Издание на Chrome 86

Компания Google представи релиз на уеб браузъра Chrome 86. Водночас е наличен стабилна версия на свободния проект Chromium, който е основата на Chrome. Уеб браузърът Chrome се отличава използването на логото на Google, наличието на система за уведомления в случай на срив, възможността за зареждане на Flash модула при поискване, модули за възпроизвеждане на защитено видео съдържание (DRM), автоматична система за инсталиране на актуализации и предаване при търсене параметри RLZ. Следващото издание на Chrome 87 е насрочено за 17 ноември.

Основни промени в Chrome 86:

• Добавена е защита срещу небезопасно изпращане на формуляри на страници, заредени по HTTPS, но изпращащи данни по HTTP, което създава заплаха от прихващане и подмяна на данни при MITM атаки. Защитата включва три изменения:
  • Автозапълването на всякакви смесени формуляри е деактивирано, по аналогия с това, как автозапълването на формуляри за удостоверяване на страници, отворени по HTTP, е изключено от доста време. Ако преди времето за деактивиране беше отварянето на страница с формуляр по HTTPS или HTTP, сега се взема предвид и приложението на шифроване при изпращането на данни към обработчика на формуляра. Работата на мениджъра на пароли за смесени формуляри за удостоверяване не е деактивирана, тъй като рискът от използване на ненадеждна парола и повторното използване на пароли на различни сайтове надвишава риска от потенциално прихващане на трафика.
  • При началото на въвеждане в смесени формуляри се осигурява предупреждение, информиращо потребителя за изпращането на попълнени данни през нешифрован канал.
  • При опит за изпращане на смесен формуляр се извежда отделна страница с известие за потенциален риск от предаване на данни през нешифрован канал. В предишните версии за индикация на смесени формуляри се използваше индикатор за заключване в адресната лента, но такова обозначение не беше очевидно за потребителите и ефективно не отразяваше възникващите рискове.
    
