Издание на Chrome 78

Компания Google представи пускане на уеб браузъра Chrome 78. В същото време е наличен стабилен релиз на безплатния проект Chromium, който е основата на Chrome. Браузърът Chrome се отличава с използването на логотипите на Google, наличието на система за уведомяване при срив, възможността за сваляне на Flash модула по искане, модули за възпроизвеждане на защитено видео (DRM), автоматично инсталиране на актуализации и предаване при търсене на RLZ параметри. Следващото издание на Chrome 79 е планирано за 10 декември.

Основни промени в Chrome 78:

• Реализирано експериментална поддръжка на „DNS през HTTPS“ (DoH, DNS over HTTPS), която ще бъде селективно включена за отделни категории потребители, чиито системни настройки вече посочват DNS-провайдери, поддържащи DoH. Например, ако в системните настройки на потребителя е посочен DNS 8.8.8.8, услугата DoH на Google („https://dns.google.com/dns-query“) ще бъде активирана в Chrome, ако DNS е 1.1.1.1, то услугата DoH на Cloudflare („https://cloudflare-dns.com/dns-query“) и т.н.

  За управление на активирането на DoH е предвидена настройка „chrome://flags/#dns-over-https“. Поддържат се три режима на работа: „secure“, „automatic“ и „off“. В режим „secure“ хостовете се определят само на базата на преди кеширани безопасни стойности (получени чрез защитено съединение) и запитвания през DoH, откат на обикновен DNS не се прилага. В режим „automatic“, ако DoH и защитеният кеш не са налични, се допуска получаване на данни от небезопасен кеш и достъп през традиционния DNS. В режим „off“ първо се проверява общият кеш и ако данни няма, запитването се изпраща през системния DNS.

• В инструментите за синхронизация се появи предварителна поддръжка на споделената папка заClipboard, която все още не е активирана за всички потребители. В свързани инстанции на Chrome с една и съща учетна запис, сега е възможно да се получи достъп до съдържанието на клипборда на друго устройство, включително е възможен достъп до клипборда между мобилната и настолната система. Съдържанието на клипборда се шифрира с помощта на крайно шифроване (end-to-end), което не позволява достъп до текста на сървърите на Google;
• За отделни категории потребители е включена експериментална възможност за променяне на темата на оформление и персонализиране на екрана, който се показва при отваряне на нов раздел. В менюто „Настройка“, показвано в долния десен ъгъл на екрана на новия раздел, освен избора на фоново изображение, се появи поддръжка за промяна на метода за подреждане на ярлици и възможността за смяна на темата на оформление. Ярлиците могат да бъдат автоматично предлагани на базата на най-често отваряните сайтове, подбрани от потребителя или напълно изключени. Темата на оформление може да бъде избрана от набор от предварително определени теми или да бъде създадена собствена на базата на избора на желаните цветове в палитрата. За активиране на новите възможности могат да се използват флаговете „chrome://flags/#ntp-customization-menu-v2“ и
  „chrome://flags/#chrome-colors“;
• За предприятията в адресната лента по подразбиране е включена възможността за търсене на файлове в хранилището на Google Drive. Търсенето се извършва не само по заглавията, но и по съдържанието на документите с оглед историята на техните отваряния в миналото;
  
• Включен е компонентът Password Checkup, който ще се активира постепенно за отделни категории потребители (за задължително включване е предвиден флаг „chrome://flags/#password-leak-detection“). Password Checkup преди това беше доставян катовъншно разширение се осъществява , предназначено за анализ на надеждността на използваните от потребителя пароли. При опит за влизане в който и да е сайт, Password Checkup извършва проверка на логина и паролата в базата с компрометирани записи с извеждане на предупреждение в случай на открити проблеми (проверка
• на базата на хеш-префикс от страна на потребителя). Проверката се извършва по база, обхващаща над 4 милиарда компрометирани акаунти, фигурирали в изтичания на потребителски бази. Предупреждение също така се извежда при опит за използване на тривиални пароли, като „abc123“; Добавена е възможността за инициране на обаждане от Android устройство, свързано с същата Google сметка. В настолния браузър потребителят може да маркира телефонен номер в текста, да кликне с десния бутон на мишката и да пренасочи операцията за осъществяване на обаждане към Android устройството, след което на телефона ще се появи известие, позволяващо да се иницира обаждането;
• Форматът на подсказката, която се показва при задържане на мишката върху заглавието на таба, е променен. Подсказката сега се показва като изскачащ блок, в който е показан целият текст на заглавието и URL адреса на страницата. Блокът е удобен за бързо намиране на нужната страница, когато са отворени много табове (вместо да преминавате през табовете, можете да плъзнете мишката над лентата с табове и да намерите търсената страница). В бъдеще в този блок е планирано да се осигури показване на ескиз на страницата;
• Добавена е експериментална възможност (chrome://flags/#enable-force-dark) за принудително използване на тъмна тема при разглеждане на сайтове. За осигуряване на тъмен изглед на сайта се използва инвертиране на цветовете;
• Добавено поддръжка на спецификация CSS Properties and Values API Level 1, позволяваща регистрация на собствени CSS свойства, които винаги имат определен тип, позволяващи задаване на значение по подразбиране и допускащи привръзка на анимационни ефекти. За регистрация на свойство може да се използва методът registerProperty() или CSS правило „@property“, например:

