🥇Издание на Chrome 86

Добавена е защита срещу ненадеждно изпращане на входни формуляри на страници, заредени по HTTPS, но изпращащи данни по HTTP, което създава заплаха от прихващане и подмяна на данни при извършване на MITM атаки. Защитата се състои в три промени:

Автозавършването на всякакви смесени входни формуляри е деактивирано, аналогично на това, как от доста време насам е деактивирано автозавършването на формуляри за автентикация на страници, отваряни по HTTP. Ако преди признакът за деактивиране беше отварянето на страница с формуляр по HTTPS или HTTP, сега се взема предвид и използването на криптиране при изпращане на данните към обработващия формуляра. Работата на мениджъра на пароли за смесени формуляри за автентикация не е деактивирана, тъй като рискът от използване на ненадеждна парола и повторно използване на пароли на различни сайтове надвишава риска от потенциално прихващане на трафика.
При започване на въвеждане в смесени формуляри се осигурява извеждане на предупреждение, информиращо потребителя за изпращане на попълнени данни през некриптиран канал за комуникация.
При опит за изпращане на смесен формуляр се извежда отделна страница с уведомление за потенциалния риск от предаване на данни през некриптиран канал за комуникация. В предишни версии за индикация на смесени формуляри се използваше индикатор за заключване в адресната лента, но такова означение не беше очевидно за потребителите и ефективно не отразяваше възникващите рискове.

Блокиране на небезопасно изтегляне (без шифроване) на изпълними файлове е допълнено с блокиране на ненадеждно сваляне на архиви (zip, iso и т.н.) и извеждане на предупреждения при ненадеждно сваляне
на документи (docx, pdf и т.н.). В следващото издание се очаква блокиране на документи и извеждане на предупреждение за изображения, текстови и мултимедийни файлове. Блокирането е реализирано, защото свалянето на файлове без шифроване може да се използва за извършване на злонамерени действия чрез подмяна на съдържанието в процеса на MITM атаки.

В контекстното меню по подразбиране е показана опцията „Винаги показвай URL адреса напълно“, за включването на която преди беше необходимо изменение на параметрите на страницата about:flags. Пълният URL адрес може да бъде видян и с двойно кликване в адресната лента. Напомняме, че от Chrome 76 по подразбиране адресът стана показван без протокол и поддомейн www. В Chrome 79 беше премахната настройката за възстановяване на старото поведение, но след недоволството на потребителите в Chrome 83 беше добавен нов експериментален флаг, който добавя в контекстното меню опция за изключване на скриването и показването на целия URL при всякакви условия.

За малък процент от потребителите беше стартиран експеримент по показването по подразбиране в адресната лента само на домейна, без елементи на пътя и параметри на заявката. Например, вместо «https://example.com/secure-google-sign-in/» ще бъде показано «example.com». Планираното прилагане на режима за всички потребители се очаква в следващи версии. За изключване на посоченото поведение може да се използва опцията «Винаги показвай URL изцяло», а за преглед на целия URL може да се кликне в адресната лента. Като причина за промяната се посочва желанието да се защитят потребителите от фишинг, манипулиращ параметрите в URL — злоумышлениците се възползват от невниманието на потребителите, за да създадат видимост на отваряне на друг сайт и извършване на измамни действия (ако за технически грамотния потребител подобни подмени са видими, то неосведомените обикновени потребители лесно попадат на подобни прости манипулации).

Възобновена инициативата по премахването на поддръжката на FTP. В Chrome 86 FTP е деактивиран по подразбиране за около 1% от потребителите, а в Chrome 87 обхватът на деактивирането ще бъде увеличен до 50%, но поддръжката може да бъде върната с флага «—enable-ftp» или «—enable-features=FtpProtocol». В Chrome 88 поддръжката на FTP ще бъде напълно изключена.

В версията за Android, по аналогия с версията за настолни системи, в мениджъра на пароли е реализирана проверка на запазените логини и пароли по базата на компрометирани акаунти, с предупреждение в случай на откриване на проблеми или опити за използване на тривиални пароли. Проверката се извършва по база, обхващаща над 4 милиарда компрометирани акаунта, фигурирали в изтичания на потребителски бази. За запазване на личната информация се прилага сравнението на хеш-префикса се извършва на страната на потребителя, а самите пароли и техните пълни хешове не се предават навън.

