🥇Vydání Chrome 86

Byla přidána ochrana před nebezpečným odesílání vstupních formulářů na stránkách načtených přes HTTPS, které však odesílají data přes HTTP, což vytváří riziko odposlechu a podvržení dat při útocích typu MITM. Ochrana spočívá ve třech změnách:

Bylo vypnuto automatické vyplňování jakýchkoli smíšených vstupních formulářů, analogicky k tomu, jak bylo již dlouho vypnuto automatické vyplňování autentizačních formulářů na stránkách otevřených přes HTTP. Pokud bylo dříve znakem pro vypnutí otevření stránky s formulářem přes HTTPS nebo HTTP, nyní se bere v úvahu i použití šifrování při odesílání dat zpracovateli formuláře. Fungování správce hesel pro smíšené autentizační formuláře nebylo vypnuto, protože riziko použití nespolehlivého hesla a opětovného používání hesel na různých stránkách převyšuje riziko potenciálního odposlechu provozu.
Při zahájení zadávání ve smíšených formulářích je zajištěno zobrazení upozornění, informujícího uživatele o odeslání vyplněných údajů přes nezašifrovaný komunikační kanál.
Při pokusu o odeslání smíšeného formuláře se zobrazí samostatná stránka s upozorněním na potenciální riziko přenosu dat přes nezašifrovaný komunikační kanál. V předchozích verzích se pro indikaci smíšených formulářů používal ukazatel zámku v adresním řádku, ale taková značka nebyla pro uživatele zřejmá a efektivně neodrážela vznikající rizika.

Blokování nebezpečného načítání (bez šifrování) spustitelných souborů bylo doplněno blokací nebezpečného načítání archivů (zip, iso atd.) a zobrazením upozornění při nebezpečném načítání
dokumentů (docx, pdf atd.). V dalším vydání se očekává blokace dokumentů a zobrazení upozornění pro obrázky, textové a multimediální soubory. Blokace byla realizována, protože načítání souborů bez šifrování může být využito k provádění škodlivých činů prostřednictvím podvržení obsahu během útoků typu MITM.

V kontextovém menu je defaultně zobrazena možnost „Vždy ukazovat celé URL“, kterou bylo dříve nutné aktivovat změnou parametrů na stránce about:flags. Celé URL lze také zobrazit dvojitým kliknutím na adresní řádek. Připomeňme, že od Chrome 76 se adresa začala zobrazovat bez protokolu a subdomény www. V Chrome 79 bylo odstraněno nastavení pro navrácení starého chování, avšak po nespokojenosti uživatelů v Chrome 83 byla přidána nová experimentální vlajka, která do kontextového menu přidává položku pro vypnutí skrytí a zobrazení celého URL za všech okolností.

Pro malé procento uživatelů byl spuštěn experiment o zobrazení defaultně pouze domény, bez prvků cesty a parametrů dotazu. Například místo „https://example.com/secure-google-sign-in/“ bude zobrazeno „example.com“. Zajištění navrhovaného režimu pro všechny uživatele se očekává v některé z následujících verzí. Pro vypnutí tohoto chování lze použít možnost „Vždy ukazovat celé URL“, a pro zobrazení celého URL stačí kliknout na adresní řádek. Jako motivaci ke změně se uvádí snaha chránit uživatele před phishingem, který manipuluje s parametry v URL — útočníci využívají nepozornosti uživatelů k vytvoření dojmu otevření jiného webu a k provádění podvodných akcí (pokud takové podvody nápadně vnímají technicky zdatní uživatelé, pak naivní běžní uživatelé na takové jednoduché manipulace snadno naletí).

Byla obnovena iniciativa pro odstranění podpory FTP. V Chrome 86 je FTP ve výchozím nastavení vypnuto přibližně pro 1 % uživatelů, a v Chrome 87 se rozsah vypnutí zvýší na 50 %, ale podporu bude možné obnovit pomocí vlajky „—enable-ftp“ nebo „—enable-features=FtpProtocol“. V Chrome 88 bude podpora FTP zcela vypnuta.

V aplikaci pro Android, podobně jako v desktopové verzi, je v manažeru hesel implementována kontrola uložených přihlašovacích údajů a hesel podle databáze zkompromitovaných účtů s výstupem varování v případě zjištění problémů nebo pokusu o použití triviálních hesel. Kontrola se provádí na základě databáze pokrývající více než 4 miliardy zkompromitovaných účtů, které se objevily v únikách uživatelských databází. Pro zachování soukromí se používá probíhá kontrola hash-prefixu na straně uživatele, a samotná hesla a jejich kompletní hash nebyly přenášeny ven.

