Byla vydána další verze Chrome 86 a stabilní vydání Chromium.
Hlavní změny v Chrome 86:
- ochrana před nebezpečným odesíláním formulářů na stránkách načtených přes HTTPS, ale odesílajících data přes HTTP.
- Blokování nebezpečného načítání (http) spustitelných souborů bylo doplněno o blokaci nebezpečného načítání archivů (zip, iso atd.) a zobrazení upozornění při nebezpečném načítání dokumentů (docx, pdf atd.). V následujícím vydání se očekává blokování dokumentů a zobrazení upozornění pro obrázky, textové a multimediální soubory. Blokování bylo implementováno, protože načítání souborů bez šifrování může být použito k vykonávání škodlivých činností podvržením obsahu během MITM útoků.
- V kontextovém menu je nyní ve výchozím nastavení zobrazena možnost „Vždy zobrazit URL celé“, kterou bylo dříve potřeba aktivovat úpravou nastavení na stránce about:flags. Celou URL lze také zobrazit dvojitým kliknutím na adresní řádek. Připomínáme, že počínaje Chrome 76 se URL ve výchozím nastavení začalo zobrazovat bez protokolu a subdomény www. V Chrome 79 byla odstraněna možnost vrátit se k starému chování, ale po nespokojenosti uživatelů byl v Chrome 83 přidán nový experimentální flag, který přidává do kontextového menu možnost pro deaktivaci skrývání a zobrazení celé URL za každých okolností.
- Byla obnovena iniciativa na zrušení podpory FTP. Ve Chrome 86 je FTP ve výchozím nastavení vypnutý pro přibližně 1 % uživatelů, a ve Chrome 87 bude rozsah vypnutí zvýšen na 50 %, ale podporu bude možné obnovit pomocí vlajky "—enable-ftp" nebo "—enable-features=FtpProtocol". Ve Chrome 88 bude podpora FTP zcela vypnuta.
- V Android verzi, podobně jako v desktopových systémech, byla v manažeru hesel implementována kontrola uložených přihlašovacích údajů a hesel proti databázi kompromitovaných účtů s upozorněním v případě zjištění problémů nebo pokusu o použití příliš jednoduchých hesel. Kontrola probíhá proti databázi zahrnující více než 4 miliardy kompromitovaných účtů, které se objevily v únikách uživatelských databází. Pro zachování soukromí se používá kontrola hash prefixu na straně uživatele, a samotná hesla ani jejich plné hashe nejsou odesílány ven.
- Do verze pro Android byly také přeneseny tlačítko „Kontrola bezpečnosti“ (Safety check) a rozšířený režim ochrany proti nebezpečným webovým stránkám (Enhanced Safe Browsing). Tlačítko „Safety check“ zobrazuje přehled o možných problémech s bezpečností, jako je použití kompromitovaných hesel, stav kontroly škodlivých webových stránek (Safe Browsing), dostupnost neinstalovaných aktualizací a zjištění škodlivých doplňků. Rozšířený režim ochrany aktivuje další kontroly na ochranu proti phishingu, škodlivé aktivitě a dalším hrozbám na webu, a také zahrnuje další ochranu pro účet Google a služby Google (Gmail, Drive apod.). Zatímco v běžném režimu Safe Browsing se kontroly provádějí lokálně na základě databáze periodicky stahované na klientský systém, v Enhanced Safe Browsing jsou informace o stránkách a staženích v reálném čase odesílány na kontrolu na straně Google, což umožňuje rychle reagovat na hrozby ihned po jejich zjištění, aniž by se čekalo na aktualizaci lokálního černého seznamu.
- Byla přidána podpora souboru-indikátoru ".well-known/change-password", pomocí kterého mohou vlastníci webů uvést adresu webového formuláře pro změnu hesla. V případě zjištění kompromitace přihlašovacích údajů uživatele Chrome nyní okamžitě nabídne uživateli formulář pro změnu hesla, který je určen na základě informací z tohoto souboru.