В версията за Android също са пренесени бутон «Проверка на сигурност» (Safety check) и разширен режим на защита от опасни сайтове (Enhanced Safe Browsing). Бутонът «Safety check» показва резюме на възможни проблеми със сигурността, като използване на компрометирани пароли, състоянието на проверката на злонамерени сайтове (Safe Browsing), наличие на неизпълнени актуализации и откритие на злонамерени разширения. Разширеният режим на защита активира допълнителни проверки за защита от фишинг, злонамерена дейност и други заплахи в интернет, както и предоставя допълнителна защита за акаунта в Google и услугите на Google (Gmail, Drive и т.н.). Ако в обикновения режим Safe Browsing проверките се извършват локално с периодично изтегляна база данни на клиента, то в Enhanced Safe Browsing информацията за страниците и изтегленията в реално време се изпраща за проверка на страната на Google, което позволява бързо реагиране на заплахи веднага след тяхното откритие, без да се чака актуализирането на локалния черен списък.

Добавено поддръжка на файла-индикатор «.well-known/change-password», чрез който собствениците на сайтове могат да посочат адреса на уеб формата за смяна на паролата. В случай на откритие на компрометиране на потребителските данни, Chrome сега веднага ще предложи на потребителя форма за смяна на паролата, определена на базата на информацията от този файл.

Реализирано е ново предупреждение „Safety Tip“, което се показва при отваряне на сайтове с домейни, много подобни на други сайтове, и когато хевристиката показва наличие на голяма вероятност за спуфинг (например, отворен е goog0le.com вместо google.com).

Реализирано поддръжка на кеша за обратно напредване (Back-forward cache), осигуряваща мигновен преход при използване на бутоните «Назад» и «Напред» или при навигация по предишно прегледани страници на текущия сайт. Кешът се активира чрез настройка chrome://flags/#back-forward-cache.

Извършена е оптимизация на потреблението на ресурси на процесора от прозорците
в извън видимостта. Chrome проверява дали прозорецът на браузъра не е покрит от други прозорци и изключва рисуването на пиксели в области на покритие. Указаната оптимизация беше активирана за малък процент от потребителите в Chrome 84 и 85, а сега е активирана навсякъде. В сравнение с предишните версии е отстранена и несъвместимостта със системите за виртуализация, поради която се показваха празни бели страници.

Усилено е ограничението на ресурсите за фонови табове. Подобни табове вече не могат да консумират повече от 1% от ресурсите на ЦП и могат да се активират не по-често от веднъж на минута. След пет минути в фонов режим табовете замръзват, с изключение на тези, в които се възпроизвежда мултимедийно съдържание или се извършва запис.

Възобновена е работата по унификация на HTTP-заглавието User-Agent. В новата версия за всички потребители е активирана поддръжка на механизма User-Agent Client Hints, разработван в качеството на замяна на User-Agent. Новият механизъм предполага селективно предоставяне на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) само след запитване от сървъра и предоставя на потребителите възможността селективно да предоставят подобна информация на собствениците на уебсайтове. При използване на User-Agent Client Hints, идентификаторът не се предава по подразбиране без изрично запитване, което прави невъзможна пасивната идентификация (по подразбиране се посочва само името на браузъра).

Променена е индикацията за наличието на актуализация и необходимостта от рестартиране на браузъра за нейното инсталиране. Вместо цветна стрелка в полето на профила сега се появява надпис „Update“.

Извършена е работа по превод на браузера за прилагане на инклузивна терминология. В имената на политиките думите „whitelist“ и „blacklist“ са заменени с „allowlist“ и „blocklist“ (вече добавените политики ще продължат да работят, но за тях ще бъде показано предупреждение за преминаване в категория остарели). В код и имената на файловете упоменаванията „blacklist“ са заменени с „blocklist“.
Видимите за потребителя упоменаваща „blacklist“ и „whitelist“ бяха заменени още в началото на 2019 година.