Do verze pro Android byla také přidána byly přeneseny tlačítko „Kontrola bezpečnosti“ (Safety check) a rozšířený režim ochrany proti nebezpečným stránkám (Enhanced Safe Browsing). Tlačítko „Safety check“ ukazuje shrnutí možných bezpečnostních problémů, jako je používání zkompromitovaných hesel, stav kontroly nebezpečných webů (Safe Browsing), existence neinstalovaných aktualizací a detekce škodlivých rozšíření. Rozšířený režim ochrany aktivuje další kontroly pro ochranu proti phishingu, škodlivé aktivitě a dalším hrozbám v webu, a také zahrnuje další ochranu pro účet Google a služby Google (Gmail, Drive atd.). Pokud v běžném režimu Safe Browsing probíhají kontroly lokálně na základě databáze periodicky stahované do klientského systému, v Enhanced Safe Browsing se informace o stránkách a stahování v reálném čase odesílají k ověření na stranu Google, což umožňuje rychle reagovat na hrozby okamžitě po jejich zjištění, aniž by bylo nutné čekat na aktualizaci místního černého seznamu.

Byla přidána podpora indikátorového souboru „.well-known/change-password“, pomocí něhož mohou vlastníci webů uvést adresu webového formuláře pro změnu hesla. V případě zjištění kompromitace uživatelských údajů nabídne Chrome okamžitě uživateli formulář pro změnu hesla, určený na základě informací z tohoto souboru.

Bylo zavedeno nové varování „Bezpečnostní tip“, které se zobrazuje při otevírání webových stránek, jejichž domény jsou velmi podobné jiné stránce a heuristika naznačuje vysokou pravděpodobnost podvodu (například jste otevřeli goog0le.com namísto google.com).

Byla implementována podpora zpětného cache (Back-forward cache), která zajišťuje okamžitý přechod při používání tlačítek „Zpět“ a „Doprava“ nebo při navigaci po dříve navštívených stránkách aktuálního webu. Cache se aktivuje pomocí nastavení chrome://flags/#back-forward-cache.

Bylo provedeno optimalizace spotřeby CPU okny.
mimo zorného poľa. Chrome kontroluje, či nie sú okná prehliadača prekryté inými oknami a vylučuje vykresľovanie pixelov v oblastiach prekrytia. Uvedená optimalizácia bola aktivovaná pre malý percentuálny podiel používateľov vo verziách Chrome 84 a 85 a teraz je aktivovaná vo všetkých. V porovnaní s predchádzajúcimi verziami bola tiež odstránená nekompatibilita so systémami virtualizácie, ktorá spôsobovala zobrazovanie prázdnych bielych stránok.

Bylo posíleno omezení zdrojů pro pozadkové karty. Tyto karty nyní nemohou spotřebovávat více než 1% zdrojů CPU a mohou se aktivovat pouze jednou za minutu. Po pěti minutách na pozadí se karty zmrazí, s výjimkou karet, na kterých se přehrává multimediální obsah nebo se provádí nahrávání.

Obnovená práca na unifikácii HTTP hlavičky User-Agent. V novej verzii bola pre všetkých používateľov aktivovaná podpora mechanizmu User-Agent Client Hints, vyvíjaného ako náhrada za User-Agent. Nový mechanizmus predpokladá selektívne poskytovanie údajov o konkrétnych parametroch prehliadača a systému (verzia, platforma atď.) až po požiadavke zo servera a umožňuje používateľom selektívne poskytovať podobné informácie majiteľom webových stránok. Pri použití User-Agent Client Hints sa identifikátor neodosiela predvolene bez jasnej požiadavky, čo znemožňuje pasívnu identifikáciu (predvolene sa uvádza len názov prehliadača).

Byla změněna indikace dostupnosti aktualizace a potřeby restartovat prohlížeč pro instalaci. Místo barevné šipky v poli avatara účtu se nyní zobrazuje nápis „Update“.

Bola vykonaná práca na prechode prehliadača na používanie inkluzívnej terminológie. V názvoch politík boli slová „whitelist“ a „blacklist“ nahradené výrazmi „allowlist“ a „blocklist“ (už pridané politiky budú naďalej fungovať, ale dostanú varovanie o prechode do kategórie zastaraných). V kódě a názvoch súborov bola zmienka o „blacklist“ nahradená výrazom „blocklist“.
Viditeľné zmienky o „blacklist“ a „whitelist“ boli nahradené už začiatkom roka 2019.

