Chrome 86

Излезе ново издание на Chrome 86 и стабилно издание на Chromium.

Основни промени в Chrome 86:

• защита при небезопасно изпращане на форми на страници, заредени по HTTPS, но изпращащи данни по HTTP.
• Блокирането на небезопасно зареждане (http) на изпълними файлове е допълнено с блокиране на небезопасно зареждане на архиви (zip, iso и др.) и изведждане на предупреждения при небезопасно зареждане на документи (docx, pdf и др.). Очаква се в следващото издание да бъде блокирано зареждането на документи и да бъде изведено предупреждение за изображения, текстови и мултимедийни файлове. Блокирането е реализирано, тъй като зареждането на файлове без криптиране може да се използва за извършване на злонамерени действия чрез подмяна на съдържанието по време на MITM атаки.
• В контекстното меню по подразбиране е показана опцията «Винаги показвай URL напълно», за активирането на която преди това беше нужно да се промени настройките на страницата about:flags. Пълният URL също може да бъде прегледан с двойно кликване на адресната лента. Напомняме, че от Chrome 76 по подразбиране адресът започна да се показва без протокол и поддомейн www. В Chrome 79 беше премахната настройката за възстановяване на старото поведение, но след недоволството на потребителите в Chrome 83 беше добавен нов експериментален флаг, добавящ в контекстното меню опция за деактивиране на скритето и показването на пълния URL при всякакви условия.
  За малък процент потребители е стартиран експеримент по подразбиране да се показва в адресната лента само домейнът, без елементи от пътя и параметрите на заявките. Например, вместо "https://example.com/secure-google-sign-in/" ще бъде показано «example.com». Очаква се прилагането на предложенния режим за всички потребители в едно от следващите издания. За деактивиране на посоченото поведение може да се използва опцията «Винаги показвай URL напълно», а за преглед на целия URL може да се кликне на адресната лента. Като мотив за промяната се посочва желанието да се защити потребителите от фишинг, манипулиращ параметрите в URL — злонамерените лица се възползват от невниманието на потребителите, за да създадат вид на отваряне на друг сайт и извършване на мошенически действия (ако за технически грамотно потребител подобни подмени са очевидни, то неопитните обикновени хора лесно се подлъгват от подобни прости манипулации).
• Инициативата за премахване на поддръжката на FTP е възобновена. В Chrome 86 FTP е деактивиран по подразбиране за около 1% от потребителите, а в Chrome 87 обхватът на деактивацията ще бъде увеличен на 50%, но поддръжката може да бъде възстановена с флаг "—enable-ftp" или "—enable-features=FtpProtocol". В Chrome 88 поддръжката на FTP ще бъде напълно деактивирана.
• В версията за Android, подобно на настолната версия, в мениджера на пароли е реализирана проверка на запазените логини и пароли с база данни на компрометирани акаунти с предупреждение в случай на открити проблеми или опити за използване на тривиални пароли. Проверката се извършва по база, обхващаща над 4 милиарда компрометирани акаунти, които фигурираха в течове на потребителски данни. За запазване на поверителността се прилага проверка на хеш-префикса на страната на потребителя, а самите пароли и техните пълни хешове не се предават навън.
• В версията за Android са пренесени и бутонът „Проверка на сигурността“ (Safety check) и разширеният режим за защита от опасни сайтове (Enhanced Safe Browsing). Бутонът „Safety check“ показва обобщение на възможните проблеми със сигурността, като използването на компрометирани пароли, състоянието на проверка на вредоносни сайтове (Safe Browsing), наличието на неизтеглени актуализации и идентифицирането на вредоносни добавки. Разширеният режим за защита активира допълнителни проверки за защита от фишинг, вредоносна активност и други заплахи в мрежата, както и допълнителна защита за акаунта в Google и услугите на Google (Gmail, Drive и т.н.). Докато в обичайния режим Safe Browsing проверките се извършват локално чрез периодично изтегляне на база данни на клиента, в Enhanced Safe Browsing информацията за страниците и изтеглянията в реално време се изпраща за проверка на страната на Google, което позволява бърза реакция на заплахи веднага след тяхното откритие, без да се изчаква актуализация на локалния черен списък.
• Добавена е поддръжка на файла-индикатор ".well-known/change-password", с помощта на който собствениците на сайтове могат да посочат адреса на уеб-формата за смяна на парола. В случай на откритие на компрометиране на потребителски данни, Chrome сега веднага предлага на потребителя форма за промяна на паролата, определена на базата на информация от този файл.
• Внедрено ново предупреждение "Safety Tip", което се показва при отваряне на сайтове, чиито домейни са много сходни с други сайтове и хевристиката показва, че вероятността за спуфинг е висока (например, отворен е goog0le.com вместо google.com).