- Bylo zavedeno nové varování „Bezpečnostní tip“, které se zobrazuje při otevírání webových stránek, jejichž domény jsou velmi podobné jiné stránce a heuristika naznačuje vysokou pravděpodobnost podvodu (například jste otevřeli goog0le.com namísto google.com).
* Byla implementována podpora mezipaměti přechodu (Back-forward cache), která zajišťuje okamžitý přechod při používání tlačítek „Zpět“ a „Dopředu“ nebo při navigaci po dříve prohlížených stránkách aktuálního webu. Mezipaměť se aktivuje pomocí nastavení chrome://flags/#back-forward-cache.
- Optimalizace spotřeby CPU pro okna mimo oblast viditelnosti. Chrome kontroluje, zda je okno prohlížeče překryto jinými okny, a vylučuje vykreslování pixelů v překrývajících se oblastech. Uvedená optimalizace byla zapnuta pro malý procento uživatelů v Chrome 84 a 85, a nyní byla aktivována všem. Ve srovnání s předchozími verzemi byla také odstraněna nekompatibilita se systémy virtualizace, kvůli které se zobrazovaly prázdné bílé stránky.
- Bylo posíleno omezení zdrojů pro pozadkové karty. Tyto karty nyní nemohou spotřebovávat více než 1% zdrojů CPU a mohou se aktivovat pouze jednou za minutu. Po pěti minutách na pozadí se karty zmrazí, s výjimkou karet, na kterých se přehrává multimediální obsah nebo se provádí nahrávání.
- Byla obnovena práce na unifikaci HTTP hlavičky User-Agent. V nové verzi byla pro všechny uživatele aktivována podpora mechanismu User-Agent Client Hints, vyvíjeného jako náhrada za User-Agent. Nový mechanismus zahrnuje selektivní poskytování informací o konkrétních parametrech prohlížeče a systému (verze, platforma atd.) pouze na základě žádosti serveru a dává uživatelům možnost selektivně poskytovat podobné informace vlastníkům webových stránek. Při použití User-Agent Client Hints se identifikátor ve výchozím nastavení nepřenáší bez výslovné žádosti, což znemožňuje provádění pasivní identifikace (ve výchozím nastavení je uvedeno pouze jméno prohlížeče).
Byla změněna indikace dostupnosti aktualizace a potřeby restartovat prohlížeč pro instalaci. Místo barevné šipky v poli avatara účtu se nyní zobrazuje nápis „Update“. - Byla provedena práce na překladu prohlížeče k aplikaci inkluzivní terminologie. V názvech politik byla slova „whitelist“ a „blacklist“ nahrazena výrazy „allowlist“ a „blocklist“ (již přidané politiky budou i nadále fungovat, ale bude k nim vydáváno varování o převodu do kategorie zastaralých). V kódu a názvech souborů byla zmínění „blacklist“ nahrazena termínem „blocklist“. Viditelná zmínění „blacklist“ a „whitelist“ byla vyměněna již na začátku roku 2019.
Byla přidána experimentální možnost editace uložených hesel, aktivovaná pomocí příznaku „chrome://flags/#edit-passwords-in-settings“. - API Native File System, které umožňuje vytvářet webové aplikace, interagující se soubory v lokálním souborovém systému, bylo převedeno do kategorie stabilních a veřejně dostupných. Například toto nové API může být poptáváno v integrovaných vývojových prostředích, textových editorů, editorů obrázků a videa, které běží v prohlížeči. K získání možnosti přímého zápisu a čtení souborů či používání dialogů pro otevírání a ukládání souborů, stejně jako pro navigaci obsahem adresářů, aplikace žádá uživatele o speciální potvrzení.
