giá của việc phân đoạn là giảm hiệu quả của bộ nhớ đệm, dẫn đến thời gian tải trang tăng nhẹ (tối đa là 1.32%, nhưng đối với 80% trang web là 0.09-0.75%). Để kiểm tra chế độ phân đoạn, bạn có thể chạy trình duyệt với tùy chọn “—enable-features=PartitionConnectionsByNetworkIsolationKey, Phân vùngExpectCTStateByNetworkIsolationKey, Phân vùngHttpServerPropertiesByNetworkIsolationKey, Phân vùngNelAndReportingByNetworkIsolationKey, Phân vùngSSLSessionsByNetworkIsolationKey, SplitHostCacheB yNetworkIsolationKey".

• Đã thêm Lịch sử phiên bản API REST bên ngoài (https://versionhistory.googleapis.com/v1/chrome), qua đó bạn có thể nhận thông tin về các phiên bản Chrome liên quan đến nền tảng và nhánh cũng như lịch sử cập nhật trình duyệt.
• Trong các iframe được tải từ các miền không phải miền của trang cơ sở, việc hiển thị các hộp thoại JavaScript Alert(), confirm() và Remind() đều bị cấm, điều này sẽ bảo vệ người dùng khỏi các nỗ lực của tập lệnh bên thứ ba nhằm hiển thị thông báo trong giả định rằng thông báo đã được hiển thị bởi trang web chính.
• API WebAssembly SIMD đã được ổn định và được cung cấp theo mặc định để sử dụng các hướng dẫn SIMD vector trong các ứng dụng có định dạng WebAssembly. Để đảm bảo tính độc lập của nền tảng, nó cung cấp loại 128 bit mới có thể biểu diễn các loại dữ liệu đóng gói khác nhau và một số thao tác vectơ cơ bản để xử lý dữ liệu đóng gói. SIMD cho phép bạn tăng năng suất bằng cách xử lý dữ liệu song song và sẽ hữu ích khi biên dịch mã gốc vào WebAssembly.
• Một số API mới đã được thêm vào chế độ Bản dùng thử gốc (các tính năng thử nghiệm yêu cầu kích hoạt riêng). Bản dùng thử gốc ngụ ý khả năng hoạt động với API được chỉ định từ các ứng dụng được tải xuống từ máy chủ cục bộ hoặc 127.0.0.1 hoặc sau khi đăng ký và nhận mã thông báo đặc biệt có giá trị trong thời gian giới hạn cho một trang web cụ thể.
  • WebTransport là một giao thức và API JavaScript đi kèm để gửi và nhận dữ liệu giữa trình duyệt và máy tính. người phục vụKênh truyền thông được tổ chức trên nền tảng HTTP/3 sử dụng giao thức QUIC làm phương tiện vận chuyển, vốn là một phần bổ sung cho giao thức UDP, hỗ trợ ghép kênh nhiều kết nối và cung cấp các phương thức mã hóa tương đương với TLS/SSL.

    WebTransport có thể được sử dụng thay cho cơ chế WebSockets và RTCDataChannel, cung cấp các tính năng bổ sung như truyền đa luồng, luồng một chiều, phân phối không theo thứ tự, chế độ phân phối đáng tin cậy và không đáng tin cậy. Ngoài ra, WebTransport có thể được sử dụng thay cho cơ chế Server Push mà Google đã loại bỏ trong Chrome.

