Издание на Chrome 83

Компания Google представи пускане на уеб браузъра Chrome 83. В същото време е наличен стабилен релиз на безплатния проект Chromium, който е основата на Chrome. Браузърът Chrome се отличава с използването на логотипите на Google, наличието на система за уведомяване при срив, възможността за сваляне на Flash модула по искане, модули за възпроизвеждане на защитено видео (DRM), автоматично инсталиране на актуализации и предаване при търсене на RLZ параметри. Поради преминаването на разработчиците на работа от вкъщи по време на пандемията от коронавируса SARS-CoV-2, версия Chrome 82 беше пропусната. Следващата версия Chrome 84 е планирана за 14 юли.

Основни промени в Chrome 83:

• Започна масово активиране на режима 'DNS през HTTPS' (DoH, DNS over HTTPS) на системите на потребителите, при които системните настройки посочват DNS доставчици, които поддържат DoH (DoH ще бъде активиран за същия DNS доставчик). Например, ако в системните настройки на потребителя е указан DNS 8.8.8.8, то в Chrome ще бъде активирана DoH услугата на Google ('https://dns.google.com/dns-query'), ако DNS - 1.1.1.1, то DoH услугата на Cloudflare ('https://cloudflare-dns.com/dns-query') и т.н. С цел да се избегнат проблеми с резолвинг на корпоративни интранет мрежи, DoH не се прилага при определяне на употребата на браузъра в централизирано управлявани системи. DoH също се деактивира при наличието на системи за родителски контрол.
  Управлението на включването на DoH и смяната на DoH доставчика се осъществява чрез стандартния конфигуратор.
  
• Предложено ново оформление елементи на уеб формуляри, които са оптимизирани за употреба на сензорни екрани и системи за хора с увреждания. Оформлението е оптимизирано от компанията Microsoft в рамките на разработката на браузъра Edge и е предадено в основната кодова база на Chromium. Преди това част от елементите на формите беше проектирана в съответствие с елементите на операционните системи, а друга част - в съответствие с най-популярните стилове. Поради това различни елементи подхождаха по различен начин за сензорни екрани, системи за хора с увреждания и управление с клавиатура. Целта на преработката беше унификация на оформлението на елементите на формата и елиминиране на несъответствията в стиловете.
  
• Променено е оформлението на секцията настройки 'Поверителност и сигурност', добавени нови инструменти за управление на сигурността. Настройките сега са по-лесни за намиране и по-лесни за разбиране. Предложени са четири основни секции, в които са събрани инструменти, свързани с почистването на историята, управлението на бисквитките и данни от сайтове, режимите на сигурност и разрешенията или забраните, свързани с конкретни сайтове. Потребителят може бързо да активира блокиране на трети бисквитки за режим инкогнито или на всички сайтове, да блокира всички бисквитки за конкретен сайт. Новото оформление се прилага само на системи на част от потребителите, другите могат да активират настройките чрез „chrome://flags/#privacy-settings-redesign“.
  

  Специфичните за сайтове настройки са разделени на групи — достъп до местоположение, камера, микрофон, уведомления и извършване на фоново изпращане на данни. Също така е предложена секция с допълнителни настройки за блокиране на JavaScript, изображения и пренасочване на определени сайтове. Отделно е изведено последното действие на потребителя, свързано с промяна на правомощията.

  
• В режим инкогнито по подразбиране е активирано блокиране на всички бисквитки, поставени от трети сайтове, включително рекламни мрежи и системи за уеб анализи. Също така е предложен разширен интерфейс за контрол на инсталирането на бисквитки на сайтовете. За управление са предвидени флаговете „chrome://flags/#improved-cookie-controls“ и „chrome://flags/#improved-cookie-controls-for-third-party-cookie-blocking“. След активиране на режима, в адресната лента се появява нова иконка, при клик върху която се показва броят на блокираните бисквитки и се предоставя възможност за деактивиране на блокировката. Можете да видите кои точно бисквитки са разрешени и блокирани за текущия сайт в секцията „Бисквитки“ от контекстното меню, призовано при клик на символа на катинар в адресната лента, или в настройките.
  
  
• В настройките е добавен нов бутон „Проверка на сигурността“ (Safety check), който предоставя резюме на възможни проблеми със сигурността, като използването на компрометирани пароли, състоянието на проверката на вредоносни сайтове (Safe Browsing), наличието на неинсталирани актуализации и откриването на вредоносни разширения.
  
• В мениджъра на паролите е добавена възможност за проверка всички запазени логини и пароли от базата на компрометирани акаунти с известие за предупреждение в случай на откритие на проблеми (проверката се осъществява на основата на съпоставяне на хеш-префикс на страната на потребителя, самите пароли и техните пълни хешове не се предават навън). Проверка се извършва по база, обхващаща над 4 милиарда компрометирани акаунти, които са фигурирали в изтичания на потребителски данни. Предупреждение също се показва при опит за използване на тривиални пароли, като например „abc123“.
  
