Компанія Google представила випуск веб-браузера Chrome 92

Компанія Google представила випуск веб-браузера Chrome 92. У той же час , доступний стабільний випуск безкоштовного проекту Chromium , який служить основою Chrome . Браузер Chrome відрізняється використанням логотипів Google, наявністю системи відправки повідомлень в разі збою, модулів відтворення захищеного відеоконтенту (DRM), системи автоматичної установки оновлень і передачі при пошуку параметрів RLZ. Наступний реліз Chrome 93 запланований на 31 серпня.

Основними змінами в Chrome 92 є:

• У налаштування додані інструменти для управління включенням компонентів Privacy Sandbox . Користувачеві надається можливість відключити розроблену  Google технологію FLoC (Federated Learning of Cohorts) для заміни файлів cookie відстеження на «когорти», що дозволяють виділяти користувачів зі схожими інтересами без ідентифікації осіб. Когорти розраховуються на стороні браузера через застосування алгоритмів машинного навчання до даних історії відвідувань і контенту, який відкривається в браузері.
• Для користувачів настільних систем за замовчуванням включений кеш Back-forward, який забезпечує миттєву навігацію при використанні кнопок «Назад» і «Вперед» або при навігації по раніше переглянутих сторінках поточного сайту. Раніше кеш переходів був доступний тільки в збірках для платформи Android.
• Посилено ізоляцію сайтів і доповнень в різних процесах . Якщо раніше механізм ізоляції сайту передбачав ізоляцію сайтів один від одного в різних процесах, а також виділяв всі доповнення в окремий процес, то в новому релізі відбулося відділення доповнень браузера один від одного за допомогою видалення кожного додатка в окремий процес, що створило ще один бар'єр для захисту від шкідливих доповнень.
• Продуктивність і ефективність виявлення фішингу значно підвищено . Швидкість виявлення фішингу на основі локального аналізу зображень у половині випадків зросла до 50 разів, а в 99% випадків була швидшою щонайменше в 2,5 рази. В середньому час на класифікацію фішингу із зображення зменшився з 1,8 секунди до 100 мс. В цілому навантаження на процесор, створювана всіма процесами рендеринга, знизилася на 1, 2%.
• До числа заборонених мережевих портів додані порти 989 (ftps-data) і 990 (ftps). Раніше були заблоковані порти 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 і 10080. Для портів в чорному списку блокуються HTTP, HTTPS і FTP-запити з метою захисту від атаки NAT slipstreaming , що дозволяє при відкритті зловмисником в браузері спеціально підготовленої веб-сторінки встановити мережеве з'єднання з сервера зловмисника до будь-якого порту UDP або TCP в системі користувача, незважаючи на використання внутрішнього діапазону адрес (192.168.x.x, 10.x.x.x).
• Введено вимогу щодо використання двофакторної перевірки розробника при публікації нових доповнень або оновлень версій Веб-магазину Chrome.
• Є можливість відключити вже встановлені в браузері доповнення, якщо вони видалені з каталогу Веб-магазину Chrome через порушення правил.
• При відправці DNS-запитів, в разі використання класичних DNS-серверів, крім записів "A" і "AAAA" для визначення IP-адрес, тепер також запитується запис DNS "HTTPS", через яку передаються параметри для прискорення встановлення HTTPS-з'єднань, таких як налаштування протоколу, ключі шифрування ClientHello TLS і список псевдонімів піддоменів.
• З блоків iframe, завантажених з доменів, відмінних від домену поточної сторінки, заборонено викликати JavaScript dialogs window.alert, window.confirm і window.prompt. Зміна захистить користувачів від зловживань, пов'язаних зі спробами представити повідомлення третьої сторони в якості запиту з основного сайту.
• На сторінці нової вкладки відображається список найпопулярніших документів, збережених на Google Диску.
• Можна змінити ім'я та піктограму для програм PWA (Прогресивні веб-програми).
• Для невеликої випадкової кількості веб-форм, пов'язаних із введенням адреси або номера кредитної картки, виведення рекомендацій щодо автозаповнення буде вимкнено в якості експерименту.
• У десктопній версії опція пошуку зображень (пункт "Знайти зображення" в контекстному меню) перемикається на використання сервісу Google Lens замість звичної пошукової системи Google. При натисканні відповідної кнопки в контекстному меню користувач буде перенаправлений в окремий веб-додаток.
• В інтерфейсі режиму «інкогніто» посилання на історію відвідувань приховані (посилання марні, так як привели до відкриття заглушки з інформацією про те, що історія не збирається).
• Додано нові команди, які аналізуються під час введення тексту в адресному рядку. Наприклад, щоб з'явилася кнопка швидкого переходу на сторінку перевірки безпеки паролів і доповнень, досить набрати "перевірка безпеки", а для переходу в налаштування безпеки і синхронізації - "управління параметрами безпеки" і "управління синхронізацією".
  