  CSS.registerProperty({
  name: "—my-font-size",
  syntax: "‹length›",
  initialValue: "0px",
  inherits: false
  });

• В режим Origin Trials (експериментални възможности, изискващи отделна активация) предложени са няколко нови API. Origin Trial предполага възможност за работа с посочения API от приложения, заредени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който важи за ограничено време за конкретен сайт.
  • API Native File System, позволяваща създаването на уеб приложения, които взаимодействат с файлове в локалната файлова система. Например, новият API може да е полезен в интегрирани среди за разработка, текстови редактори, редактори на изображения и видео, които работят в браузъра. За да получи възможност за директно записване и четене на файлове, използване на диалози за отваряне и запазване на файлове, както и за навигация в съдържанието на директориите, приложението изисква от потребителя специално потвърждение;
    
  • Механизмът Signed HTTP Exchanges (SXG), позволяващ публикуването на верифицирани копия на уеб страници на други сайтове, които изглеждат за потребителя като оригинални страници (без промяна на URL), е разширен възможността за зареждане на cубресурси (CSS, JS, изображения и др.) от оригиналния сайт. Първоизточникът на ресурса се задава чрез HTTP заглавието Link, в което също се посочва проверъчният хеш за верификация на всеки ресурс. С новата възможност доставчиците на съдържание могат да създават един подписан HTML файл, обхващащ и всички свързани с него субресурси;
  • API SMS Receiver, позволяващо уеб приложението да получи достъп до SMS съобщенията, например, за автоматизация на верификацията на операцията с изпратения чрез SMS еднократен код. Достъпът се предоставя само до SMS, в които е посочен специален таг, определящ връзката на съобщението с конкретно уеб приложение;
• Съществено е увеличена производителността на зареждане на обекти ArrayBuffer чрез Web Socket. На платформата Linux е регистрирано увеличение на скоростта на зареждане от 7.5 пъти, в Windows — 4.1 пъти, в macOS — 7.8 пъти;
• Добавена е възможността за определяне на проценти на стойността на прозрачността в CSS свойствата opacity, stop-opacity, fill-opacity, stroke-opacity и shape-image-threshold. Например, вместо „opacity: 0.5“ сега може да се укаже „opacity: 50%“;
• В API User Timing разрешена е предаването на произволни метки за време в извикванията performance.measure() и performance.mark() за извършване на измервания между тях, както и указването на произволни метаданни;
• В API Media Session е добавена поддръжка на определяне на обработвачи за смяна на позицията в потока (seekto), освен преди наличните обработвачи за пауза и начало на възпроизвеждане;
• В JavaScript движка V8 включен режим за фонов анализ на скриптове в движение по време на тяхното зареждане от мрежата. Реализираната оптимизация е позволила да се намали времето за компилация на скриптовете с 5–20%. В новото издание е увеличена и производителността на деструктуриране на обекта (промяната „const {x, y} = object;“ в „const x = object.x; const y = object.y;“). Ускорена е обработката на изрази RegExp с несъответстващи съвпадения.
  Съществено (с 9-20%) е увеличена скоростта на извикване на JavaScript функции от WebAssembly и обратно. При компилацията на байткода е увеличена ефективността на изграждане на таблици за свързване с оригиналните позиции, което е позволило да се намали потреблението на паметта на
  1-2.5%.
  
• Разширени инструменти за уеб разработчици. Панелът за одит вече може да бъде използван в комбинация с други функции, като блокиране на заявки и пренаписване на зареждания. Добавена е поддръжка за отстраняване на грешки на обработчици за плащания чрез API Payment. В панела за анализ на производителността са добавени етикети LCP (Largest Contentful Paint), отразяващи времето за визуализиране на най-големите елементи;
  
• Премахнато механизъм за блокиране на междусайтов скрипт XSS Auditor, който е признат за неефективен (нападателите отдавна използват методи за заобикаляне на защитата на XSS Auditor) и добавя нови вектори за изтичане на информация;
• В Android версията е осигурена възможност за използване на тъмна тема за менюто, настройките и режима на навигация по отворените сайтове.

Освен нововъведенията и корекциите на грешки, в новата версия е отстранено 37 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструменти AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са установени критични проблеми, които да позволят заобикаляне на всички нива на защита на браузъра и изпълнение на код в системата извън sandbox-окружението. В рамките на програмата за изплащане на парични награди за откритие на уязвимости за текущия релиз, компанията Google е изплатила 21 награда на обща стойност 59500 долара (една награда от $20000, една награда от $15000, една награда от $5000, две награди от $3000, три награди от $2000, пет награди от $1000 и пет награди от $500). Размерът на 4 награди все още не е определен.

Източник: opennet.ru