Chrome версия 86

Google представени издание на уеб браузър Chrome 86... Едновременно на разположение стабилно издание на безплатен проект Хром, който е в основата на Chrome. Браузър Chrome различен използването на лога на Google, наличие на система за изпращане на известия в случай на срив, възможност за зареждане на Flash модула при поискване, модули за възпроизвеждане на защитено видео съдържание (DRM), система за автоматично актуализиране и предаване при търсене RLZ параметри. Следващото издание на Chrome 87 е планирано за 17 ноември.

Основната промени в Chrome 86:

• Добавена е защита срещу несигурно подаване на формуляри за въвеждане на страници, заредени чрез HTTPS, но изпращащи данни през HTTP, което създава заплаха от прихващане на данни и подправяне по време на MITM атаки. Защитата се свежда до три промени:
  • Автоматичното попълване на всякакви смесени формуляри за въвеждане е деактивирано, подобно на начина, по който автоматичното попълване на формуляри за удостоверяване на страници, отворени чрез HTTP, е деактивирано от доста време. Ако по-рано знак за деактивиране беше отварянето на страница с формуляр чрез HTTPS или HTTP, сега се взема предвид и използването на криптиране при изпращане на данни към манипулатора на формуляри. Мениджърът на пароли за смесени форми на удостоверяване не е деактивиран, тъй като рискът от използване на несигурна парола и повторно използване на пароли на различни сайтове надвишава риска от потенциално прихващане на трафик.
  • Когато започнете да въвеждате в смесени форми, се показва предупреждение, което информира потребителя, че попълнените данни се изпращат чрез некриптиран комуникационен канал.
  • Когато се опитате да изпратите смесен формуляр, се показва отделна страница, която ви уведомява за потенциалния риск от предаване на данни по некриптиран комуникационен канал. В предишни версии индикаторът на катинар в адресната лента беше използван за обозначаване на смесени форми, но тази маркировка не беше очевидна за потребителите и не отразяваше ефективно свързаните рискове.
    

• блокиране опасно зареждане (без криптиране) на изпълними файлове се допълва чрез блокиране на опасно зареждане на архиви (zip, iso и др.) и показване на предупреждения за опасно зареждане
  документи (docx, pdf и др.). Блокирането на документи и предупрежденията за изображения, текст и медийни файлове се очакват в следващата версия. Блокирането е реализирано, тъй като изтеглянето на файлове без криптиране може да се използва за извършване на злонамерени действия чрез подмяна на съдържанието по време на MITM атаки.