  
• Конкретні зміни у версії Chrome для Android:
  
  
  
  • На панелі з'явилася нова настроюється кнопка «Чарівна панель інструментів», яка показує різні ярлики, підібрані виходячи з поточної активності користувача і включаючи посилання, які можуть знадобитися в даний момент.
  • Оновлено реалізацію моделі машинного навчання, що працює на пристрої для виявлення спроб фішингу. Якщо спроби фішингу будуть виявлені, крім відображення сторінки попередження, браузер тепер відправить в зовнішній сервіс Safe Browsing інформацію про версію моделі машинного навчання, розрахункову вагу для кожної категорії і прапорець застосування нової моделі.
  • Прибрали налаштування "Показувати пропозиції для подібних сторінок, коли сторінку не вдається знайти", що призвело до рекомендацій для аналогічних сторінок на основі відправки запиту в Google, якщо сторінка не знайдена. Цю настройку раніше було видалено з версії для настільних комп'ютерів.
  • Розширено використання режиму ізоляції сайту для окремих процесів. З міркувань споживання ресурсів до сих пір були переміщені в окремі процеси тільки окремі великі ділянки. У новій версії ізоляція почне застосовуватися до сайтів, на які користувач увійшов з аутентифікацією OAuth (наприклад, підключення через обліковий запис Google) або які викривають HTTP-заголовок Cross-Origin-Opener-Policy . Для тих, хто хоче включити ізоляцію в окремих процесах всіх сайтів, передбачена настройка «chrome://flags/#enable-site-per-process».
  •  Вбудовані механізми захисту двигуна V8 від сторонніх атак, таких як Spectre, які визнані не такими ефективними, як ізолювальні ділянки в окремих процесах, були відключені. У десктопній версії ці механізми були відключені в Chrome 70 релізі.
  • Спрощено доступ до налаштувань привілеїв сайту, таких як доступ до мікрофона, камери та розташування. Для відображення списку дозволів досить натиснути на символ блокування в адресному рядку, а потім вибрати розділ «Дозволи».
  
  
  
  
• У режимі Origin Trials (експериментальні функції, які вимагають окремої активації) було додано кілька нових API. Origin Trial має на увазі можливість роботи з зазначеним API з додатків, завантажених з localhost або 127.0.0.1, або після реєстрації та отримання спеціального токена, який діє протягом обмеженого часу для конкретного сайту.
  • FILE Handling API , який дозволяє реєструвати веб-додатки як обробники файлів. Наприклад, веб-додаток, що працює в режимі PWA (Progressive Web Apps) з текстовим редактором, може зареєструватися як обробник файлів «.txt», а потім може використовуватися в системному файловому менеджері для відкриття текстових файлів.
  • Shared Element Transitions API , що дозволяє використовувати надані браузером готові ефекти, що візуалізують зміну стану інтерфейсу в односторінкових (SPA, односторінкові додатки) і багатосторінкових додатках (MPA) веб-додатках.
• До правила CSS @font-face доданий параметр size-adjust, який дозволяє масштабувати розміри гліфів під конкретний стиль шрифту без зміни значення властивості CSS розміру шрифту (область під символом залишається колишньою, але розмір гліфа в цій області змінюється).
• У JavaScript об'єкти масиву, String і TypedArray реалізують метод at(), який дозволяє відносну індексацію (відносне положення задається як індекс масиву), включаючи вказівку від'ємних значень щодо кінця (наприклад, "arr.at(-1)" поверне останній елемент масиву).
• До властивості Intl.DateTimeFormat JavaScript доданий конструктор Intl.DateTimeFormat , який дозволяє відображати приблизний час доби (ранок, вечір, день, ніч).
• При використанні об'єктів SharedArrayBuffers для створення масивів в загальній пам'яті тепер потрібно визначити HTTP заголовки Cross-Origin-Opener-Policy і Cross-Origin-Embedder-Policy, без яких запит буде заблокований.
• В API Media Session додані дії «togglemicrophone», «togglecamera» і «hangup», які дозволяють сайтам, що реалізують системи відеоконференцій, приєднувати власні обробники для кнопок, показаних в інтерфейсі «картинка в картинці», вимикати / вимикати мікрофон, вимикати / включати камеру і закінчувати дзвінок.
• У Web Bluetooth API додана можливість фільтрації знайдених пристроїв Bluetooth за виробником і ідентифікаторами продуктів. Фільтр встановлюється через параметр «options.filters» в методі Bluetooth.requestDevice().
• Реалізовано перший етап усічення вмісту HTTP-заголовка User-Agent: на вкладці DevTools Issues тепер відображається попередження про старіння navigator.userAgent, navigator.appVersion і navigator.platform.
• Частина вдосконалень була внесена в інструменти для веб-розробників. Веб-консоль надає можливість перевизначення виразів «const». На панелі "Елементи" iframes мають можливість швидкого перегляду деталей через контекстне меню, яке відображається при натисканні правою кнопкою миші на елемент. Покращено налагодження помилок CORS (cross-origin sharing) ресурсів. На панелі перевірки активності мережі додана можливість фільтрації мережевих запитів з WebAssembly. Запропоновано новий редактор CSS Grid («display: grid» і «display: inline-grid») з функцією попереднього перегляду змін.

Крім нововведень і виправлень помилок, в новій версії виправлено 35 вразливостей. Багато вразливостей були виявлені в результаті автоматизованого тестування Компанією AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Немає критичних питань, що дозволяють обійти всі рівні захисту браузера і виконати код в системі поза середовищем пісочниці. У рамках програми грошових винагород за виявлення вразливостей для поточного випуску Google виплатив 24 нагороди на суму 112 000 доларів США (два бонуси на суму 15 000 доларів США, чотири нагороди на суму 10 000 доларів США, одна нагорода на суму 8500 доларів США, дві нагороди на суму 7500 доларів США, три нагороди на суму 5 000 доларів США, одна нагорода на суму 3 000 доларів США та одна нагорода на суму 500 доларів США). Розмір 11 нагород поки не визначений.