Релиз на Chrome 79

Компания Google представи пускане на уеб браузъра Chrome 79. В същото време е наличен стабилен релиз на безплатния проект Chromium, който е основата на Chrome. Браузърът Chrome се отличава с използването на логотипите на Google, наличието на система за уведомяване при срив, възможността за сваляне на Flash модула по искане, модули за възпроизвеждане на защитено видео (DRM), автоматично инсталиране на актуализации и предаване при търсене на RLZ параметри. Следващото издание на Chrome 80 е насрочено за 4 февруари.

Основни промени в Chrome 79:

• Активиран компонентът Password Checkup, предназначен за анализ на надеждността на паролите, използвани от потребителя. При опит за вход на всеки сайт Password Checkup изпълнява извършва проверка на логин и парола в база данни с компрометирани акаунти, показвайки предупреждение в случай на открит проблем (проверката се извършва на основата на хеш префикс от страна на потребителя). Проверката се осъществява по база, обхващаща над 4 милиарда компрометирани акаунта, фигурирали в течове на потребителски данни. Предупреждение се показва и при опит за използване на тривиални пароли, като „abc123“. За управление на включването на Password Checkup в секцията „Синхронизация и Google услуги“ е реализирана специална настройка.
• Представена е нова технология за откриване на фишинг в реално време. По-рано проверката се извършваше чрез достъп до локално изтеглени черни списъци на Safe Browsing, които се обновяваха на всеки 30 минути, което се оказа недостатъчно, например, при често превключване на домейни от страна на злонамерени актьори. Новият метод позволява проверка на URL на летящо ниво с предварителна проверка по бели списъци, в които са включени хешове на хиляди популярни, доверителни сайтове. Ако отваряният сайт не е в белия списък, браузърът проверява URL на сървъра на Google, предавайки първите 32 бита от SHA-256 хеша на връзката, от която са изрязани възможни лични данни. Според оценки на Google новият подход позволява да се повиши ефективността на предупрежденията за нови фишинг сайтове с 30%.
• Добавена е предизвикателна защита срещу предаване на потребителски данни на Google и всякакви пароли, запазени в мениджъра на пароли, чрез фишинг страници. При опит за въвеждане на запазена парола на сайт, на който тази парола обикновено не се използва, на потребителя ще бъде показано предупреждение за потенциално опасно действие.
• За свързвания, използващи TLS 1.0 и 1.1, сега се показва индикатор за несигурна връзка. Пълната поддръжка на TLS 1.0 и 1.1 ще бъде деактивирана в Chrome 81, насрочен за 17 март 2020 година.
• Добавена е възможността за замразяване на неактивни вкладки, което позволява автоматично изключване на вкладките, които се намират във фонова работа повече от 5 минути и не извършват значими действия. Решението за пригодността на всяка една вкладка за замразяване се взима на базата на хевристика. Управлението на активирането на функцията се осъществява чрез флага «chrome://flags/#proactive-tab-freeze».
• Осигурена блокиране на смесено съдържание на страниците, отворени по HTTPS, с цел да се гарантира, че страниците, отворени по https://, съдържат само ресурси, заредени по защитен канал. Въпреки че най-опасните видове смесено съдържание, като скриптове и iframe, вече се блокират по подразбиране, изображения, звукови файлове и видеоклипове все още могат да бъдат заредени по http://. Предишният индикатор за смесено съдържание за такива вмъквания беше признат за неефективен и подвеждащ за потребителите, тъй като не предоставя недвусмислена оценка на безопасността на страницата. Например, чрез подмяна на изображения, атакуващият може да подмени проследяващи Cookies на потребителите, да се опита да експлоатира уязвимости в обработчиците на изображения или да извърши подлог, заменяйки представената информация. За деактивиране на блокировката на смесени компоненти е добавена специална настройка, достъпна от менюто, което се появява при кликване на символа на катинар.
• Добавена е експериментална възможност за споделяне на съдържанието на клипборда между настолната и мобилната версия на Chrome. В свързаните помежду си инстанции на Chrome, регистрирани с една и съща сметка, сега е възможно достъпване на съдържанието на клипборда на друго устройство, включително споделяне на клипборда между мобилната и настолната система. Съдържанието на клипборда се криптира с помощта на крайно-крайно криптиране, което не позволява достъп до текста на сървърите на Google. Функцията се активира чрез опциите chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui и chrome://flags#sync-clipboard-service.
• В адресната лента в определени моменти (например при запазване на паролата), когато синхронизацията на профила е деактивирана, освен аватара се показва и името на текущия акаунт в Google, така че потребителят да може точно да идентифицира активния акаунт.
• Активирано за 1% от потребителите поддръжка «DNS през HTTPS» (DoH, DNS over HTTPS). В експеримента участват само потребители, чиито системни настройки вече указват DNS предоставчици, поддържащи DoH. Например, ако потребителят е задал DNS 8.8.8.8, то в Chrome ще бъде активиран DoH услугата на Google («https://dns.google.com/dns-query»), ако DNS е 1.1.1.1, то DoH услугата на Cloudflare («https://cloudflare-dns.com/dns-query») и т.н. За управление на активирането на DoH е предвидена настройка «chrome://flags/#dns-over-https». Поддържат се три режима на работа: «secure», «automatic» и «off». В режима «secure» хостовете се определят само на базата на предишно кеширани безопасни стойности (получени чрез защитена връзка) и заявки чрез DoH, при което не се прилага откат към обикновен DNS. В режима «automatic», ако DoH и защитеният кеш не са налични, е допустимо получаването на данни от небезопасен кеш и запитването чрез традиционен DNS. В режима «off» първо се проверява общият кеш и ако данни няма, запитването се изпраща чрез системния DNS.
• Добавена е експериментална поддръжка кеширане на визуализираното съдържание при смяна на страници с бутоните напред и назад, позволяваща да се намалят значително забавянията при такъв тип навигация чрез пълно кеширане на цялата страница, което не изисква повторно визуализиране и зареждане на ресурси. Оптимизацията е особено забележима в мобилната версия, където увеличението на производителността при навигация достига 19%. Режимът се активира чрез опцията «chrome://flags#back-forward-cache».
• Премахната настройка «chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains», позволяваща повторно показване на протокола в адресната лента (сега всички връзки винаги се показват без https:// и http://, както и без «www.»).
• В сборките за Windows е включена пясъчник изолация на услугата за възпроизвеждане на звук. За управление на активирането на изолацията е предложено свойство AudioSandboxEnabled.
• В средствата за централизирано администриране на предприятията е реализирана възможност за определяне на правила, които задават размера на паметта, която инстанцията на браузъра може да използва, преди да започнат да се изчистват фоновите табове. Освободената след изчистване на таба памет става отново налична за използване, а съдържанието на таба се зарежда отново при превключване на него.
• В Linux е използван вграден обработчик за верификация на сертификати, който замени досегашната система NSS. При това, вградената обработка продължава да използва хранилището на NSS при проверка, но налага по-строги изисквания при обработка на некоректно кодирани и самостоятелно заверени сертификати (всички сертификати задължително трябва да бъдат заверени от удостоверяващ орган).
• В версията за платформата Android е добавена възможност за назначаване на адаптивни пиктограми за инсталираните уеб приложения, работещи в режим на Прогресивни Уеб Приложения (PWA). Адаптивните пиктограми могат да се приспособяват към интерфейса, използван от производителя на устройството, например, да бъдат кръгли, квадратни или с заоблени ъгли.
• Добавен API WebXR Device, предоставящ достъп до компоненти за създаване на виртуална и добавена реалност. API-то позволява унифициране на работата с различни класове устройства, от стационарни шлемове за виртуална реалност, като Oculus Rift, HTC Vive и Windows Mixed Reality, до решения на базата на мобилни устройства, като Google Daydream View и Samsung Gear VR. С приложения, в които може да бъде приложен новият API, се споменават програми за гледане на видео в режим 360°, системи за визуализация на триизмерно пространство, създаване на виртуални кина за представяне на видео, провеждане на експерименти за създаване на 3D интерфейси за магазини и галерии;
  
