Google udgivelsen af webbrowseren . Samtidig stabil udgivelse af et frit projekt , som danner grundlaget for Chrome. Browseren Chrome ved at bruge Google-logoer, have et system til at sende beskeder i tilfælde af nedbrud, muligheden for at downloade Flash-modulet på anmodning, moduler til afspilning af beskyttet videoinhold (DRM), et automatisk opdateringssystem og overførsel ved søgning . Den næste udgivelse af Chrome 87 er planlagt til den 17. november.
:
- Beskyttelsen mod usikker indsendelse af inputformularer på sider, der er indlæst via HTTPS, men sender data via HTTP, hvilket skaber risiko for interception og manipulation af data under MITM-angreb, er tilføjet. Beskyttelsen omfatter tre ændringer:
- Automatisk udfyldning af enhver blandet inputformular er deaktiveret, ligesom automatisk udfyldning af autentifikationsformularer på sider, der åbnes via HTTP, allerede er blevet deaktiveret i et stykke tid. Hvis åbning af en side med en formular tidligere var et kriterium for deaktivering, gælder dette nu også for brugen af kryptering ved indsendelse af data til formularbehandleren. Password managerens funktionalitet for blandede autentifikationsformer er ikke deaktiveret, da risikoen ved brug af et usikkert kodeord og genbrug af kodeord på forskellige websteder overstiger risikoen for potentiel interception af trafik.
- Ved påbegyndelse af indtastning i blandede formularer vises der en advarsel, der informerer brugeren om, at de indsendte data sendes gennem en usikker kommunikationskanal.
- Ved forsøg på at sende en blandet formular vises en separat side med en meddelelse om den potentielle risiko ved at overføre data via en usikker kommunikationskanal. I tidligere versioner blev en låsindikator i adresselinjen anvendt til at indikere blandede formularer, men denne markering var ikke umiddelbart indlysende for brugerne og reflekterede ikke effektivt de risici, der opstod.
- Blokering (uden kryptering) af eksekverbare filer er blevet suppleret med blokering af usikker indlæsning af arkiver (zip, iso osv.) og visning af advarsler ved usikker indlæsning
af dokumenter (docx, pdf osv.). I den næste udgivelse forventes blokering af dokumenter og visning af en advarsel for billeder, tekst- og mediefiler. Blokeringen er implementeret, da indlæsning af filer uden kryptering kan bruges til at udføre skadelige handlinger ved at manipulere indholdet under MITM-angreb. - I kontekstmenuen vises standardmuligheden "Vis altid URL'en i sin helhed", hvilket tidligere krævede, at man ændrede indstillingerne på siden about:flags. Den fulde URL kan også ses ved at klikke to gange på adresselinjen. Lad os minde om, at siden som default vises adressen uden protokol og underdomæne www. I blev indstillingen for at vende tilbage til den gamle adfærd fjernet, men efter brugernes utilfredshed i blev en ny eksperimentel flag tilføjet, der tilføjer et punkt i kontekstmenuen for at deaktivere skjulingen og visningen af den fulde URL under alle omstændigheder.
- For en lille procentdel af brugerne er der startet efter af adresselinjen som standard kun med domænet, uden sti- og forespørgselsparametre. For eksempel vil 'https://example.com/secure-google-sign-in/' blive vist som 'example.com'. Implementeringen af den foreslåede tilstand til alle brugere forventes i et af de næste udgivelser. For at deaktivere den nævnte adfærd kan man bruge indstillingen 'Vis altid URL'en i sin helhed', og for at se hele URL'en kan man klikke på adresselinjen. Motivation for ændringen er ønsket om at beskytte brugerne mod phishing, der manipulerer med parametre i URL'en - kriminelle udnytter brugeres uopmærksomhed for at skabe indtryk af, at man åbner et andet site og udfører svigagtige handlinger (hvis sådanne manipulationer er tydelige for teknisk kyndige brugere, så lader almindelige brugere sig nemt narre af disse simple tricks).