  * Внедрена е поддръжка на кеш за навигация (Back-forward cache), която осигурява мигновен преход при използване на бутоните "Назад" и "Напред" или при навигация из предишно посещавани страници на текущия сайт. Кешът се активира чрез настройката chrome://flags/#back-forward-cache.
• Оптимизация на потреблението на ресурси на CPU за прозорци извън областта на видимост. Chrome проверява дали прозорецът на браузъра не е покрит от други прозорци и изключва рендерирането на пиксели в областите на покритие. Посочената оптимизация бе активирана за малък процент потребители в Chrome 84 и 85 и вече е активирана повсеместно. В сравнение с предишни версии, не съвместимостта със системи за виртуализация, при която се показваха празни бели страници, е отстранена.
• Усилено е ограничаването на ресурсите за фонова вкладки. Тези вкладки вече не могат да консумират повече от 1% от ресурсите на CPU и могат да се активират не по-често от веднъж на минута. След пет минути във фона, вкладките се замразяват, с изключение на тези, в които се възпроизвежда мултимедийно съдържание или се записва.
• Работата по унификация на HTTP заглавката User-Agent е възобновена. В новата версия за всички потребители е активирана поддръжката на механизма User-Agent Client Hints, който се развива като заместител на User-Agent. Новият механизъм предвижда селективно предаване на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) само след искане от сървъра и дава възможност на потребителите да предоставят подобна информация на собствениците на сайтове по селективен начин. При използване на User-Agent Client Hints, идентификаторът не се предава по подразбиране без изрично искане, което прави невъзможно провеждането на пасивна идентификация (по подразбиране се посочва само името на браузъра).
  Променена е индикацията за наличието на обновление и необходимостта от рестартиране на браузъра за инсталацията му. Вместо цветна стрелка в полето на аватара на профила сега се появява надпис "Update".
• Извършена е работа по превода на браузера за прилагане на инклузивна терминология. В имената на политиките думите „whitelist“ и „blacklist“ са заменени с „allowlist“ и „blocklist“ (вече добавените политики ще продължат да работят, но за тях ще се изведе предупреждение за превод в клас на остарели). В кода и имената на файловете упоменаванията на „blacklist“ са заменени с „blocklist“. Видимите за потребителя упоменавания на „blacklist“ и „whitelist“ бяха заменени още в началото на 2019 година.
  Добавена е експериментална функция за редактиране на запаметени пароли, която се активира с флага „chrome://flags/#edit-passwords-in-settings“.
• Преведен в клас стабилни и общодостъпни API Native File System, позволяващ създаването на уеб приложения, които взаимодействат с файлове в локалната файлова система. Например, новият API може да бъде търсен в интегрираните среди за разработка, текстови редактори, изображения и видео, стартирани в браузъра. За получаване на възможност за директно записване и четене на файлове или използване на диалози за отваряне и запазване на файлове, както и за навигация през съдържанието на директории, приложението изисква специално потвърждение от потребителя.
• Добавен е CSS селектор ":focus-visible", който използва същата хевристика като браузъра при вземането на решение за показване на индикатора за промяна на фокуса (при преместване на фокуса към бутона с клавиатурни комбинации, индикаторът се появява, а при кликване с мишката — не). Преди достъпният CSS селектор ":focus" винаги осветява фокуса. Освен това в настройките е добавена опцията „Quick Focus Highlight“, при активиране на която до активните елементи ще се показва допълнителен индикатор за фокус, който остава видим, дори когато чрез CSS на страницата са деактивирани стилизирани елементи за визуалното обозначаване на фокуса.
• В режима Origin Trials (експериментални функции, изискващи отделна активация) са добавени няколко нови API. Origin Trial предполага възможността за работа с определен API от приложения, заредени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничен период от време за конкретен сайт.
• API WebHID за нискоизходен достъп до HID устройства (Human Interface Device, клавиатури, мишки, геймпадове, тъчпадове), позволяващ реализирането на логика за работа с HID устройства на JavaScript за организиране на работа с редки HID устройства без наличието на специфични драйвери в системата. Първо, новото API е насочено към предоставяне на поддръжка за геймпадове.
• API Screen Information разширява възможностите на API Window Placement, като поддържа конфигурации с множество екрани. За разлика от window.screen, новият API позволява манипулирането на разполагането на прозореца в общото екранно пространство на многомониторни системи, без ограничение до текущия екран.
• Мета-таговете battery-savings дават възможност на сайта да информира браузъра за необходимостта от активиране на режими за намаляване на потреблението на енергия и оптимизация на натоварването на CPU.
• API COOP Reporting предоставя информация за потенциални нарушения на режимите на изолация Cross-Origin-Embedder-Policy (COEP) и Cross-Origin-Opener-Policy (COOP), без прилагане на действителни ограничения.
• API Credential Management предлага нов тип удостоверяване, PaymentCredential, което осигурява допълнително потвърждение при извършване на платежна операция. Потвърдителната страна, например, банка, има възможност да генерира публичен ключ PublicKeyCredential, който може да бъде поискан от продавача за допълнително безопасно потвърждение на плащането.
