Chrome версия 79

Google представени издание на уеб браузър Chrome 79... Едновременно на разположение стабилно издание на безплатен проект Хром, който е в основата на Chrome. Браузър Chrome различен използването на лога на Google, наличие на система за изпращане на известия в случай на срив, възможност за зареждане на Flash модула при поискване, модули за възпроизвеждане на защитено видео съдържание (DRM), система за автоматично актуализиране и предаване при търсене RLZ параметри. Следващото издание на Chrome 80 е планирано за 4 февруари.

Основната промени в Chrome 79:

• активиран Компонент за проверка на паролата, предназначен да анализира силата на паролите, използвани от потребителя. Когато се опитвате да влезете в който и да е сайт, Password Checkup изпълнява проверка на потребителско име и парола спрямо база данни с компрометирани акаунти с предупреждение, ако бъдат открити проблеми (проверката се извършва въз основа на хеш префикс от страна на потребителя). Проверката се извършва спрямо база данни, обхващаща повече от 4 милиарда компрометирани акаунта, появили се в изтекли потребителски бази данни. Предупреждение се показва и при опит за използване на тривиални пароли като „abc123“. За да контролирате включването на Password Checkup, в секцията „Sync and Google Services“ е въведена специална настройка.
• Представена е нова технология за откриване на фишинг в реално време. Преди това проверката се извършваше чрез достъп до локално изтеглени черни списъци на Safe Browsing, които се актуализираха приблизително веднъж на всеки 30 минути, което се оказа недостатъчно, например в условия на често превключване на домейни от нападатели. Новият метод ви позволява да проверявате URL адресите в движение с предварителна проверка срещу бели списъци, които включват хешове на хиляди популярни сайтове, които са надеждни. Ако отваряният сайт не е в белия списък, браузърът проверява URL адреса на сървъра на Google, предавайки първите 32 бита от SHA-256 хеша на връзката, от който се изрязват възможни лични данни. Според Google новият подход може да подобри ефективността на предупрежденията за нови фишинг сайтове с 30%.
• Добавена е проактивна защита срещу прехвърляне на идентификационни данни на Google и всички пароли, съхранени в мениджъра на пароли, чрез фишинг страници. Ако се опитате да въведете запазена парола на сайт, където тази парола обикновено не се използва, потребителят ще бъде предупреден за потенциално опасно действие.
• Връзките, използващи TLS 1.0 и 1.1, вече показват индикатор за несигурна връзка. Напълно поддържа TLS 1.0 и 1.1 ще бъде деактивиран в Chrome 81, насрочено за 17 март 2020 г.
• Добавена е възможност за замразяване на неактивни раздели, което ви позволява автоматично да разтоварвате от паметта раздели, които са били във фонов режим повече от 5 минути и не извършват значими действия. Решението относно пригодността на даден раздел за замразяване се взема въз основа на евристика. Активирането на функцията се управлява чрез флага „chrome://flags/#proactive-tab-freeze“.
• Обезопасен Блокиране на смесено съдържание на страници, отворени през HTTPS, за да се гарантира, че страниците, отворени през https://, съдържат само ресурси, заредени през защитен комуникационен канал. Въпреки че най-опасните типове смесено съдържание, като скриптове и iframe, вече са блокирани по подразбиране, изображения, аудио файлове и видеоклипове все още могат да бъдат изтеглени чрез http://. Използваният преди това индикатор за смесено съдържание за такива вмъквания се оказа неефективен и подвеждащ за потребителя, тъй като не предоставя недвусмислена оценка на сигурността на страницата. Например, чрез подправяне на изображения, нападателят може да замени бисквитки за проследяване на потребители, да се опита да използва уязвимости в процесорите за обработка на изображения или да извърши фалшификация, като замени информацията, предоставена в изображението. За деактивиране на заключването на смесени компоненти е добавена специална настройка, която може да бъде достъпна през менюто, което се появява, когато щракнете върху символа за заключване.
• Добавена е експериментална възможност за споделяне на съдържание от клипборда между настолни и мобилни версии на Chrome. В екземпляри на Chrome, свързани с един акаунт, вече имате достъп до съдържанието на клипборда на друго устройство, включително споделяне на клипборда между мобилни и настолни системи. Съдържанието на клипборда е криптирано чрез криптиране от край до край, което предотвратява достъпа до текста на сървърите на Google. Функцията се активира чрез опциите chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui и chrome://flags#sync-clipboard-service.
• В адресната лента в определени моменти (например при запазване на парола), когато синхронизирането на профила е изключено, в допълнение към аватара се показва името на текущия акаунт в Google, така че потребителят да може точно да идентифицира текущия активен акаунт.
• Активиран за 1% от потребителите подкрепа „DNS през HTTPS“ (DoH, DNS през HTTPS). Експериментът включва само потребители, чиито системни настройки вече са посочили DNS доставчици, които поддържат DoH. Например, ако потребителят има DNS 8.8.8.8, посочен в системните настройки, тогава DoH услугата на Google („https://dns.google.com/dns-query“) ще бъде активирана в Chrome; ако DNS е 1.1.1.1. XNUMX, след това услугата DoH Cloudflare („https://cloudflare-dns.com/dns-query“) и т.н. За да контролирате дали DoH е активиран, е предоставена настройката „chrome://flags/#dns-over-https“. Поддържат се три режима на работа: защитен, автоматичен и изключен. В „сигурен“ режим хостовете се определят само въз основа на предварително кеширани защитени стойности (получени чрез защитена връзка) и заявки чрез DoH; не се прилага резервно връщане към обикновен DNS. В „автоматичен“ режим, ако DoH и защитеният кеш не са налични, данните могат да бъдат извлечени от незащитения кеш и достъпни чрез традиционния DNS. В режим „изключен“ първо се проверява споделеният кеш и ако няма данни, заявката се изпраща през системния DNS.
• Добавен експериментален подкрепа кеширане на изобразено съдържание при смяна на страници с помощта на бутоните напред и назад, което може значително да намали забавянията по време на този тип навигация поради пълното кеширане на цялата страница, което не изисква повторно изобразяване и зареждане на ресурси. Оптимизацията е особено забележима във версията за мобилни устройства, където увеличението на производителността по време на навигация достига 19%. Режимът е активиран чрез опцията „chrome://flags#back-forward-cache“.
• Изтрито настройка „chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains“, която позволява да се върне показването на протокола в адресната лента (сега всички връзки винаги се показват без https :// и http:/ /, както и без „www.“).
• Компилациите за Windows включват тестова среда на услугата за възпроизвеждане на аудио. За да контролирате дали изолацията е активирана, се предлага свойството AudioSandboxEnabled.
• Централизираните инструменти за администриране за предприятия включват възможността да се дефинират правила, които контролират колко памет може да консумира екземпляр на браузъра, преди разделите на фона да бъдат разтоварени. Паметта, освободена след разтоварване на раздел, става достъпна за използване и съдържанието на раздела се зарежда отново при превключване към него.
• Linux използва вграден процесор за проверка на сертификати, който замества използваната преди това NSS система. В този случай вграденият процесор продължава да използва хранилището на NSS по време на проверката, но налага по-строги изисквания при обработката на неправилно кодирани и отделно сертифицирани сертификати (всички сертификати трябва да бъдат сертифицирани от сертифициращ орган).
• Във версията за платформата Android добави възможност за присвояване на адаптивни икони за инсталирани уеб приложения, работещи в режим Progressive Web Apps (PWA). Адаптивните икони могат да се адаптират към интерфейса, използван от производителя на устройството, например да бъдат кръгли, квадратни или с гладки ъгли.
• Добавено API WebXR устройство, който осигурява достъп до компоненти за създаване на виртуална и разширена реалност. API ви позволява да обедините работата с различни класове устройства, от стационарни слушалки за виртуална реалност като Oculus Rift, HTC Vive и Windows Mixed Reality, до решения, базирани на мобилни устройства като Google Daydream View и Samsung Gear VR. Приложенията, в които новият API може да бъде приложим, включват програми за гледане на видео в режим 360°, системи за визуализиране на триизмерно пространство, създаване на виртуални кина за видео представяне, провеждане на експерименти за създаване на 3D интерфейси за магазини и галерии;
  