- Initiativet I Android-versionen, på samme måde som i desktop-versionen, er der implementeret en kontrol af gemte login og adgangskoder mod databasen med kompromitterede konti med advarsler, hvis der opdages problemer eller forsøg på at bruge trivielle adgangskoder. Kontrollen udføres mod en database, der dækker over 4 milliarder kompromitterede konti, der har været involveret i lækager af brugerdata. For at bevare privatlivets fred
- sammenlignes hash-præfikset på brugerens side, og selve adgangskoderne og deres fulde hasher sendes ikke ud. I Android-versionen er der også
- overført knappen «Sikkerhedskontrol» (Safety check) og den udvidede beskyttelse mod farlige websteder (Enhanced Safe Browsing). Knappen «Safety check» viser en oversigt over potentielle sikkerhedsproblemer såsom brug af kompromitterede adgangskoder, tilstanden af sikkerhedskontrollen af skadelige websteder (Safe Browsing), opdateringer, der ikke er installeret, og identificering af skadelige tillæg. Den udvidede beskyttelse aktiverer yderligere kontroller for at beskytte mod phishing, skadelig aktivitet og andre trusler på nettet samt inkluderer ekstra beskyttelse for Google-kontoen og Google-tjenester (Gmail, Drive osv.). I det normale Safe Browsing-mode udføres kontroller lokalt ved hjælp af en database, der periodisk opdateres på klientens system, mens i Enhanced Safe Browsing sendes information om sider og downloads i realtid til Google for kontrol, hvilket muliggør hurtig reaktion på trusler straks efter deres opdagelse, uden at man venter på opdatering af den lokale sortliste.
- understøttelse af indikatorfilen «.well-known/change-password», hvormed websiteejere kan angive adressen på en webformular til at ændre adgangskoden. Hvis der opdages en kompromittering af brugerens legitimationsoplysninger, vil Chrome straks tilbyde brugeren en formular til at ændre adgangskoden, baseret på oplysninger fra denne fil.
- Implementering af en ny advarsel «Safety Tip», der vises, når der åbnes websteder, hvis domæne ligner et andet websted, og heuristikken viser, at der er stor sandsynlighed for spoofing (for eksempel åbnes goog0le.com i stedet for google.com).
- understøttelse af back-forward cache, der muliggør øjeblikkelig navigation ved brug af knapperne «Tilbage» og «Frem» eller ved at navigere gennem tidligere besøgte sider på det aktuelle websted. Cachen aktiveres via indstillingen chrome://flags/#back-forward-cache.
- Optimeret CPU-ressourceforbrug i vinduer
uden for synsfeltet. Chrome kontrollerer, om browservinduet dækkes af andre vinduer, og udelader rendering af pixels i overlapningsområder. Den nævnte optimering blev aktiveret for en lille procentdel af brugerne i Chrome 84 og 85, men er nu aktiveret for alle. Sammenlignet med tidligere versioner er der også løst inkompatibilitet med virtualiseringssystemer, der tidligere viste tomme hvide sider. - Strammere ressourcebegrænsninger for baggrundsfaner. Sådanne faner må nu ikke forbruge mere end 1% af CPU-ressourcerne og kan aktiveres højst én gang i minuttet. Efter fem minutters baggrundsophold fryses fanerne, undtagen de faner der afspiller multimedieindhold eller optager.
- Arbejdet er genoptaget med HTTP-headeren User-Agent. I den nye version er der aktiveret support for mekanismen , udviklet som en erstatning for User-Agent. Den nye mekanisme indebærer selektiv levering af data om specifikke browser- og systemparametre (version, platform osv.) kun efter anmodning fra serveren og giver brugerne mulighed for selektivt at give sådanne oplysninger til hjemmesideejere. Ved brug af User-Agent Client Hints overføres identifikatoren ikke som standard uden en eksplicit anmodning, hvilket gør passiv identifikation umulig (kun browserens navn angives som standard).
- Indikatoren for opdateringer og behovet for at genstarte browseren for at installere den er blevet ændret. I stedet for en farvet pil i kontoens avatar vises nu teksten "Update".
- Der er blevet arbejdet på at oversætte browseren til anvendelse af inkluderende terminologi. I navne på politikker er ordene "whitelist" og "blacklist" blevet ændret til "allowlist" og "blocklist" (allerede tilføjede politikker vil fortsætte med at fungere, men der vil blive vist en advarsel om overgangen til at være forældet). I og er omtaler af "blacklist" blevet ændret til "blocklist".
Synlige omtaler af "blacklist" og "whitelist" blev ændret allerede i begyndelsen af 2019. - Tilføjet en eksperimentel mulighed for at redigere gemte adgangskoder, der aktiveres ved hjælp af flaget "chrome://flags/#edit-passwords-in-settings".