• Контекстното меню по подразбиране показва опцията „Винаги показвай пълния URL“, която преди това изискваше промяна на настройките на страницата about:flags, за да се активира. Пълният URL може да се види и чрез двукратно щракване върху адресната лента. Нека припомним, че започвайки от Chrome 76 По подразбиране адресът започна да се показва без протокол и поддомейн www. IN Chrome 79 настройката за връщане на старото поведение беше премахната, но след недоволството на потребителя от Chrome 83 Добавен е нов експериментален флаг, който добавя опция към контекстното меню за деактивиране на скриването и показването на пълния URL адрес при всякакви условия.
• Пуснато за малък процент от потребителите експеримент на дисплей По подразбиране адресната лента съдържа само домейна, без елементи на пътя и параметри на заявката. Например вместо „https://example.com/secure-google-sign-in/“ ще се показва „example.com“. Очаква се предложеният режим да бъде предоставен на всички потребители в една от следващите версии. За да деактивирате това поведение, можете да използвате опцията „Винаги показвай пълния URL“, а за да видите целия URL, можете да щракнете върху адресната лента. Мотивът за промяната е желанието да се защитят потребителите от фишинг, който манипулира параметри в URL адреса - нападателите се възползват от невниманието на потребителите, за да създадат вид на отваряне на друг сайт и извършване на измамни действия (ако такива замествания са очевидни за технически компетентен потребител , тогава неопитни хора лесно се поддават на такава проста манипулация).
• Възобновено инициативата за премахване на FTP поддръжка. В Chrome 86 FTP е деактивиран по подразбиране за около 1% от потребителите, а в Chrome 87 обхватът на деактивирането ще бъде увеличен до 50%, но поддръжката може да бъде върната с помощта на „--enable-ftp“ или „- -enable-features=FtpProtocol" флаг. В Chrome 88 поддръжката на FTP ще бъде напълно деактивирана.
• Във версията за Android, подобно на версията за настолни системи, мениджърът на пароли изпълнява проверка на запазените данни за влизане и пароли спрямо база данни с компрометирани акаунти, показвайки предупреждение, ако бъдат открити проблеми или се направи опит за използване на тривиални пароли. Проверката се извършва спрямо база данни, обхващаща повече от 4 милиарда компрометирани акаунта, появили се в изтекли потребителски бази данни. За запазване на поверителността прилага Хеш префиксът се проверява от страна на потребителя, а самите пароли и техните пълни хешове не се предават външно.
• Предлага се и във версия за Android пренесени бутона „Проверка на безопасността“ и режима на подобрена защита срещу опасни сайтове (Enhanced Safe Browsing). Бутонът „Проверка на безопасността“ показва обобщение на възможни проблеми със сигурността, като използване на компрометирани пароли, статус на проверка на злонамерени сайтове (Безопасно сърфиране), наличие на деинсталирани актуализации и идентифициране на злонамерени добавки. Режимът на разширена защита активира допълнителни проверки за защита срещу фишинг, злонамерена дейност и други заплахи в мрежата, а също така включва допълнителна защита за вашия акаунт в Google и услугите на Google (Gmail, Drive и др.). Ако в нормалния режим на безопасно сърфиране проверките се извършват локално с помощта на база данни, периодично зареждана в системата на клиента, тогава в подобреното безопасно сърфиране информацията за страници и изтегляния в реално време се изпраща за проверка от страна на Google, което ви позволява бързо да отговорите на заплахи веднага след като бъдат идентифицирани, без да се чака докато локалният черен списък се актуализира.
• Добавено от поддръжка на индикаторния файл “.well-known/change-password”, с който собствениците на сайтове могат да посочат адреса на уеб формуляр за промяна на парола. Ако идентификационните данни на даден потребител са компрометирани, Chrome вече незабавно ще подкани потребителя с формуляр за промяна на паролата въз основа на информацията в този файл.
• Въведено е ново предупреждение „Съвет за безопасност“, което се показва при отваряне на сайтове, чийто домейн е много подобен на друг сайт и евристични методи показват, че има голяма вероятност от подправяне (например goog0le.com се отваря вместо google.com).
• Внедрено поддръжка на кеша за назад и напред, който осигурява незабавна навигация, когато използвате бутоните „Назад“ и „Напред“ или когато навигирате през предишни прегледани страници на текущия сайт. Кешът е активиран с помощта на настройката chrome://flags/#back-forward-cache.
• Извършена е оптимизация на консумацията на процесорни ресурси от Windows
  извън обхвата. Chrome проверява дали прозорецът на браузъра се припокрива от други прозорци и предотвратява рисуването на пиксели в областите на припокриване. Тази оптимизация беше активирана за малък процент от потребителите в Chrome 84 и 85 и сега е активирана навсякъде. В сравнение с предишни издания, несъвместимостта със системите за виртуализация, която причиняваше появата на празни бели страници, също беше разрешена.

• Повишено изрязване на ресурси за фонови раздели. Такива раздели вече не могат да консумират повече от 1% от ресурсите на процесора и могат да се активират не повече от веднъж в минута. След пет минути престой във фонов режим разделите се замразяват, с изключение на разделите, които възпроизвеждат мултимедийно съдържание или записват.
• Работя върху обединение HTTP заглавка User-Agent. В новата версия поддръжката на механизма е активирана за всички потребители Клиентски съвети за потребителски агент, разработен като заместител на User-Agent. Новият механизъм включва избирателно връщане на данни за конкретни параметри на браузъра и системата (версия, платформа и т.н.) само след заявка от сървъра и предоставяне на възможност на потребителите избирателно да предоставят такава информация на собствениците на сайтове. Когато се използват клиентски подсказки за потребителски агент, идентификаторът не се предава по подразбиране без изрична заявка, което прави пасивната идентификация невъзможна (по подразбиране се посочва само името на браузъра).
• Индикацията за наличие на актуализация и необходимостта от рестартиране на браузъра за инсталиране е променена. Вместо цветна стрелка, „Актуализиране“ вече се появява в полето за аватар на акаунта.
  