• В режим Origin Trials (експериментални функции, които изискват отделни активиране) бяха предложени няколко нови API. Origin Trial предполага възможност за работа с посочения API от приложения, изтеглени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничено време за конкретен сайт.
  • За всички HTML елементи се предлага атрибутът „rendersubtree“, който гарантира, че показването на DOM елемента е фиксирано. Задаването на атрибута на "невидим" ще попречи на съдържанието на елемента да бъде изобразено или инспектирано, позволявайки оптимизирано изобразяване. Когато е настроен на „активируем“, браузърът ще премахне невидимия атрибут, ще изобрази съдържанието и ще го направи видимо.
  • Добавена опция за API Събуждане заключване базиран на механизма Promise, който предоставя по-сигурен начин за контролиране на деактивирането на автоматично заключване на екрани и превключване на устройства към режими за пестене на енергия.
• Реализирана възможност за използване на атрибута автофокус за всички HTML и SVG елементи, които могат да имат входен фокус.
• За изображения и видеоклипове осигурени Изчислете съотношението на страните въз основа на атрибутите Width или Height, които могат да се използват за определяне на размера на изображението с помощта на CSS на етапа, когато изображението все още не е заредено (решава проблема с повторното изграждане на страницата след зареждане на изображенията).
• Добавено CSS свойство оптично оразмеряване на шрифта, който автоматично задава променливия размер на шрифта в оптични координати "opsz“, ако шрифтът ги поддържа. Режимът ви позволява да изберете оптималната форма на глиф за определен размер, например да използвате по-контрастни глифове за заглавия.
• Добавено CSS свойство списък-стил-тип, което ви позволява да използвате всякакви символи вместо точки в списъците, например „-“, „+“, „★“ и „▸“.
• Ако е невъзможно да се изпълни Worklet.addModule(), вече се връща обект с подробна информация за естеството на грешката, което ви позволява по-точно да оцените причината за грешката (проблеми с мрежовата връзка, неправилен синтаксис и т.н. .).
• Обработката на елементи е спряна при их перемещении между документами. При переносе между документами также отключено выполнение связанных со скриптом событий «error» и «load».
• В JavaScript двигател V8 извършено Оптимизиране на обработката на промени в представянето на полета в обекти, което води до изпълнение на AngularJS код в тестовия пакет Speedometer, работещ с 4% по-бързо.
  