- Byl přidán CSS selektor ":focus-visible", který používá stejnou heuristiku, jež je využívána prohlížečem při rozhodování o zobrazení indikátoru změny fokusu (při přesunu fokusu na tlačítko klávesovými zkratkami se indikátor objeví, ale při kliknutí myší ne). Dříve dostupný CSS selektor ":focus" vždy zvýrazňuje fokus. Kromě toho byla do nastavení přidána možnost „Rychlé zvýraznění fokusu“, jejíž aktivací se vedle aktivních prvků zobrazí další indikátor fokusu, který zůstává viditelný i pokud jsou pro označení fokusu ve stránce prostřednictvím CSS skryty styly.
- V režimu Origin Trials (experimentální funkce vyžadující samostatnou aktivaci) bylo přidáno několik nových API. Origin Trial zahrnuje možnost práce se specifikovaným API z aplikací načítaných z localhost nebo 127.0.0.1, nebo po registraci a získání speciálního tokenu, který platí omezenou dobu pro konkrétní web.
- API WebHID pro nízkoúrovňový přístup k HID zařízení (člověkem ovládaná zařízení, klávesnice, myši, herní ovladače, dotykové panely), které umožňuje implementaci logiky práce s HID zařízením v JavaScriptu pro organizaci práce s neobvyklými HID zařízeními bez nutnosti specifických ovladačů v systému. Nové API je především zaměřeno na poskytování podpory pro herní ovladače.
- API obrazovka informací rozšiřuje možnosti API umístění oken podporou konfigurací s více obrazovkami. Na rozdíl od window.screen nový API umožňuje manipulovat s umístěním oken v celkovém prostorovém rámci vícemonitorových systémů, aniž by byl omezen na aktuální obrazovku.
- Meta-tag battery-savings, díky němuž může web informovat prohlížeč o potřebě aktivovat režimy úspory energie a optimalizace zatížení CPU.
- API COOP Reporting pro informování o potenciálních porušeních režimů izolace Cross-Origin-Embedder-Policy (COEP) a Cross-Origin-Opener-Policy (COOP), bez použití skutečných omezení.
- V API správy pověření byl představen nový typ pověření PaymentCredential, který poskytuje dodatečné ověření prováděné platební operace. Ověřující strana, např. banka, má možnost vygenerovat veřejný klíč PublicKeyCredential, který může být požadován prodejcem pro dodatečné bezpečné ověření platby.
- V API PointerEvents byla přidána podpora pro úhel výšky (úhel mezi stylusem a obrazovkou) a azimutu (úhel mezi osou X a projekcí stylusu na obrazovce) pro stanovení sklonu stylusu*, namísto úhlů TiltX a TiltY (úhly mezi rovinou stylusu a jednou z os a rovinou os Y a Z). Byly také přidány funkce pro převod mezi výškou/azimutem a TiltX/TiltY.
- Změna kódování mezery v URL při jejím zpracování v protokolových obslužných metodách — metoda navigator.registerProtocolHandler() nyní nahrazuje mezery za "" místo "+", což sjednocuje chování s ostatními prohlížeči, jako je Firefox.
- Do CSS byl přidán pseudo-prvek "::marker", který umožňuje upravit barvu, velikost, tvar a typ čísel a teček pro výčty v blocích
- a
- .
- Byla přidána podpora HTTP hlavičky Document-Policy, která umožňuje nastavit pravidla přístupu k dokumentům, podobně jako mechanismus sandboxového izolačního pro iframe, ale univerzálnější. Například pomocí Document-Policy lze omezit používání nekvalitních obrázků, zakázat pomalé JavaScript API, nastavit pravidla načítání iframe, obrázků a skriptů, omezit celkovou velikost dokumentu a provoz, zakázat metody vedoucí k přerenderování stránky a vypnout funkci Scroll-To-Text.
- Do prvku
- Byl přidán metod ParentNode.replaceChildren() pro nahrazení všech potomků rodičovského uzlu jiným DOM uzlem. Dříve bylo možné pro nahrazení uzlů použít kombinaci metod node.removeChild() a node.append() nebo node.innerHTML a node.append().