• Представен разширен режим за защита от опасни сайтове (Enhanced Safe Browsing), при който се активират допълнителни проверки за защита от фишинг, злонамерена активност и други заплахи в мрежата. Също така се прилага допълнителна защита за акаунта в Google и услугите на Google (Gmail, Drive и др.). Докато в обикновения режим Safe Browsing проверките се извършват локално постредством периодично обновявана в системата на клиента база данни, в Enhanced Safe Browsing информацията за страниците и изтеглянията в реално време се изпраща до услугата Google Safe Browsing за проверка от страна на Google, което позволява бързо реагиране на заплахи веднага след откритие, без да се чака за обновление на локалния черен списък.

  За ускоряване на работата се поддържа предварителна проверка по белите списъци, в които са включени хешове на хиляди популярни, доверени сайтове. Ако отваряният сайт не присъства в белия списък, браузърът проверява URL адреса на сървъра на Google, предавайки първите 32 бита от хеша SHA-256 на линка, от което се изрязват възможните лични данни. По оценка на Google новият подход позволява с 30% да се увеличи ефективността на предупрежденията за нови фишинг сайтове.

• Вместо автоматично закрепване на иконите на добавките до адресната лента, е реализирано ново меню, означено с иконата на пъзел, в което са изброени всички налични добавки и техните разрешения. След инсталирането на добавката, потребителят сега трябва явно да активира закрепването на панела на иконата на добавката, като същевременно оценява предоставените на добавката разрешения. За да не се загуби добавката, веднага след инсталирането се показва индикация с информация за новата добавка. Новото меню е активирано по подразбиране за определен процент потребители, а останалите могат да го активират чрез настройката „chrome://flags/#extensions-toolbar-menu“.
  
• Добавена е настройка „chrome://flags/#omnibox-context-menu-show-full-urls“, при активиране на която в контекстното меню на адресната лента се появява опция „Винаги показвай URL адреса изцяло“, забраняваща изкривяване на URL адресите. Напомняме, че в Chrome 76 адресната лента по подразбиране премина към показване на връзки без „https://“, „http://“ и „www.“. За деактивиране на това поведение беше предвидена опция, но в Chrome 79 тя беше премахната и потребителите загубиха възможността за показване на пълния URL адрес в адресната лента.
  
• За всички потребители е активирана функцията за групиране на табове („chrome://flags/#tab-groups“), позволяваща обединяване на няколко сходни по предназначение таба в визуално разделени групи. На всяка група може да се зададе собствен цвят и име. Допълнително е предложена експериментална възможност за свиване и разширяване на групите, която в момента не работи на всички системи. Например, няколко непрочетени статии могат временно да се свият, оставяйки само етикет, за да не заемат място при навигацията, а при връщането към четене да се върнат на мястото си. За включване на режима е предложена настройката „chrome://flags/#tab-groups-collapse“.
  