- Overført til stabil og offentlig API , der gør det muligt at oprette webapplikationer, der interagerer med filer i det lokale fildatabase. For eksempel kan det nye API være efterspurgt i browserbaserede integrerede udviklingsmiljøer, tekstredigerere, billed- og videoredigeringer. For at få direkte mulighed for at læse og skrive filer eller bruge dialoger til at åbne og gemme filer samt navigere i indholdet af mapper, skal applikationen anmode brugeren om en særlig bekræftelse.
- Der er tilføjet en CSS-vælger ««, som bruger den samme heuristik, som browseren anvender, når den beslutter at vise fokusindikatoren (når fokus flyttes til knappen ved hjælp af tastaturkombinationer vises indikatoren, men ikke ved klik med musen). Den tidligere tilgængelige CSS-vælger «:focus» fremhæver altid fokus.
Desuden er der tilføjet en mulighed i indstillingerne kaldet «Quick Focus Highlight», som, når den er aktiveret, viser en ekstra fokusindikator ved aktive elementer, der forbliver synlig, selvom visuelle stilindikationer for fokus er deaktiveret via CSS. - I Origin Trials (eksperimentelle funktioner, der kræver separat aktivering) er der tilføjet flere nye API'er. Origin Trial indebærer muligheden for at arbejde med den angivne API fra applikationer, der er indlæst fra localhost eller 127.0.0.1, eller efter tilmelding og modtagelse af et særligt token, der er gyldigt i en begrænset periode for et specifikt websted.
- til lavniveauadgang til HID-enheder (Human interface device, tastaturer, mus, gamepads, touchpads), hvilket gør det muligt at implementere logik til arbejde med HID-enheder i JavaScript for at organisere arbejdet med sjældne HID-enheder uden at have specifikke drivere i systemet.
Først og fremmest understøtter det nye API gamepads. - , udvider mulighederne i Window Placement API med støtte til konfigurationer med flere skærme. I modsætning til window.screen giver det nye API mulighed for at manipulere placeringen af vinduet i det samlede skærmområde i systemer med flere monitorer, uden at være begrænset til den aktuelle skærm.
- Meta-tag , hvorved hjemmesiden kan informere browseren om behovet for at aktivere energibesparende tilstande og optimere belastningen på CPU'en.
- API til at informere om potentielle overtrædelser af isolationsregimer (COEP) og (COOP), uden at anvende faktiske begrænsninger.
- I API har foreslået en ny type legitimationsoplysninger , der yderligere bekræfter den udførte betalingsoperation. Den kontrollerende part, f.eks. banken, har mulighed for at generere en offentlig nøgle PublicKeyCredential, som kan anmodes om af sælgeren for at give en ekstra sikker bekræftelse på betalingen.
- til lavniveauadgang til HID-enheder (Human interface device, tastaturer, mus, gamepads, touchpads), hvilket gør det muligt at implementere logik til arbejde med HID-enheder i JavaScript for at organisere arbejdet med sjældne HID-enheder uden at have specifikke drivere i systemet.
- I API til at bestemme vinkelhældningen af stylus er der tilføjet support til højdevinkler (vinklen mellem stylus og skærmen) og azimut (vinklen mellem X-aksen og projektionen af stylus på skærmen), i stedet for TiltX og TiltY (vinklerne mellem stylen og en af akserne samt pladen fra Y- og Z-aksen). Der er også tilføjet funktioner til konvertering mellem højde/azimut og TiltX/TiltY.
- Kodningen af mellemrum i URL'er er ændret; i metoderne til navigator.registerProtocolHandler() erstattes mellemrum nu med "" i stedet for "+", hvilket ensretter adfærden med andre browsere som Firefox.
- I CSS er der tilføjet en pseudo-element ««, der giver mulighed for at tilpasse farve, størrelse, form og type tal og punkter til lister i blokke
- og
- .
- Der er tilføjet support til HTTP-headeren , adgangsregler for dokumenter, der ligner sandkasseisolationsmekanismen for iframe, men mere universel. For eksempel, gennem Document-Policy kan man begrænse brugen af lavkvalitets billeder, deaktivere langsomme JavaScript API’er, indstille regler for indlæsning af iframe, billeder og scripts, begrænse den samlede dokumentstørrelse og trafik, forbyde metoder, der fører til optegning af siden, deaktivere funktionen .