• Извършена е работа за преобразуване на браузъра да използва включваща терминология. В имената на правилата думите „бял ​​списък“ и „черен списък“ са заменени с „списък с разрешени“ и „списък с блокирани“ (вече добавените правила ще продължат да работят, но ще показват предупреждение, че са остарели). IN код и имена на файлове препратките към "черен списък" са заменени с "черен списък".
  Видимите от потребителите препратки към „черен списък“ и „бял ​​списък“ бяха заменени в началото на 2019 г.

• Добавена е експериментална възможност за редактиране на запазени пароли, активирана с помощта на флага „chrome://flags/#edit-passwords-in-settings“.
• Преобразуван в стабилен и публичен API Родна файлова система, което ви позволява да създавате уеб приложения, които взаимодействат с файлове в локалната файлова система. Например, новият API може да бъде търсен в базирани на браузър интегрирани среди за разработка, редактори на текст, изображения и видео. За да можете директно да пишете и четете файлове или да използвате диалогови прозорци за отваряне и запазване на файлове, както и да навигирате в съдържанието на директории, приложението иска от потребителя специално потвърждение.
  

• Добавен CSS селектор ":фокус-видим“, който използва същата евристика, която браузърът използва, когато решава дали да покаже индикатора за промяна на фокуса (когато преместите фокуса към бутон с помощта на клавишни комбинации, индикаторът се появява, но при щракване с мишката не). Досега наличният CSS селектор ":focus" винаги подчертава фокуса.
  В допълнение към настройките е добавена опцията „Открояване на бърз фокус“, когато е активирана, до активните елементи ще се показва допълнителен индикатор за фокус, който остава видим дори ако стиловите елементи за визуално подчертаване на фокуса са деактивирани на страницата чрез CSS.

• Няколко нови API бяха добавени към режима Origin Trials (експериментални функции, които изискват отделно активиране). Origin Trial предполага възможност за работа с посочения API от приложения, изтеглени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничено време за конкретен сайт.
  • WebHID API за достъп на ниско ниво до HID устройства (устройства с човешки интерфейс, клавиатури, мишки, геймпадове, сензорни панели), което ви позволява да реализирате логиката на работа с HID устройство в JavaScript, за да организирате работа с редки HID устройства без наличието на специфични драйвери в системата.
    На първо място, новият API е насочен към осигуряване на поддръжка за геймпадове.