• В режим Origin Trials (експериментални възможности, изискващи отделна активация) предложени са няколко нови API. Origin Trial предполага възможност за работа с посочения API от приложения, заредени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който важи за ограничено време за конкретен сайт.
  • За всички елементи на HTML е предложен атрибутът «rendersubtree», осигуряващ фиксация на отображението на DOM елемента. При присвояване на атрибута стойност «invisible», съдържанието на елемента няма да бъде изрисувано и проверявано, което позволява оптимизиране на рендеринга. При задаване на стойност «activatable» браузърът ще премахне невидимия атрибут, ще изрисува съдържанието и ще го направи видимо.
  • Добавен вариант на API Wake Lock базиран на механизма Promise, предлагащ по-сигурен начин за управление на автоматичното отключване на екрана и превключването на устройствата в енергийно спестяващи режими.
• Реализирана е възможността за прилагане на атрибута autofocus за всички елементи на HTML и SVG, на които може да бъде зададен фокус на въвеждане.
• За изображения и видео е осигурено изчисляване на коефициента на аспект въз основа на атрибутите Width или Height, което може да се използва за определяне на размера на изображението с помощта на CSS на етапа, когато изображението все още не е заредено (решава проблема с преустройството на страницата след зареждане на изображенията).
• Добавено CSS свойство font-optical-sizing, което автоматично задава размера на изменчивия шрифт (variable font) в оптичните координати «opsz«, ако шрифтът ги поддържа. Режимът позволява да се избере оптималната форма на глафа за зададения размер, например да се използват по-контрастни глифове за заглавия.
• Добавено CSS свойство list-style-type, позволяващо използването на всякакви символи вместо точки в списъците, например «-«, «+», «★» и «▸».
• При невъзможност да се изпълни Worklet.addModule() сега се връща обект с детайлна информация за характера на грешката, който позволява по-точно оценяване на причината за грешката (проблеми с интернет връзката, некоректен синтаксис и т.н.).
• Прекратена е обработката на елементи при тяхното преместиране между документи. При прехвърляне между документи също е спряно изпълнението на свързани със скрипта събития «error» и «load».
• В JavaScript движка V8 проведена оптимизация на обработката на промяна на представянето на полета в обектите, в резултат на което изпълнението на кода AngularJS в тестовия набор Speedometer стана с 4% по-бързо.
  