• Блокиране несигурно зареждане (без шифроване) изпълними файлове допълнено с блокировка на небезопасно изтегляне на архиви (zip, iso и т.н.) и изведени предупреждения при небезопасно изтегляне
  документи (docx, pdf и т.н.). В следващото издание се очаква блокировка на документи и извеждане на предупреждение за изображения, текстови и мултимедийни файлове. Блокировката е реализирана, тъй като изтеглянето на файлове без шифроване може да се използва за извършване на злонамерени действия чрез подмяна на съдържанието по време на MITM атаки.
• В контекстното меню по подразбиране се показва опцията "Винаги показвай URL изцяло", за включването на която преди беше необходимо да се променят настройките на страницата about:flags. Пълният URL също може да бъде прегледан, като се кликне два пъти на адресната лента. Напомняме, че от Chrome 76 по подразбиране адресът започна да се показва без протокол и поддомейн www. В Chrome 79 беше премахната настройката за възстановяване на старото поведение, но след недоволството на потребителите в Chrome 83 беше добавен нов експериментален флаг, който добавя в контекстното меню опция за деактивиране на скриването и показването на пълния URL при всякакви условия.
• За малък процент потребители е стартирано експеримент по показването по подразбиране в адресната лента само на домейна, без елементи на пътя или параметри на запитването. Например, вместо «https://example.com/secure-google-sign-in/» ще бъде показано «example.com». Осъществяването на предложеното поведение за всички потребители се очаква в някое от следващите издания. За деактивиране на указаното поведение можете да използвате опцията «Винаги показвай URL изцяло», а за преглед на целия URL можете да кликнете на адресната лента. Като мотивация за промяната се посочва желанието да се защитят потребителите от фишинг, манипулиращ параметрите в URL — злоумышлениците се възползват от невниманието на потребителите, за да създадат видимост за отваряне на друг сайт и извършване на измамни действия (ако за технически грамотния потребител подобни подмени са очевидни, то неопитните обикновени потребители лесно се подвеждат от подобни прости манипулации).
• Подновена инициативата за премахване на поддръжката на FTP. В Chrome 86 FTP е деактивиран по подразбиране за около 1% от потребителите, а в Chrome 87 покритието на деактивацията ще се увеличи до 50%, но поддръжката може да бъде възстановена с флага «—enable-ftp» или «—enable-features=FtpProtocol». В Chrome 88 поддръжката на FTP ще бъде напълно деактивирана.
• В версията за Android, аналогично на версията за десктоп системи, в мениджъра на пароли е реализирана проверка на запазените логини и пароли по база данни на компрометирани акаунти с извеждане на предупреждение в случай на установяване на проблеми или опити за използване на елементарни пароли. Проверка се извършва по база, обхващаща над 4 милиарда компрометирани акаунти, фигурирали в течове на потребителски бази. За запазване на частността се прилага сверката на хеш-префикса се извършва на страната на потребителя, а самите пароли и техните пълни хешове не се предават навън.
• В версията за Android също така бяха прехвърлени бутон «Проверка на безопасност» (Safety check) и разширен режим за защита от опасни сайтов (Enhanced Safe Browsing). Бутонът «Safety check» показва обобщение на възможни проблеми със сигурността, като използването на компрометирани пароли, състоянието на проверката за злонамерени сайтове (Safe Browsing), наличието на неизпълнени актуализации и откритие на злонамерени разширения. Разширеният режим на защита активира допълнителни проверки за защита от фишинг, злонамерена активност и други заплахи в мрежата, а също така включва допълнителна защита за акаунта на Google и услугите на Google (Gmail, Drive и др.). Ако в обикновен режим Safe Browsing проверките се извършват локално с периодично изтегляна база данни на клиента, то в Enhanced Safe Browsing информацията за страниците и изтеглянията в реално време се изпраща за проверка към Google, което позволява бързо реагиране на заплахи веднага след тяхното откритие, без дa чакаме локалният черен списък да бъде обновен.
• Добавена е подкрепа за файл-индикатор «.well-known/change-password», с помощта на който собствениците на сайтове могат да посочат адреса на уеб формуляр за смяна на паролата. В случай на откритие на компрометиране на потребителските данни, Chrome сега веднага предлага на потребителя форма за смяна на парола, определена на базата на информацията от този файл.
• Внедрено ново предупреждение "Safety Tip", което се показва при отваряне на сайтове, чиито домейни са много сходни с други сайтове и хевристиката показва, че вероятността за спуфинг е висока (например, отворен е goog0le.com вместо google.com).
• Реализирана подкрепа за кеш на преминаване (Back-forward cache), който осигурява мигновен преход при използване на бутоните «Назад» и «Напред» или при навигация по преди разгледаните страници на текущия сайт. Кешът се включва чрез настройка chrome://flags/#back-forward-cache.
• Оптимизирано е потреблението на ресурси от CPU от прозорците
  извън видимата област. Chrome проверява дали прозорецът на браузъра не е покрит от други прозорци и изключва рисуването на пиксели в области на припокриване. Указаната оптимизация беше включена за малък процент потребители в Chrome 84 и 85, а сега е активирана навсякъде. Сравнено с предишните версии, също е отстранена несъвместимостта с виртуализационните системи, поради която се появяваха празни бели страници.
• Усилено е ограничаването на ресурсите за фонова вкладки. Тези вкладки вече не могат да консумират повече от 1% от ресурсите на CPU и могат да се активират не по-често от веднъж на минута. След пет минути във фона, вкладките се замразяват, с изключение на тези, в които се възпроизвежда мултимедийно съдържание или се записва.
• Продължава работата по унификацията на HTTP заглавката User-Agent. В новата версия за всички потребители е активирана подкрепата на механизма User-Agent Client Hints, разработван като заместител на User-Agent. Новият механизъм предвижда селективно предоставяне на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) единствено след запитване от сървъра и позволява на потребителите да предоставят подобна информация на собствениците на сайтове по свой избор. При използване на User-Agent Client Hints идентификаторът не се предава по подразбиране без ясно запитване, което прави невъзможно извършването на пасивна идентификация (по подразбиране се посочва само името на браузъра).
• Променена е индикацията за наличието на обновление и необходимостта от рестартиране на браузъра за инсталацията му. Вместо цветна стрелка в полето на аватара на профила сега се появява надпис "Update".
  