• Активиран е показът по подразбиране на предупреждения при опит на небезопасно изтегляне (без криптиране) за изпълними файлове по връзки от страници HTTPS (в Chrome 84 изтеглянето на изпълними файлове ще бъде блокирано, а предупреждението ще започне да се показва за архиви). Отбелязва се, че изтеглянето на файлове без криптиране може да се използва за извършване на злонамерена дейност чрез подмяна на съдържанието в процеса на MITM атаки. Освен това е забранено изтеглянето на файлове, инициирано от изолирани iframe блокове.
• При активиране на Adobe Flash е добавено предупреждение за прекратяване на поддръжката на тази технология през декември 2020 година.
• Реализирана е технология Trusted types, позволяваща блокиране на манипулации с DOM, водещи до междусайтово скриптиране (DOM XSS), например, при неправилна обработка на данни получени от потребителя в блоковете eval() или плъзгания «.innerHTML», което може да доведе до изпълнение на JavaScript код в контекста на определена страница. Trusted types изисква предварителна обработка на данните преди предаването им на рискови функции. Например, при активиране на Trusted types изпълнението на «anElement.innerHTML = location.href» ще доведе до грешка и ще изисква използването на специални обекти TrustedHTML или TrustedScript при задаване. Активирането на Trusted Types става с помощта на CSP (Content-Security-Policy).
• Добавени са нови HTTP заглавия Cross-Origin-Embedder-Policy и Cross-Origin-Opener-Policy, позволяващи включване на специален режим на изолация cross-origin за безопасно използване на привилегировани операции на страницата, като SharedArrayBuffer, Performance.measureMemory() и API за профилиране, които могат да се използват за извършване на атаки по странични канали, като Spectre. Режимът на изолация cross-origin също не позволява промяна на свойството document.domain.
• Предложена е нова реализация на системата за инспектиране на достъпа до ресурсите в мрежата — OOR-CORS (Out-Of-Renderer Cross-Origin Resource Sharing). Старата реализация можеше да инспектира само основните компоненти на механизма Blink, XHR и API Fetch, но не обхващаше HTTP заявки, генерирани от някои вътрешни модули. Новата реализация решава този проблем.
• В режим на Origin Trials (експериментални функции, изискващи специално активиране) бяха добавени няколко нови API. Origin Trial означава възможност за работа с посочения API от приложения, натоварени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който действа за ограничен период на конкретен сайт.
  • API Native File System, позволяваща създаването на уеб приложения, които взаимодействат с файлове в локалната файлова система. Например, новият API може да е полезен в интегрирани среди за разработка, текстови редактори, редактори на изображения и видео, които работят в браузъра. За да получи възможност за директно записване и четене на файлове, използване на диалози за отваряне и запазване на файлове, както и за навигация в съдържанието на директориите, приложението изисква от потребителя специално потвърждение;
  • Метод Performance.measureMemory() за оценка на потреблението на памет при обработката на уеб приложение или уеб страница. Може да се използва за анализ и оптимизация на потреблението на памет в уеб приложения, както и за откриване на регресивен ръст на потреблението на памет.
  • Метод Prioritized Scheduler.postTask() за планиране на изпълнението на задачите (callback-извиквания в JavaScript) с различни нива на приоритет (блокира работата на потребителя, създава видими промени и фонови работи). За промяна на приоритета и отмяна на задачи може да се използва обектът TaskController.
  • API WebRTC Insertable Streams, позволяващи на приложенията да създават свои собствени обработвачи на данни, използвани при кодиране и декодиране на WebRTC MediaStreamTrack. Например, API-то може да се използва за организиране на крайно криптиране на потоците, предавани през транзитен сървър.
• Добавен е API Откриване на баркодове за разпознаване и декодиране на баркодове в определено изображение. API-то работи само на устройства с Android с инсталиран пакет Google Play Services.
• Добавен е мета-тег color-scheme, позволяващ на сайта да осигури пълна поддръжка на тъмен режим на оформление без използване на CSS трансформации.
• Добавена е възможност за използване на JavaScript модули в shared worker.
• В IndexedDB е добавен IDBDatabase.transaction() нов аргумент
  «durability», който позволява управление на записа на данни на устройството. При предаване на стойност «relaxed» вместо използвания по подразбиране режим «strict», е възможно да се жертва надеждността в полза на производителността (по-рано Chrome винаги записваше данните на диска след всяка транзакция).
• В selector() е добавена функция @supports, позволяваща определяне наличието на CSS селектори (например, можете първо да проверите наличието на селектор, преди да свържете CSS стилове към него).

  @supports селектор(::before) {
  div { background: green };
  }

• В Intl.DateTimeFormat добавено свойството fractionalSecondDigits за настройка на формата на отображение на частите от секундата.
• В двигателя V8 е ускорено проследяването на ArrayBuffer в сборщика за боклук. За модулите в WebAssembly е разрешено да се запитват до 4 ГБ памет.
• Добавени са нови инструменти за уеб разработчици. Например, добавен е режим на емулация на восприятията на страницата от хора с нарушено зрение и различни форми на далтонизъм. Също така е добавен режим на емулация на смяна на локализация, която влияе на API Intl.*, *.prototype.toLocaleString, navigator.language, Accept-Language и т.н.
  

  В интерфейса за инспектиране на мрежова активност е добавен отладчик COEP (Cross-Origin Embedder Policy), който позволява оценка на причините за блокиране на зареждането на определени ресурси по мрежата. Добавено е ключовото слово cookie-path за филтриране на запитвания, при които Cookie се свързва с определен път.

  

  Добавен е режим за закрепване на инструментите за разработчици в лявата част на екрана.
  

  

  Интерфейсът за проследяване на дълго изпълнявания код на JavaScript е преработен.
  

  
• Поради инфекцията COVID-19 някои планирани промени са отложени. Например, изтриване на кода за работа с FTP е прехвърлено за неопределено време. Изключването на поддръжката на протоколите TLS 1.0/1.1 е отложено до излизането на Chrome 84. Първоначалната
  поддръжка на идентификатора Client Hints (алтернатива на User-Agent) също е отложена е до Chrome 84. Работата по унификация на User-Agent е пренесена за следващата година.

Освен нововъведенията и корекциите на грешки, в новата версия е отстранено 38 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструменти AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са открити критични проблеми, които да заобикалят всички нива на защита на браузера и да изпълняват код в системата извън средата на sandbox. В рамките на програмата за изплащане на парични награди за откритие на уязвимости за текущото издание компанията Google е изплатила 28 награди на обща стойност 76 хиляди долара (една награда от $20000, една награда от $10000, две награди от $7500, две награди от $5000, две награди от $3000, две награди от $2000, две награди от $1000 и осем награди от $500). Размерът на 7 награди все още не е определен.

Източник: opennet.ru