Добавена е експериментална възможност за редактиране на запазени пароли, активираща се с флага „chrome://flags/#edit-passwords-in-settings“.

Преведен е в категория стабилни и обществено достъпни API Native File System, позволяващ създаването на уеб-приложения, взаимодействящи с файлове в локалната файлова система. Например, новият API може да бъде търсен в интегрирани среда за разработка, текстови редактори, редактори на изображения и видео, стартирани в браузъра. За да получи възможност за директно записване и четене на файлове или за използване на диалози за отваряне и запазване на файлове, както и за навигация из съдържанието на директории, приложението изисква от потребителя специално потвърждение.

Добавен е CSS селектор „:focus-visible“, който използва същата хеуристика, която браузърът прилага при вземането на решения за показване на индикатора за смяна на фокуса (когато фокусът се премества на бутон с комбинации от клавиатурата, индикаторът се появява, а при клик с мишка – не). Предишният достъпен CSS селектор „:focus“ винаги подчертава фокуса.
Освен това, в настройките е добавена опция „Quick Focus Highlight“, при активиране на която до активните елементи ще се показва допълнителен индикатор за фокус, който остава видим дори ако стиловите елементи за визуално подчертаване на фокуса са изключени чрез CSS.

В режим на Origin Trials (експериментални функции, изискващи специално активиране) бяха добавени няколко нови API. Origin Trial означава възможност за работа с посочения API от приложения, натоварени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който действа за ограничен период на конкретен сайт.

API WebHID за нискоуровневен достъп до HID-устройства (Human interface device, клавиатури, мишки, геймпадове, сензорни панели), позволяващи реализиране на логиката за работа с HID-устройството на JavaScript за организация на работа с редки HID-устройства без наличието на специфични драйвери в системата.
На първо място, новият API е насочен към предоставяне на поддръжка на геймпадове.
API Screen Information, разширява възможностите на API Window Placement с поддръжка на конфигурации с множество екрани. За разлика от window.screen, новият API позволява манипулиране на позицията на прозорците в общото екранно пространство на многомониторни системи, без да е ограничен до текущия екран.
Метатег battery-savings, чрез който сайтът може да информира браузъра за необходимостта от активиране на режими за намаляване на енергопотреблението и оптимизиране на натоварването на CPU.
API COOP Reporting за информиране за потенциални нарушения на режимите на изолация Cross-Origin-Embedder-Policy (COEP) и Cross-Origin-Opener-Policy (COOP), без прилагане на конкретни ограничения.
В API Credential Management предложен е нов тип идентификационни данни PaymentCredential, осигуряващ допълнително потвърждение на извършената платежна операция. Проверяващата страна, например, банката, има възможност да генерира публичен ключ PublicKeyCredential, който може да бъде поискан от продавача за допълнително безопасно потвърждение на плащането.

В API PointerEvents за определяне на наклона на стилуса е добавена поддръжка на ъгли на височина (ъгъл между стилуса и екрана) и азимут (ъгъл между оста X и проекцията на стилуса на екрана), вместо ъгли TiltX и TiltY (ъглите между равнината на стилуса и една от осите, и равнината на осите Y и Z). Също така са добавени функции за преобразуване между височина/азимут и TiltX/TiltY.

Кодирането на интервали в URL е променено; при изчисляване в обработчиковете на протокола — методът navigator.registerProtocolHandler() вече заменя интервалите с «» вместо с «+», което унифицира поведението с други браузъри, като Firefox.