• Извършена е работа по превода на браузъра за прилагане на приобщаваща терминология. В имената на политиките думите „whitelist“ и „blacklist“ са заменени с „allowlist“ и „blocklist“ (вече добавените политики ще продължат да работят, но за тях ще се показва предупреждение за превод в разряд остарели). В кода и имената на файловете упоминанията „blacklist“ са заменени с „blocklist“.
  Видимите за потребителя упоминания „blacklist“ и „whitelist“ бяха заменени още в началото на 2019 година.
• Добавена е експериментална функция за редактиране на запаметени пароли, която се активира с флага „chrome://flags/#edit-passwords-in-settings“.
• Преведен в разряд стабилни и достъпни API Native File System, позволяващ създаването на уеб-приложения, които взаимодействат с файлове в локалната файлова система. Например, новият API може да бъде търсен в стартирани в браузъра интегрирани среди за разработка, текстови редактори, редакции на изображения и видео. За получаване на възможност за директно записване и четене на файлове или използване на диалози за отваряне и запазване на файлове, както и за навигация в съдържанието на директориите, приложението иска от потребителя специално потвърждение.
  
• Добавен е CSS селектор „:focus-visible“, който използва същата хевристика, която браузърът прилага при вземането на решение за показване на индикация за смяна на фокус (когато фокусът се премества на бутон с клавиатурни комбинации, индикацията се появява, а при клик с мишката – не). Преди наличният CSS селектор „:focus“ винаги осветява фокуса.
  Освен това, в настройките е добавена опция „Quick Focus Highlight“, при включване на която до активните елементи ще се показва допълнителен индикатор за фокус, който остава видим дори ако на страницата чрез CSS са изключени визуалните елементи за осветяване на фокуса.
• В режима Origin Trials (експериментални функции, изискващи отделна активация) са добавени няколко нови API. Origin Trial предполага възможността за работа с определен API от приложения, заредени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничен период от време за конкретен сайт.
  • API WebHID за ниско ниво достъп до HID устройства (Human interface device, клавиатури, мишки, игрови контролери, сензорни панели), които позволяват реализация на логика за работа с HID устройство на JavaScript, за организиране на работа с редки HID устройства без наличието на специфични драйвери в системата.
    Преди всичко, новият API цели предоставянето на поддръжка за игрови контролери.
  • API информация за екрана, разширява възможностите на API Window Placement с поддръжка на конфигурации с множество екрани. В отличие от window.screen, новият API позволява манипулиране на позицията на прозореца в общото екранно пространство на многомониторни системи, без да е ограничен само до текущия екран.
  • Meta таг battery-savings, с който сайтът може да информира браузъра за необходимостта от активиране на режими за икономия на енергия и оптимизиране на натоварването на CPU.
  • API COOP отчитане за информиране за потенциални нарушения на режимите на изолация Cross-Origin-Embedder-Policy (COEP) и Cross-Origin-Opener-Policy (COOP), без прилагане на фактически ограничения.
  • В API Управление на удостоверения предложен е нов тип удостоверение PaymentCredential, осигуряващо допълнително потвърждение на извършваната платежна операция. Проверяващата страна, например банката, има възможност да генерира публичен ключ PublicKeyCredential, който може да бъде поискан от търговеца за допълнително безопасно потвърждение на плащането.
• В API PointerEvents за определяне на наклона на стилуса, добавена е поддръжка на ъгли на височина (ъгъл между стилуса и екрана) и азимут (ъгъл между оста X и проекцията на стилуса на екрана), вместо ъглите TiltX и TiltY (ъглите между равнината на стилуса и една от осите и равнината на осите Y и Z). Също така са добавени функции за преобразуване между височина/азимут и TiltX/TiltY.
• Променено е кодировката на интервалите в URL при тяхното обработване от протоколите — методът navigator.registerProtocolHandler() сега заменя интервалите с „“ вместо „+“, което унифицира поведението с други браузъри, като Firefox.
• В CSS е добавен псевдо-елемент „::marker“, позволяващ настройка на цвят, размер, форма и тип числа и точки за подредени списъци в блокове <ul> и <ol>.
• Добавена е поддръжка на HTTP заглавката Document-Policy, което да се зададе правила за достъп до документи, подобни на механизма за изолация sandbox за iframe, но по-универсални. Например, чрез Document-Policy може да бъде ограничено използването на некачествени изображения, да се деактивират бавни JavaScript API, да се настроят правила за зареждане на iframe, изображения и скриптове, да се ограничи общият размер на документа и трафика, да се забранят методи, водещи до прерисуване на страницата, и да се изключи функцията Scroll-To-Text.
• В елемента
  добавена е поддръжка на параметрите ‘inline-grid’, ‘grid’, ‘inline-flex’ и ‘flex’, задавани чрез CSS свойството ‘display’.
• Добавен е метод ParentNode.replaceChildren() за замяна на всички деца на родителския възел с друг DOM възел. По-рано за замяна на възли можеше да се използва комбинация от методите node.removeChild() и node.append() или node.innerHTML и node.append().
• Разширен обхватът на URL схеми, допустими за преопределение чрез registerProtocolHandler(). В списъка на схемите са включени децентрализирани протоколи cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns и ssb, което позволява определянето на връзки към елементи независимо от сайта или шлюза, предоставящ достъп до ресурса.
• В API Asynchronous Clipboard добавена е поддръжка на формата text/html за копиране и вмъкване на HTML чрез буфера за обмен (при запис и четене в буфера за обмен се извършва почистване на опасни HTML конструкции). Промяната, например, позволява организиране на вмъкване и копиране на форматиран текст с изображения и линкове в уеб редактори.
• В WebRTC е добавена възможност за свързване на собствени обработващи данни, извиквани на етапите на кодиране или декодиране на WebRTC MediaStreamTrack. Например, посочената възможност може да се използва за добавяне на поддръжка на крайно криптиране на данни, предавани през междинни сървъри.
• В JavaScript движка V8 с 75% ускорена реализация на Number.prototype.toString. В асинхронните класове е добавено свойството .name с празна стойност. Метода Atomics.wake, който в миналото беше преименуван на Atomics.notify за съответствие с спецификацията ECMA-262, е премахнат. Кодът на инструментария за fuzzing тестове е открит. JS-Fuzzer.
• В задействания в предишното издание начален (baseline) компилатор Liftoff за WebAssembly е включена възможността за използване на векторни инструкции. SIMD за ускоряване на изчисленията. Според тестовете, оптимизацията е позволила да се ускори изпълнението на някои тестове с 2.8 пъти. Друга оптимизация е значително ускорила извикването на импортирани функции от JavaScript в WebAssembly.
• Разширени инструменти за уеб разработчици: В панела Media са добавени данни за проиграващите устройства, използвани за възпроизвеждане на видео на страницата, включително информация за събития, логове, стойности на свойства и параметри за декодиране на кадри (например, можете да определите причините за загуба на кадри и проблеми при взаимодействие от JavaScript).
  

