🥇Chrome 86 | ProHoster

Излезе новото издание Chrome 86 и стабилната версия на Chromium.

Основни промени в Chrome 86:

защита от небезопасна изпращане на входни формуляри на страници, заредени по HTTPS, но изпращащи данни по HTTP.
Блокирането на небезопасно зареждане (http) на изпълняеми файлове е допълнено с блокиране на небезопасно зареждане на архиви (zip, iso и др.) и показване на предупреждения при небезопасно зареждане на документи (docx, pdf и др.). В следващото издание се очаква блокиране на документи и изход на предупреждение за изображения, текстови и мултимедийни файлове. Блокирането е реализирано, тъй като зареждането на файлове без криптиране може да се използва за извършване на злонамерени действия чрез подмяна на съдържанието в процеса на MITM атаки.
В контекстното меню по подразбиране е показана опцията „Винаги показвай URL-а напълно“, за включването на която преди това беше необходимо да се променят параметрите на страницата about:flags. Пълният URL може да се прегледа и с двойно кликване върху адресната лента. Да припомним, че от Chrome 76 по подразбиране адресът се показва без протокол и поддомейн www. В Chrome 79 настройката за връщане на старото поведение беше премахната, но след недоволството на потребителите в Chrome 83 беше добавен нов експериментален флаг, добавящ в контекстното меню пункт за изключване на скриването и показването на пълния URL при всякакви условия.
За малък процент от потребителите е стартиран експеримент за показване по подразбиране в адресната лента само на домейна, без елементи от пътя и параметри на запитването. Например, вместо "https://example.com/secure-google-sign-in/" ще бъде показано „example.com“. Окончателното внедряване на предложения режим за всички потребители се очаква в едно от следващите издания. За деактивиране на посоченото поведение може да се използва опцията „Винаги показвай URL-а напълно“, а за преглед на целия URL може да се кликне на адресната лента. Като мотивация за промяната се посочва желание да се защитят потребителите от фишинг, манипулиращ параметрите в URL — злонамеренците се възползват от недостатъчното внимание на потребителите, за да създадат видимост за отваряне на друг сайт и извършване на измамни действия (ако за технически грамотния потребител подобни подмени са очевидни, то неопитните обикновени хора лесно се хващат на подобни прости манипулации).
Инициативата за премахване на поддръжката на FTP е възобновена. В Chrome 86 FTP е деактивиран по подразбиране за около 1% от потребителите, а в Chrome 87 обхватът на деактивирането ще бъде увеличен до 50%, но поддръжката може да бъде възстановена с флага "—enable-ftp" или "—enable-features=FtpProtocol". В Chrome 88 поддръжката на FTP ще бъде напълно деактивирана.
В версията за Android, подобно на версията за настолни системи, е реализирана проверка на запазени логини и пароли чрез база данни с компрометирани акаунти с предупреждение при откритие на проблеми или опити за използване на тривиални пароли. Проверка се извършва по база, обхващаща над 4 милиарда компрометирани акаунти, фигурирали в изтичания на потребителски бази. За запазване на конфиденциалността се използва проверка на хеш-префикса на клиентската страна, а самите пароли и техните пълни хешове не се предават навън.
В версията за Android също са пренесени бутонът "Проверка на безопасността" (Safety check) и разширеният режим на защита от опасни сайтове (Enhanced Safe Browsing). Бутонът "Safety check" показва обобщение на възможни проблеми със сигурността, като употреба на компрометирани пароли, състояние на проверка на зловредни сайтове (Safe Browsing), наличие на непоставени обновления и откритие на зловредни разширения. Разширеният режим на защита активира допълнителни проверки за защита от фишинг, зловредна активност и други заплахи в мрежата, а също така включва допълнителна защита за акаунта в Google и услугите на Google (Gmail, Drive и др.). Докато в нормалния режим Safe Browsing проверките се извършват локално чрез периодично зареждана на системата на клиента база данни, в Enhanced Safe Browsing информацията за страниците и изтегленията в реално време се изпраща за проверка на страната на Google, което позволява бърза реакция на заплахите веднага след тяхното откритие, без да се чака актуализация на локалния черен списък.
Добавена е поддръжка на файла-индикатор ".well-known/change-password", с помощта на който собствениците на сайтове могат да посочат адреса на web-формата за смяна на паролата. В случай на откритие на компрометиране на потребителските данни, Chrome сега веднага ще предложи на потребителя форма за смяна на паролата, определена на базата на информацията от този файл.
Реализирано е ново предупреждение „Safety Tip“, което се показва при отваряне на сайтове с домейни, много подобни на други сайтове, и когато хевристиката показва наличие на голяма вероятност за спуфинг (например, отворен е goog0le.com вместо google.com).
* Реализирана е поддръжка на кеш на навигацията (Back-forward cache), който осигурява мигновен преход при използване на бутоните „Назад“ и „Напред“ или при навигация по предварително прегледани страници на текущия сайт. Кешът се активира чрез настройка chrome://flags/#back-forward-cache.
Оптимизирано е потреблението на ресурси от ЦП от прозорци извън видимата област. Chrome проверява дали прозорецът на браузъра не е покрит от други прозорци и изключва рендерирането на пиксели в области на припокриване. Описаната оптимизация беше активирана за малък процент потребители в Chrome 84 и 85, а сега е активирана навсякъде. В сравнение с предишните версии е отстранена несъвместимостта със системите за виртуализация, заради която се показваха празни бели страници.
Усилено е ограничението на ресурсите за фонови табове. Подобни табове вече не могат да консумират повече от 1% от ресурсите на ЦП и могат да се активират не по-често от веднъж на минута. След пет минути в фонов режим табовете замръзват, с изключение на тези, в които се възпроизвежда мултимедийно съдържание или се извършва запис.