Byla přidána experimentální možnost editace uložených hesel, aktivovaná pomocí příznaku „chrome://flags/#edit-passwords-in-settings“.

Prevedený do kategórie stabilných a verejných API Native File System, ktorý umožňuje vytvárať webové aplikácie, ktoré interagujú so súbormi v lokálnom súborovom systéme. Napríklad, nový API môže byť zaujímavý pre integrované vývojové prostredia, textové editory, editory obrázkov a videa spustené v prehliadači. Na získanie možnosti priameho zápisu a čítania súborov alebo používania dialógov na otvorenie a uloženie súborov, ako aj na navigáciu v obsahu priečinkov, aplikácia žiada používateľa o špeciálne potvrdenie.

Pridaný CSS selektor „:focus-visible«, který používá stejnou heuristiku jako prohlížeč při rozhodování o zobrazení indikátoru změny zaměření (při přesunu zaměření na tlačítko pomocí klávesových zkratek se indikátor zobrazí, ale při kliknutí myší nikoli). Dříve dostupný CSS selektor „:focus“ vždy zvýrazňoval zaměření.
Kromě toho byla do nastavení přidána možnost „Rychlé zvýraznění zaměření“, při jejímž zapnutí se vedle aktivních prvků zobrazí další indikátor zaměření, který zůstává viditelný, i když jsou na stránce pomocí CSS zakázány vizuální prvky pro zvýraznění zaměření.

V režimu Origin Trials (experimentální funkce vyžadující samostatnou aktivaci) bylo přidáno několik nových API. Origin Trial zahrnuje možnost práce se specifikovaným API z aplikací načítaných z localhost nebo 127.0.0.1, nebo po registraci a získání speciálního tokenu, který platí omezenou dobu pro konkrétní web.

API WebHID pro nízkoúrovňový přístup k HID zařízením (Human Interface Device, klávesnice, myši, herní ovladače, dotykové panely), které umožňuje implementovat logiku práce s HID zařízením pomocí JavaScriptu pro organizaci práce s neobvyklými HID zařízeními bez potřeby specifických ovladačů v systému.
Především je nový API zaměřen na poskytování podpory herním ovladačům.
API Informace o obrazovce, rozšiřuje možnosti API Umístění oken podporou konfigurací s více obrazovkami. Na rozdíl od window.screen nový API umožňuje manipulovat s umístěním okna v celkovém obrazovém prostoru vícemonitorových systémů, aniž by byla omezena na aktuální obrazovku.
Meta tag battery-savings, kterým může web informovat prohlížeč o potřebě aktivovat režimy úspory energie a optimalizace zátěže CPU.
API COOP Reporting pro informování o potenciálních porušeních režimů izolace Cross-Origin-Embedder-Policy (COEP) a Cross-Origin-Opener-Policy (COOP), bez uplatnění skutečných omezení.
V API Správa pověření byl navržen nový typ pověření PaymentCredential, poskytující dodatečné potvrzení prováděné platební transakce. Kontrolní strana, například banka, má možnost vygenerovat veřejný klíč PublicKeyCredential, který může být požadován prodejcem pro dodatečné bezpečné potvrzení platby.

V API PointerEvents pro určení náklonu stylusu byla přidána podpora výškových úhlů (úhel mezi stylusem a obrazovkou) a azimutu (úhel mezi osou X a projekcí stylusu na obrazovku), místo úhlů TiltX a TiltY (úhly mezi plochou stylusu a jednou z os a plochou os Y a Z). Také byly přidány funkce pro převod mezi výškou/azimutem a TiltX/TiltY.

Bylo změněno kódování mezery v URL, při jejím vyhodnocování v protokolových zpracovatelích — metoda navigator.registerProtocolHandler() nyní nahrazuje mezery za „“ místo „+“, což sjednocuje chování s jinými prohlížeči, jako je Firefox.