• В V8 също беше проведена оптимизация на обработката на гетери, определени във вградените API, като Node.nodeType и Node.nodeName, в условия на липса на обработчик IC (inline caching). Промяната намали времето за работа на IC runtime с около 12% при изпълнение на тестове Backbone и jQuery от набора Speedometer.
  
• Осигурено е кеширане на резултатите от работата на механизма OSR (called on-stack replacement), който извършва подмяна на оптимизирания код по време на изпълнението на функцията (позволява да се започне използването на оптимизирания код за дълготрайни функции, без да се чака повторното им стартиране). Кеширането на OSR дава възможност да се използват резултатите от оптимизацията и при повторно стартиране на функцията, без да е необходимо повторно преминаване през оптимизация.
  В някои тестове промяната позволи увеличаване на пикова производителност с 5–18%.
  
• Промени в инструментите за уеб-разработка:
  Появи се диагностичен режим за определяне на причините за блокирането на заявката или отдаването на Cookie.
  
  • В блока със списъка Cookie е добавена възможност за бързо преглеждане на стойността на избраната Cookie чрез кликване на конкретен ред.
    
  • Добавена е възможност за симулиране на различни настройки за медийни заявки prefers-color-scheme и prefers-reduced-motion (например, за проверка на поведението на страницата при тъмен системен режим или при деактивирани анимирани ефекти).
    
  • Модернизирано е оформлението на таба Coverage, позволяващ оценка на използвания и неизползвания код. Добавена е възможност за филтриране на информацията по нейните типове (JavaScript, CSS). Информация за употребата на кода също е добавена при показването на изходния текст.
    
  • Добавена е възможност за отстраняване на причините за заявката на определен мрежов ресурс след запис на мрежовата активност (може да се види трасировката на JavaScript кода, довела до зареждането на ресурса).
    
  • Добавена е настройка „Settings > Preferences > Sources > Default Indentation“ за определяне на вида отстъп (2/4/8 интервала или табулация) в кода, извеждан в панелите Console и Sources.

Освен нововъведенията и отстраняването на грешки в новата версия, са премахнати 51 уязвимости. Много от уязвимостите са установени в резултат на автоматизирано тестване с инструменти AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Две проблеми (CVE-2019-13725, достъп до вече освободената област на паметта в кода за поддръжка на Bluetooth, и CVE-2019-13726, препълване на купчини в мениджъра на паролите) са отбелязани като критични, т.е. позволяват заобикалянето на всички нива на защита на браузъра и изпълнение на код в системата извън средата на безопасност. За първи път са установени две критични проблеми в рамките на един цикъл на разработка в Chrome. Първата уязвимост е намерена от изследователи от компанията Tencent Keen Security Lab и демонстрирана на състезанието Tianfu Cup, а втората е открита от Сергей Глазунов от Google Project Zero.

В рамките на програмата за изплащане на финансова награда за открити уязвимости за текущия релиз компания Google е изплатила 37 награди на обща стойност 80000 долара (една награда $20000, една награда $10000, две награди $7500, четири награди $5000, една награда $3000, две награди $2000, две награди $1000 и осем награди $500). Размерът на 15 награди все още не е определен.

Източник: opennet.ru