Подновена е работата по унифицирането на HTTP заглавието User-Agent. В новата версия за всички потребители е активирана поддръжката на механизма User-Agent Client Hints, разработван като замяна на User-Agent. Новият механизъм предвижда селективно предоставяне на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) само след запитване от сървъра и дава възможност на потребителите да предоставят подобна информация на собствениците на сайтове. При използване на User-Agent Client Hints идентификаторът не се предава по подразбиране без ясна заявка, което прави невъзможна пасивната идентификация (по подразбиране се посочва само името на браузъра).
Променена е индикацията за наличието на актуализация и необходимостта от рестартиране на браузъра за нейното инсталиране. Вместо цветна стрелка в полето на профила сега се появява надпис „Update“.
Извършена е работа по превода на браузъра за прилагане на инклузивна терминология. В имената на политиките думите „whitelist“ и „blacklist“ са заменени с „allowlist“ и „blocklist“ (вече добавените политики ще продължат да работят, но за тях ще се показва предупреждение за преминаване в категорията на остарелите). В кода и имената на файловете споменаванията на „blacklist“ са заменени с „blocklist“. Видимите на потребителя споменавания на „blacklist“ и „whitelist“ бяха заменени още в началото на 2019 година.
Добавена е експериментална възможност за редактиране на запазени пароли, активираща се с флага „chrome://flags/#edit-passwords-in-settings“.
Преведен в категорията на стабилните и общодостъпни API Native File System, позволяващ създаването на уеб приложения, които взаимодействат с файлове в локалната файлова система. Например, новият API може да е полезен в интегрираните среди за разработка, редактори на текст, изображения и видео, които се изпълняват в браузъра. За получаване на възможност за директно записване и четене на файлове или използване на диалози за отваряне и запазване на файлове, както и за навигация по съдържанието на директории, приложението изисква специално одобрение от потребителя.
Добавен е CSS селектор ":focus-visible", който използва същата хевристика, като тази, която браузърът използва при решаването на показването на индикатора за смяна на фокуса (индикаторът се появява при преместване на фокуса върху бутон с клавиатурни комбинации, а при клик с мишка — не). Предишно наличният CSS селектор ":focus" винаги подчертава фокуса. Освен това, в настройките е добавена опция „Quick Focus Highlight“, при активирането на която до активните елементи ще се показва допълнителен индикатор за фокус, който остава видим, дори ако на страницата чрез CSS са деактивирани стиловите елементи за визуално подчертаване на фокуса.
В режим на Origin Trials (експериментални функции, изискващи специално активиране) бяха добавени няколко нови API. Origin Trial означава възможност за работа с посочения API от приложения, натоварени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който действа за ограничен период на конкретен сайт.
API WebHID за нискоуровен достъп до HID устройства (Human Interface Device, клавиатури, мишки, геймпади, сензорни панели), позволяващи реализирането на логиката за работа с HID устройства на JavaScript, за да се улесни работата с редки HID устройства без необходимост от специфични драйвери в системата. Първоначално новият API е насочен към предоставяне на поддръжка за геймпадите.
API Screen Information разширява възможностите на API Window Placement с поддръжка на конфигурации с множество екрани. За разлика от window.screen, новият API позволява манипулиране на разположението на прозореца в общото екранно пространство на многомониторни системи, без да се ограничава до настоящия екран.
Мета-тегът battery-savings, чрез който сайтът може да информира браузъра за необходимостта от активиране на режими за намаляване на енергопотреблението и оптимизиране на натоварването на CPU.
API COOP Reporting за информиране за потенциални нарушения на режимите на изолация Cross-Origin-Embedder-Policy (COEP) и Cross-Origin-Opener-Policy (COOP), без прилагане на фактически ограничения.
В API Credential Management е предложен нов тип данни PaymentCredential, предоставящ допълнително потвърждение за извършваната платежна операция. Проверяващата страна, например банката, има възможност да генерира публичен ключ PublicKeyCredential, който може да бъде поискан от продавача за допълнително безопасно потвърждение на плащането.
В API PointerEvents за определяне на наклона на стилуса е добавена поддръжка за ъгли на височина (ъгъл между стилуса и екрана) и азимут (ъгъл между оста X и проекцията на стилуса на екрана), вместо ъглите TiltX и TiltY (ъглите между равнината на стилуса и една от осите и равнината от осите Y и Z). Добавени са и функции за преобразуване между височина/азимут и TiltX/TiltY.
Променено е кодирането на интервалите в URL при изчисляването им в обработчиците на протоколи — методът navigator.registerProtocolHandler() сега замества интервалите с «» вместо «+», което унифицира поведението с други браузъри, като Firefox.
В CSS е добавен псевдо-елементът "::marker", позволяващ настройка на цвета, размера, формата и вида на числата и точките за изброяване в блоковете
Започна замяната на реализацията на протокола QUIC с версията, развивана в спецификацията на IETF, вместо Google версията на QUIC.
Освен нововъведения и поправки на грешки, в новата версия са отстранени 35 уязвимости. Много от уязвимостите са идентифицирани чрез автоматизирано тестване с инструменти като AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Една уязвимост (CVE-2020-15967, достъп до освободена зона в паметта в кода за взаимодействие с Google Payments) е обозначена като критична, т.е. позволява заобикалянето на всички нива на защита на браузъра и изпълнение на код в системата извън песендаб-окружение. В рамките на програмата за парични награди за откритие на уязвимости за текущия релиз, компанията Google е изплатила 27 награди на обща стойност 71500 долара (една награда $15000, три награди по $7500, пет награди по $5000, две по $3000, една по $200 и две награди по $500). Размерът на 13 награди все още не е определен.
Взето от Opennet.ru
Източник: linux.org.ru