• V8 също оптимизира обработката на гетери, дефинирани във вградени API, като Node.nodeType и Node.nodeName, при липса на IC манипулатор (вградено кеширане). Промяната намали времето, изразходвано за изпълнение на IC с приблизително 12% при изпълнение на Backbone и jQuery тестове от пакета Speedometer.
  

• Резултатите от механизма OSR (наречен подмяна на стека) се кешират, което замества оптимизирания код по време на изпълнение на функцията (позволява ви да започнете да използвате оптимизиран код за дълго изпълняващи се функции, без да чакате те да се изпълняват отново). OSR кеширането прави възможно използването на резултатите от оптимизацията при повторно изпълнение на функцията, без да е необходимо да преминавате през повторна оптимизация.
  В някои тестове промяната увеличи пиковата производителност с 5–18%.
  

• Промени в инструментите за уеб разработчици:
  Появи се режим на отстраняване на грешки, за да определите причините за блокиране на заявка или изпращане на бисквитка.
  
  • В блока със списъка с бисквитки е добавена възможност за бърз преглед на стойността на избраната бисквитка чрез щракване върху определен ред.
    

  • Добавена е възможност за симулиране на различни настройки за медийните заявки prefers-color-scheme и prefers-reduced-motion (например за тестване на поведението на страницата с тъмна системна тема или с деактивирани анимирани ефекти).
    

  • Дизайнът на раздела Coverage е модернизиран, което ви позволява да оцените използвания и неизползвания код. Добавена е възможност за филтриране на информация по нейния тип (JavaScript, CSS). Информацията за използването на кода също се добавя при показване на изходния текст.
    

  • Добавена е възможност за отстраняване на грешки на причините за заявяване на конкретен мрежов ресурс след запис на мрежова активност (можете да видите следа от извикването на JavaScript код, което е довело до зареждането на ресурса).
    

  • Добавена е настройка „Настройки > Предпочитания > Източници > Отстъп по подразбиране” за определяне на типа отстъп (2/4/8 интервали или раздели) в кода, показван в панелите Конзола и Източници.

В допълнение към иновациите и корекциите на грешки, новата версия елиминира 51 уязвимости. Много от уязвимостите бяха идентифицирани в резултат на автоматизирано тестване с помощта на инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Два проблема (CVE-2019-13725, достъп до вече освободена памет в кода за поддръжка на Bluetooth и CVE-2019-13726, препълване на купчина в мениджъра на пароли) са маркирани като критични, т.е. ви позволяват да заобиколите всички нива на защита на браузъра и да изпълните код в системата извън средата на пясъчника. Това е първият път, когато два критични проблема са идентифицирани в рамките на един и същ цикъл на разработка в Chrome. Първата уязвимост беше открита от изследователи от Tencent Keen Security Lab и демонстрира на състезанието Tianfu Cup, а вторият беше открит от Сергей Глазунов от Google Project Zero.

Като част от програмата за парични награди за откриване на уязвимости за текущата версия, Google изплати 37 награди на стойност $80000 20000 (една награда $10000 7500, една награда $5000 3000, две награди $2000 1000, четири награди $500 15, една награда $XNUMX XNUMX, две награди $XNUMX XNUMX, две награди $XNUMX и осем награди от $XNUMX). Размерът на XNUMX-те награди все още не е определен.

Източник: opennet.ru