V CSS byl přidán pseudo-element „::marker„, který umožňuje nastavit barvu, velikost, tvar a typ čísel a teček pro seznamy v blocích

Byla přidána podpora HTTP hlavičky Document-Policy, umožňující nastavit pravidla přístupu k dokumentům, podobná mechanismu sandboxové izolace pro iframe, ale univerzálnější. Například prostřednictvím Document-Policy lze omezit použití nekvalitních obrázků, vypnout pomalé JavaScript API, nastavit pravidla pro načítání iframe, obrázků a skriptů, omezit celkovou velikost dokumentu a provoz, zakázat metody, které vedou k překreslení stránky, vypnout funkci Scroll-To-Text.
V elementu
byla přidána podpora parametrů ‘inline-grid’, ‘grid’, ‘inline-flex’ a ‘flex’, definovaných prostřednictvím CSS vlastnosti ‘display’.
Byla přidána metoda ParentNode.replaceChildren() pro nahrazení všech potomků rodičovského uzlu jiným DOM uzlem. Dříve bylo možné pro nahrazení uzlů použít kombinaci metod node.removeChild() a node.append() nebo node.innerHTML a node.append().
Byl rozšířen spektrum schémat URL, povolených pro přepsání pomocí registerProtocolHandler(). Seznam schémat zahrnuje decentralizované protokoly cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns a ssb, což umožňuje určovat odkazy na prvky nezávisle na webu nebo bráně poskytující přístup k zdroji.
V API Asynchronous Clipboard byla přidána podpora formátu text/html pro kopírování a vkládání HTML prostřednictvím schránky (při zápisu a čtení do schránky se provádí čištění nebezpečných HTML konstrukcí). Tato změna například umožňuje organizovat v webových editorech vkládání a kopírování naformátovaného textu s obrázky a odkazy.
V WebRTC byla přidána byla přidána možnost připojení vlastních zpracovatelů dat, které se vyvolávají v fázích kódování nebo dekódování WebRTC MediaStreamTrack. Například tuto možnost lze použít k přidání podpory end-to-end šifrování dat přenášených prostřednictvím mezičlánkových serverů.
V JavaScriptovém enginu V8 bylo urychleno o 75% zrychleno implementace Number.prototype.toString. Do asynchronních tříd byla přidána vlastnost .name s prázdnou hodnotou. Byla odstraněna metoda Atomics.wake, která byla předtím přejmenována na Atomics.notify, aby odpovídala specifikaci ECMA-262. Otevřen kód nástroje pro fuzzingové testování JS-Fuzzer.
Ve využitém starém (baseline) kompilátoru Liftoff pro WebAssembly byla zahrnuta možnost použití vektorových instrukcí SIMD pro urychlení výpočtů. Podle testů tato optimalizace umožnila zrychlit některé testy až 2,8krát. Jiná optimalizace výrazně urychlila volání JavaScriptových funkcí importovaných z WebAssembly.
Byly rozšířeny nástroje pro webové vývojáře: V panelu Media byly přidány informace o přehrávačích používaných pro reprodukci videa na stránce, včetně údajů o událostech, protokolech, hodnotách vlastností a parametrech dekódování snímků (například lze určit příčiny ztráty snímků a problémy při interakci z JavaScriptu).
V kontextovém menu panelu Elements byla přidána možnost vytvářet snímky vybraného prvku (například lze vytvořit snímek obsahu nebo tabulky).
V webové konzole byla panel s varováním o problémech nahrazena běžnou zprávou a problémy se třetími Cookies jsou ve výchozím nastavení skryté na kartě Issues a zahrnují se speciálním zaškrtávacím políčkem.
Na záložce Rendering byla přidána tlačítko „Disable local fonts“, které umožňuje simulovat absenci místních písem, a na záložce Sensors se objevila možnost simulovat nečinnost uživatele (pro aplikace využívající API Idle Detection).
V panelu Application je poskytována podrobná informace o každém iframe, otevřeném okně a pop-upech, včetně údajů o izolaci Cross-Origin pomocí COEP a COOP.
Začala náhrada implementace protokolu QUIC za variantu vyvíjenou ve specifikaci IETF, místo varianty Google QUIC.

Kromě novinek a oprav chyb v nové verzi bylo odstraněno 35 zranitelností. Mnoho zranitelností bylo odhaleno v důsledku automatizovaného testování nástroji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Jedna zranitelnost (CVE-2020-15967, přístup k uvolněné oblasti paměti v kódu pro interakci s Google Payments) je označena jako kritická, tj. umožňuje obejít všechny úrovně zabezpečení prohlížeče a provést kód v systému mimo sandboxové prostředí. V rámci programu odměn za nalezení zranitelností pro aktuální verzi společnost Google vyplatila 27 odměn v celkové výši 71 500 dolarů (jedna odměna 15 000 USD, tři odměny 7 500 USD, pět odměn 5 000 USD, dvě 3 000 USD, jedna 200 USD a dvě odměny 500 USD). Velikost 13 odměn zatím nebyla určena.

Zdroj: opennet.ru