  В контекстното меню на панела Elements е добавена възможност за създаване на екранни снимки на избрания елемент (например, можете да създадете екранна снимка на съдържанието или таблицата).

  

  В уеб конзолата панелът с предупреждения за проблеми е заменен с обикновено съобщение, а проблемите със странични бисквитки са скрити по подразбиране в таба Issues и се активират с помощта на специален флаг.

  

  В раздела Rendering е добавен бутон "Disable local fonts", позволяващ симулиране на отсъствието на локални шрифтове, а в раздела Sensors се появи възможност за симулиране на неактивност на потребителя (за приложения, използващи API Idle Detection).
  

  

  В панела Application е предоставена детайлна информация за всеки iframe, отворен прозорец и pop-up-и, включително данни за изолация Cross-Origin чрез COEP и COOP.
  

  
• Започна замяна на реализацията на протокола QUIC с вариант, разработван в спецификацията на IETF, вместо Google варианта QUIC.

Освен нововъведенията и корекциите на грешки, в новата версия са отстранени 35 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструменти. AddressSanitizer, MemorySanitizer, Integrity на Контролния Поток, LibFuzzer и AFL. Една уязвимост (CVE-2020-15967, достъп до освободена област на паметта в кода за взаимодействие с Google Payments) е маркирана като критична, т.е. позволява заобикаляне на всички нива на защита на браузъра и изпълнение на код в системата извън sandbox средата. В рамките на програмата за изплащане на парични награди за откриване на уязвимости за текущото издание, компанията Google е изплатила 27 награди на обща стойност 71500 долара (една награда от $15000, три награди от $7500, пет награди от $5000, две по $3000, една $200 и две награди по $500). Размерът на 13 награди все още не е определен.

Източник: opennet.ru