  • Информация за екрана на API, разширява API за разположение на прозорци, за да поддържа многоекранни конфигурации. За разлика от window.screen, новият API ви позволява да манипулирате разположението на прозорец в общото екранно пространство на системи с няколко монитора, без да се ограничавате до текущия екран.
  • Мета таг спестяване на батерията, с който сайтът може да информира браузъра за необходимостта от активиране на режими за намаляване на консумацията на енергия и оптимизиране на натоварването на процесора.
  • API COOP Отчитане да съобщава за потенциални нарушения на разпоредбите за изолация Политика за вграждане на различни източници (COEP) и Политика за отваряне на различни източници (КООП), без прилагане на реални ограничения.
  • В API Управление на удостоверенията предложен е нов тип пълномощия PaymentCredential, предоставяйки допълнително потвърждение за извършваната платежна транзакция. Доверяваща се страна, като например банка, има способността да генерира публичен ключ, PublicKeyCredential, който може да бъде поискан от търговеца за допълнително сигурно потвърждение на плащането.
• В API PointerEvents за определяне на наклона на стилуса е добавена поддръжка за ъгли на височина (ъгълът между стилуса и екрана) и азимут (ъгълът между оста X и проекцията на стилуса върху екрана), вместо TiltX и Ъгли на наклон (ъглите между равнината от писеца и една от осите и равнината от Y и Y осите Z). Също така добавени функции за преобразуване между надморска височина/азимут и TiltX/TiltY.
• Променено е кодирането на интервала в URL адресите при изчисляването му в манипулатори на протоколи - методът navigator.registerProtocolHandler() вече замества интервалите с "%20" вместо с "+", което унифицира поведението с други браузъри като Firefox.
• Добавен CSS псевдоелемент "::маркер“, което ви позволява да персонализирате цвета, размера, формата и вида на числата и точките за списъци в блокове И .
• Добавена поддръжка на HTTP заглавка Документ-Политика, позволявайки комплект правила за достъп до документи, подобни на механизма за изолиране на sandbox за iframes, но по-универсални. Например, чрез Document-Policy можете да ограничите използването на изображения с ниско качество, да деактивирате бавните API на JavaScript, да конфигурирате правила за зареждане на iframe, изображения и скриптове, да ограничите общия размер на документа и трафика, да забраните методи, които водят до преначертаване на страницата, да деактивирате функцията Превъртане до текст.
• Към елемент добавена поддръжка за параметри „inline-grid“, „grid“, „inline-flex“ и „flex“, зададени чрез свойството CSS „display“.
• Добавен метод ParentNode.replaceChildren() за замяна на всички деца на родителски възел с друг DOM възел. Преди това можехте да използвате комбинация от node.removeChild() и node.append() или node.innerHTML и node.append() за замяна на възли.
• Разширено обхватът на URL схемите, разрешени за отмяна чрез registerProtocolHandler(). Списъкът със схеми включва децентрализираните протоколи cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns и ssb, което ви позволява да дефинирате връзки към елементи, независимо от сайта или шлюза, предоставящ достъп до ресурса.
• В API Асинхронен клипборд добавена поддръжка за текстовия/html формат за копиране и поставяне на HTML чрез клипборда (опасните HTML конструкции се почистват при писане и четене в клипборда). Промяната, например, ви позволява да организирате вмъкването и копирането на форматиран текст с изображения и връзки в уеб редакторите.
• В WebRTC добави способността да свържете вашите собствени манипулатори на данни, извикани на етапите на кодиране или декодиране на WebRTC MediaStreamTrack. Например, тази възможност може да се използва за добавяне на поддръжка за криптиране от край до край на данни, предавани през междинни сървъри.
• В JavaScript двигател V8 със 75% ускорено реализация на Number.prototype.toString. Добавено е свойство .name към асинхронни класове с празна стойност. Методът Atomics.wake беше премахнат, който по едно време беше преименуван на Atomics.notify, за да отговаря на спецификацията ECMA-262. Кодът на инструментариума за тестване на Fuzzing е отворен JS-Fuzzer.
• Базовият компилатор на Liftoff за WebAssembly, пуснат в последната версия, включва възможност за използване на векторни инструкции SIMD за ускоряване на изчисленията. Съдейки по тестовете, оптимизацията направи възможно ускоряването на някои тестове с 2.8 пъти. Друга оптимизация направи много по-бързо извикването на импортирани JavaScript функции от WebAssembly.
• Разширено инструменти за уеб разработчици: Медийният панел добави информация за плейърите, използвани за възпроизвеждане на видео на страницата, включително данни за събития, регистрационни файлове, стойности на свойства и параметри за декодиране на кадри (например можете да определите причините за загуба на кадри и проблеми с взаимодействието от JavaScript).
  

  В контекстното меню на панела Елементи е добавена възможност за създаване на екранни снимки на избрания елемент (например можете да създадете екранна снимка на съдържанието или таблицата).

  

  В уеб конзолата панелът за предупреждение за проблеми е заменен с обикновено съобщение, а проблемите с бисквитките на трети страни са скрити по подразбиране в раздела Проблеми и са активирани със специално квадратче за отметка.

  

  В раздела Рендиране е добавен бутон „Деактивиране на локални шрифтове“, който ви позволява да симулирате липсата на локални шрифтове, а в раздела Сензори вече можете да симулирате неактивност на потребителя (за приложения, използващи API за откриване на неактивност).
  

  

  Панелът на приложението предоставя подробна информация за всяка вградена рамка, отворен прозорец и изскачащ прозорец, включително информация за изолацията от различни източници с помощта на COEP и COOP.
  

  

• Започната подмяна на изпълнението на протокола QUIC към опцията, разработена в спецификацията на IETF, вместо опцията Google QUIC.

В допълнение към иновациите и корекциите на грешки, новата версия елиминира 35 уязвимости. Много от уязвимостите бяха идентифицирани в резултат на инструменти за автоматизирано тестване AddressSanitizer, Memory Sanitizer, Целостта на контролния поток, LibFuzzer и AFL. Една уязвимост (CVE-2020-15967, достъп до освободена памет в код за взаимодействие с Google Payments) е маркирана като критична, т.е. ви позволява да заобиколите всички нива на защита на браузъра и да изпълните код в системата извън средата на пясъчника. Като част от програмата за изплащане на парични награди за откриване на уязвимости за текущата версия, Google изплати 27 награди на стойност $71500 15000 (една награда от $7500 5000, три награди от $3000, пет награди от $200, две награди от $500, една награда от $13 и две награди от $XNUMX). Размерът на XNUMX награди все още не е определен.

Източник: opennet.ru