В CSS е добавен псевдо-елемент „::marker“, позволяващ настройка на цвета, размера, формата и типа числа и точки за изброяване в блоковете

Добавена е поддръжка на HTTP-заглавието Document-Policy, позволяващ за задаване правила за достъп до документи, подобни на механизма за изолация sandbox за iframe, но по-универсални. Например, чрез Document-Policy можете да ограничите използването на изображения с лошо качество, да деактивирате бавните JavaScript API, да настроите правила за зареждане на iframe, изображения и скриптове, да ограничите общия размер на документа и трафика, да забраните методи, които водят до преначертаване на страницата и да изключите функцията Scroll-To-Text.
В елемента
добавена е поддръжка на параметрите 'inline-grid', 'grid', 'inline-flex' и 'flex', задавани чрез CSS свойството 'display'.
Добавен е метод ParentNode.replaceChildren() за замяна на всички дъщерни елементи на родителския възел с друг DOM възел. По-рано, за замяна на възли, можеше да се използва комбинация от методите node.removeChild() и node.append() или node.innerHTML и node.append().
Разширен спектър от URL схеми, допустими за преопределение чрез registerProtocolHandler(). В списъка са включени децентрализирани протоколи cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns и ssb, което позволява определяне на връзки към елементи, независимо от сайта или шлюза, предоставящ достъп до ресурса.
В API Asynchronous Clipboard добавена е поддръжка на формата text/html за копиране и вмъкване на HTML чрез буфера за обмен (при запис и четене в буфера за обмен се извършва почистване на опасни HTML конструкции). Това изменение, например, позволява в web редактори да се организира вмъкване и копиране на форматиран текст с изображения и връзки.
В WebRTC е добавена възможност за свързване на собствени обработчици на данни, извиквани в етапите на кодиране или декодиране на WebRTC MediaStreamTrack. Например, тази възможност може да се използва за добавяне на поддръжка за крайно криптиране на данни, предавани през междинни сървъри.
В JavaScript двигателя V8 е ускорена с 75% ускорена реализацията на Number.prototype.toString. В асинхронните класове е добавено свойството .name с празна стойност. Методът Atomics.wake, който в свое време беше преименуван в Atomics.notify за съответствие с спецификацията ECMA-262, е премахнат. Отворен е кодът на инструмента за fuzzing тестиране. JS-Fuzzer.
В задействаният в миналото начален (baseline) компилатор Liftoff за WebAssembly е включена възможността за използване на векторни инструкции. SIMD за ускоряване на изчисленията. Според тестовете, оптимизацията е позволила увеличаване на скоростта на изпълнение на някои тестове с 2.8 пъти. Друга оптимизация значително ускори извикването на функции на JavaScript, импортирани от WebAssembly.
Разширени инструменти за уеб-разработчици: В панела Media са добавени данни за плейерите, използвани за възпроизвеждане на видео на страницата, включително информация за събития, логове, стойности на свойства и параметри за декодиране на кадри (например, можете да определите причините за загуба на кадри и проблеми по време на взаимодействие с JavaScript).
В контекстното меню на панела Elements е добавена възможност за създаване на скрийншотове на избрани елементи (например, можете да създадете скрийншот на съдържанието или таблицата).
В уеб-конзолата панелът с предупреждения за проблеми е заменен с обикновено съобщение, а проблемите със странични бисквитки са скрити по подразбиране във вкладката Issues и се активират с помощта на специален флаг.
В раздела Rendering е добавен бутон "Disable local fonts", позволяващ симулиране на липсата на локални шрифтове, а в раздела Sensors вече можете да симулирате неактивност на потребителя (за приложения, използващи API Idle Detection).
В панела Application е предоставена подробна информация за всеки iframe, отворен прозорец и pop-up, включително данни за изолация Cross-Origin с помощта на COEP и COOP.
Започна подмяна на реализацията на протокола QUIC с вариант, разработван в спецификацията на IETF, вместо Google-варианта QUIC.

Освен нововъведенията и корекциите на грешки, в новата версия е отстранено 35 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструменти AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Една уязвимост (CVE-2020-15967, достъп до освободена зона в паметта в кода за взаимодействие с Google Payments) е означена като критична, т.е. позволява заобикаляне на всички нива на защита на браузера и изпълнение на код в системата извън sandbox околната среда. В рамките на програмата за изплащане на парични награди за откриване на уязвимости за текущия релиз компанията Google е изплатила 27 награди на обща стойност 71500 долара (една награда от $15000, три награди от $7500, пет награди от $5000, две от $3000, една от $200 и две награди от $500). Размерът на 13 награди все още не е определен.

Източник: opennet.ru

Релиз на Chrome 86