- Rozšířil se rozsah schémat URL, která lze přepsat pomocí registerProtocolHandler(). Mezi zahrnuté schémata patří decentralizované protokoly cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns a ssb, což umožňuje definovat odkazy na prvky bez ohledu na web nebo bránu, která poskytuje přístup k zdroji.
- V API Asynchronous Clipboard byla přidána podpora formátu text/html pro kopírování a vkládání HTML přes schránku (během zápisu a čtení do schránky se provádí čištění nebezpečných HTML konstrukcí). Tato změna například umožňuje organizační vložení a kopírování formátovaného textu se obrázky a odkazy v webových editorech.
- Ve WebRTC byla přidána možnost připojování vlastních zpracovatelů dat, které se spouštějí během kódování nebo dekódování WebRTC MediaStreamTrack. Tuto funkci je možné například využít k přidání podpory pro end-to-end šifrování dat, která jsou předávána přes zprostředkovatelské servery.
V JavaScriptovém enginu V8 byla implementace Number.prototype.toString zrychlena o 75%. Do asynchronních tříd bylo přidáno vlastnost .name s prázdnou hodnotou. Byla odstraněna metoda Atomics.wake, která byla dříve přejmenována na Atomics.notify kvůli souladu se specifikací ECMA-262. Byl zveřejněn kód nástroje pro fuzzing testování JS-Fuzzer. - Ve v minulosti použitém počátečním (baseline) překladači Liftoff pro WebAssembly byla přidána možnost využití vektorových instrukcí SIMD pro urychlení výpočtů. Podle testů tato optimalizace vedla k 2.8násobnému zrychlení některých testů. Další optimalizace umožnila významně urychlit volání funkcí JavaScriptu importovaných z WebAssembly.
- Byly rozšířeny nástroje pro webové vývojáře: Do panelu Media byly přidány informace o přehrávačích používaných pro přehrávání videa na stránce, včetně informací o událostech, logů, hodnot vlastností a parametrů dekódování snímků (například je možné zjistit příčiny ztráty snímků a problémy při interakci z JavaScriptu).
- V kontextovém menu panelu Elements byla přidána možnost vytváření snímků vybraného prvku (například můžete vytvořit snímek obsahu nebo tabulky).
- V webové konzoli byla panel s upozorněním na problémy nahrazena běžnou zprávou, a problémy se třetími stranami Cookies jsou standardně skryty na záložce Issues, přičemž se aktivují speciálním zaškrtávacím tlačítkem.
- Na záložce Rendering byla přidána tlačítko „Disable local fonts“, které umožňuje simulovat absenci místních písem, a na záložce Sensors se objevila možnost simulovat nečinnost uživatele (pro aplikace využívající API Idle Detection).
- Na panelu Application jsou poskytovány podrobné informace o každém iframe, otevřeném okně a pop-up oknech, včetně údajů o izolaci Cross-Origin pomocí COEP a COOP.
Začala výměna implementace protokolu QUIC za variantu vyvíjenou v specifikaci IETF, namísto Google verze QUIC.
Kromě novinek a oprav chyb byla v nové verzi odstraněna 35 zranitelností. Mnoho z těchto zranitelností bylo identifikováno pomocí automatizovaného testování nástroji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Jedna zranitelnost (CVE-2020-15967, přístup k uvolněné oblasti paměti v kódu pro interakci s Google Payments) je označena jako kritická, tj. umožňuje obejít všechny úrovně ochrany prohlížeče a vykonat kód v systému mimo sandboxové prostředí. V rámci programu vyplácení finančních odměn za nalezení zranitelností pro tuto verzi společnost Google vyplatila 27 odměn v celkové výši 71500 dolarů (jedna odměna 15000 $, tři odměny 7500 $, pět odměn 5000 $, dvě 3000 $, jedna 200 $ a dvě odměny 500 $). Velikost 13 odměn zatím nebyla určena.
Získáno z Opennet.ru
Zdroj: linux.org.ru