  • Giao diện khai báo để xác định liên kết đến các ứng dụng web độc lập (PWA), được bật bằng tham số capture_links trong bảng kê khai ứng dụng web và cho phép các trang web tự động mở cửa sổ PWA mới khi nhấp vào liên kết ứng dụng hoặc chuyển sang chế độ một cửa sổ, tương tự như các ứng dụng di động.
  • Đã thêm API phát hiện mặt phẳng WebXR, cung cấp thông tin về các bề mặt phẳng trong môi trường 3D ảo. API được chỉ định giúp tránh việc xử lý dữ liệu tốn nhiều tài nguyên thu được thông qua lệnh gọi MediaDevices.getUserMedia(), bằng cách sử dụng triển khai độc quyền các thuật toán thị giác máy tính. Hãy để chúng tôi nhắc bạn rằng API WebXR cho phép bạn hợp nhất công việc với nhiều loại thiết bị thực tế ảo khác nhau, từ mũ bảo hiểm 3D cố định đến các giải pháp dựa trên thiết bị di động.
• Hỗ trợ làm việc với WebSockets qua HTTP/2 (RFC 8441) đã được triển khai, chỉ hợp lệ cho các yêu cầu bảo mật tới WebSockets và khi có kết nối HTTP/2 đã được thiết lập với máy chủ, thông báo hỗ trợ cho “WebSockets over Phần mở rộng HTTP/2”.
• Các giới hạn về độ chính xác của các giá trị bộ hẹn giờ do lệnh gọi performance.now() tạo ra nhất quán trên tất cả các nền tảng được hỗ trợ và phù hợp với khả năng cô lập các trình xử lý trong các quy trình riêng biệt. Ví dụ: trên hệ thống máy tính để bàn, độ chính xác khi xử lý trong bối cảnh không bị cô lập đã giảm từ 5 xuống 100 micro giây.
• Các bản dựng máy tính để bàn hiện bao gồm khả năng đọc tệp từ bảng ghi tạm (việc ghi tệp vào bảng tạm vẫn bị cấm). hàm không đồng bộ onPaste(e) { let file = e.clipboardData.files[0]; let nội dung = đang chờ file.text(); }
• CSS triển khai quy tắc kiểu @counter, cho phép bạn xác định kiểu của riêng mình cho bộ đếm và nhãn trong danh sách được đánh số.
• Các lớp giả CSS “:host()” và “:host-context()” đã thêm khả năng truyền các giá trị đơn lẻ của bộ chọn kết hợp ( ) ngoài danh sách bộ chọn ( ).
• Đã thêm giao diện GravitySensor để xác định dữ liệu thể tích (ba trục tọa độ) từ cảm biến trọng lực.
• API truy cập hệ thống tệp cung cấp khả năng xác định các đề xuất để chọn tên tệp và thư mục được cung cấp trong hộp thoại để tạo hoặc mở tệp.
• Iframe được tải từ các miền khác được phép truy cập API WebOTP nếu người dùng cấp các quyền thích hợp. WebOTP cho phép bạn đọc mã xác minh một lần được gửi qua SMS.
• Hiện nay, việc chia sẻ thông tin đăng nhập giữa các trang web được liên kết bằng cơ chế Liên kết Tài sản Kỹ thuật số (DAL) đã trở nên khả thi. Android- Các ứng dụng có trang web để đơn giản hóa quá trình đăng nhập.
• Nhân viên dịch vụ cho phép sử dụng các mô-đun JavaScript. Khi bạn chỉ định loại 'mô-đun' khi gọi hàm tạo, các tập lệnh được chỉ định sẽ được tải ở dạng mô-đun và có sẵn để nhập trong ngữ cảnh của nhân viên. Hỗ trợ mô-đun giúp dễ dàng chia sẻ mã trên các trang web và nhân viên dịch vụ.
• JavaScript cung cấp khả năng kiểm tra sự tồn tại của các trường riêng tư trong một đối tượng bằng cú pháp "#foo in obj". lớp A { kiểm tra tĩnh(obj) { console.log(#foo in obj); } #foo = 0; } A.test(new A()); // đúng A.test({}); // SAI
• Theo mặc định, JavaScript cho phép sử dụng từ khóa chờ đợi trong các mô-đun ở cấp cao nhất, điều này cho phép các cuộc gọi không đồng bộ được tích hợp suôn sẻ hơn vào quá trình tải mô-đun và tránh gói chúng trong một “hàm không đồng bộ”. Ví dụ: thay vì (async function() { chờ Promise.resolve(console.log('test')); }()); bây giờ bạn có thể viết chờ Promise.resolve(console.log('test'));
• Công cụ JavaScript V8 đã cải thiện hiệu quả của bộ nhớ đệm mẫu, giúp tăng tốc độ vượt qua bài kiểm tra Speedometer4.5-FlightJS lên 2%.
• Một phần lớn các cải tiến đã được thực hiện đối với các công cụ dành cho nhà phát triển web. Chế độ Trình kiểm tra bộ nhớ mới đã được thêm vào, cung cấp các công cụ để kiểm tra dữ liệu ArrayBuffer và bộ nhớ Wasm.

  Chỉ báo hiệu suất tóm tắt đã được thêm vào bảng Hiệu suất, cho phép bạn đánh giá xem trang web có cần tối ưu hóa hay không.

  

  Bản xem trước hình ảnh trong bảng Thành phần và bảng Phân tích Mạng cung cấp thông tin về tỷ lệ khung hình, tùy chọn hiển thị và kích thước tệp của hình ảnh.

  

  Trong bảng kiểm tra mạng, giờ đây có thể thay đổi các giá trị được chấp nhận của tiêu đề Mã hóa nội dung.

  

  Trong bảng kiểu, giờ đây bạn có thể xem nhanh giá trị được tính toán khi điều hướng qua các tham số CSS bằng cách chọn “Xem giá trị được tính toán” trong menu ngữ cảnh.

  

Ngoài những cải tiến và sửa lỗi, phiên bản mới còn loại bỏ 32 lỗ hổng. Nhiều lỗ hổng được xác định là kết quả của quá trình kiểm tra tự động bằng cách sử dụng các công cụ addressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer và AFL. Không có vấn đề nghiêm trọng nào được xác định có thể cho phép một người vượt qua tất cả các cấp độ bảo vệ của trình duyệt và thực thi mã trên hệ thống bên ngoài môi trường hộp cát. Là một phần của chương trình trả thưởng bằng tiền mặt cho việc phát hiện ra các lỗ hổng cho bản phát hành hiện tại, Google đã trả 21 giải thưởng trị giá 92000 USD (một giải thưởng 20000 USD, một giải thưởng 15000 USD, bốn giải thưởng 7500 USD, ba giải thưởng 5000 USD, ba giải thưởng 3000 USD, hai giải thưởng 1000 USD và hai giải thưởng 500 USD). 5 USD). Quy mô của XNUMX phần thưởng vẫn chưa được xác định.

Nguồn: opennet.ru