- I elementet er der tilføjet support for parametrene ‘inline-grid’, ‘grid’, ‘inline-flex’ og ‘flex’, angivet gennem CSS-egenskaben ‘display’.
- En metode er tilføjet til at erstatte alle underordnede elementer af forældreknuden med en anden DOM-knude. Tidligere kunne man bruge en kombination af metoderne node.removeChild() og node.append() eller node.innerHTML og node.append() til at erstatte noder.
- spektrum af URL-scheme, der er tilladt til at blive overskrevet ved hjælp af registerProtocolHandler(). Listen over schemer inkluderer decentraliserede protokoller cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns og ssb, som tillader at definere links til elementer uafhængigt af det websted eller gateway, der giver adgang til ressourcen.
- I API tilføjet støtte til text/html-format til kopiering og indsætning af HTML via udklipsholderen (ved skrivning og læsning fra udklipsholderen udføres oprydning af farlige HTML-konstruktioner). Denne ændring muliggør f.eks. indsættelse og kopiering af formateret tekst med billeder og links i web-redigeringsprogrammer.
- I WebRTC muligheden for at tilslutte egne databehandlere, der aktiveres under kodnings- eller dekodningstrinene i WebRTC MediaStreamTrack. Denne mulighed kan f.eks. bruges til at tilføje understøttelse af ende-til-ende kryptering af data, der overføres via mellemliggende servere.
- I JavaScript-motoren V8 er hastigheden steget med 75% implementeringen af Number.prototype.toString. I de asynkrone klasser er der tilføjet en egenskab .name med en tom værdi. Metoden Atomics.wake, der tidligere blev omdøbt til Atomics.notify for at overholde ECMA-262 specifikationen, er fjernet. Koden til fuzzing-testværktøjet er blevet åbnet. .
- I den tidligere anvendte baseline-kompiler Liftoff for WebAssembly er muligheden for at bruge vektorinstruktioner blevet inkluderet. til acceleration af beregninger. Ifølge testene har optimeringen gjort det muligt at accelerere nogle testforløb med 2,8 gange. En anden optimering har i høj grad accelereret kaldet til importerede JavaScript-funktioner fra WebAssembly.
- værktøjer til webudviklere: Der er tilføjet oplysninger om afspillere i Media-panelet, der anvendes til afspilning af video på siden, herunder data om begivenheder, logs, egenskabsværdier og billeddekomprimeringsparametre (f.eks. kan man bestemme årsagerne til billedtab og problemer ved interaktion fra JavaScript).
I kontekstmenuen i Elements-panelet er muligheden for at tage skærmbilleder af det valgte element blevet tilføjet (f.eks. kan man tage et skærmbillede af indholdsfortegnelsen eller tabellen).
I webkonsollen er panelet med advarsler om problemer blevet erstattet med en almindelig meddelelse, og problemer med tredjeparts cookies er som standard skjult under fanen Issues og kan aktiveres med en særlig markering.
I Rendering-fanen er der tilføjet en knap 'Deaktiver lokale skrifttyper', der simulerer fraværet af lokale skrifttyper, og i Sensors-fanen er der tilføjet muligheden for at simulere brugerens inaktivitet (til applikationer, der bruger API Idle Detection).
I kontrolpanelet for Application gives du detaljeret information om hver iframe, åbent vindue og pop-up, herunder data om Cross-Origin isolation ved hjælp af COEP og COOP.
- udskiftning af implementeringen af protokollen med en variant, der udvikles i IETF-specifikationen, i stedet for Googles variant QUIC.
Udover nye funktioner og fejlrettelser er der i den nye version løst . Mange af sårbarhederne blev opdaget ved hjælp af automatiserede testværktøjer , , , og . Én sårbarhed (CVE-2020-15967, adgang til frigivet hukommelsesområde i koden til interaktion med Google Payments) er markeret som kritisk, dvs. den tillader omgåelse af alle niveauer af browserbeskyttelse og udførelse af kode i systemet uden for sandbox-miljøet. Som en del af programmet for belønning for opdagelse af sårbarheder for den nuværende version har Google udbetalt 27 præmier med en samlet værdi af 71.500 dollars (én præmie på $15.000, tre præmier på $7.500, fem præmier på $5.000, to $3.000, én $200 og to præmier på $500). Størrelsen på 13 præmier er endnu ikke bestemt.
Kilde: opennet.ru