• В API PointerEvents е добавена поддръжка за ъгли на височина (ъгъл между стилуса и екрана) и азимут (ъгъл между оста X и проекцията на стилуса върху екрана), вместо ъглите TiltX и TiltY (ъгли между плоскостта на стилуса и една от осите и плоскостта на оста Y и Z). Също така са добавени функции за преобразуване между височина/азимут и TiltX/TiltY.
• Променено е кодирањето на разредите во URL-ите, при нивното пресметување во обработувачите на протоколи — методот navigator.registerProtocolHandler() сега ги заменува разредите со «» наместо со «+», што унифицира однесувањето со других прелистувачи, како што е Firefox.
• В CSS е добавен псевдоелементът "::marker", който позволява настройка на цвета, размера, формата и типа на числата и точките за изброяване в блоковете
  и
  .
  1. Добавена е поддръжка на HTTP заглавката Document-Policy, която позволява задаването на правила за достъп до документи, подобно на механизма за песочница за iframe, но по-универсален. Например, чрез Document-Policy могат да се ограничи използването на некачествени изображения, да се изключат бавни JavaScript API, да се настроят правила за зареждане на iframe, изображения и скриптове, да се ограничи общият размер на документа и трафика, да се забранят методи, водещи до преработка на страницата, и да се изключи функцията Scroll-To-Text.
  2. В елемента
     е добавена поддръжка на параметри 'inline-grid', 'grid', 'inline-flex' и 'flex', задавани чрез CSS свойството 'display'.
  3. Добавен е метод ParentNode.replaceChildren() за замяна на всички дъщерни елементи на родителския елемент с друг DOM-елемент. По-рано за замяна на елементи можеше да се използва комбинация от методите node.removeChild() и node.append() или node.innerHTML и node.append().
  4. Разширен е спектърът от URL схеми, допустими за преосмисляне чрез registerProtocolHandler(). В списъка на схемите са включени децентрализирани протоколи cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns и ssb, което позволява определянето на връзки към елементи независимо от сайта или шлюза, който предоставя достъп до ресурса.
  5. В API на Asynchronous Clipboard е добавена поддръжка на формата text/html за копиране и поставяне на HTML чрез clipboard (по време на запис и четене в clipboard се извършва почистване на опасни HTML конструкции). Тази промяна, например, позволява организиране на поставяне и копиране на форматиран текст с изображения и връзки в уеб редактори.
  6. В WebRTC е добавена възможност за свързване на собствени обработчици на данни, извиквани на етапите на кодиране или декодиране на WebRTC MediaStreamTrack. Например, тази възможност може да се използва за добавяне на поддръжка на криптиране на данни, предавани през междинни сървъри.
     В JavaScript двигателя V8 е ускорена с 75% реализацията на Number.prototype.toString. В асинхронните класове е добавено свойство .name с празна стойност. Премахнат е методът Atomics.wake, който някога е бил преименуван на Atomics.notify, за да се съответства на спецификацията ECMA-262. Кодът на инструмента за fuzzing тестиране JS-Fuzzer е отворен.
  7. В включения в предходното издание начален (baseline) компилатор Liftoff за WebAssembly е добавена възможност за използване на векторни инструкции SIMD за ускорение на изчисленията. Според тестовете оптимизацията е позволила ускорение на определени тестове с 2.8 пъти. Друга оптимизация е позволила значително ускорение на извикването на функции от JavaScript, импортирани от WebAssembly.
  8. Разширени са инструментите за уеб разработчици: В панела Media са добавени данни за плейърите, използвани за възпроизвеждане на видео на страницата, включително информация за събития, логове, стойности на свойства и параметри за декодиране на кадри (например, е възможно да се определят причините за загуба на кадри и проблеми при взаимодействие от JavaScript).
  9. В контекстното меню на панела Elements е добавена възможност за създаване на снимки на избран елемент (например, можете да създадете снимка на съдържанието или таблицата).
  10. В уеб консолата панелът с предупреждения за проблеми е заменен с обично съобщение, а проблемите със странични бисквитки по подразбиране са скрити в раздела Issues и се включват с помощта на специален флаг.
  11. В раздела Rendering е добавен бутон "Disable local fonts", позволяващ симулиране на отсъствието на локални шрифтове, а в раздела Sensors се появи възможност за симулиране на неактивност на потребителя (за приложения, използващи API Idle Detection).
  12. В панела Application е предоставена детайлна информация за всеки iframe, отворен прозорец и pop-up-и, включително данни за изолация Cross-Origin чрез COEP и COOP.

  Започна замяна на реализацията на протокола QUIC с вариант, разработван в спецификацията IETF, вместо варианта QUIC на Google.
  Освен нововъведенията и корекциите на грешки, в новата версия са отстранени 35 уязвимости. Множество от уязвимостите са открити в резултат на автоматизирано тестване с инструменти AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Една уязвимост (CVE-2020-15967, достъп до освободена област от паметта в кода за взаимодействие с Google Payments) е маркирана като критична, т.е. позволява заобикаляне на всички нива на защита на браузъра и изпълнение на код в системата извън sandbox средата. В рамките на програмата за изплащане на парични награди за откритие на уязвимости за текущия релиз компанията Google е изплатила 27 награди на обща стойност 71500 долара (една награда от 15000 долара, три награди по 7500 долара, пет награди по 5000 долара, две по 3000 долара, една по 200 долара и две награди по 500 долара). Размерът на 13 награди все още не е определен.

  Взето от Opennet.ru

  Източник: linux.org.ru