Das Unternehmen Google Release des Web-Browsers . Gleichzeitig stabile Ausgabe des Open-Source-Projekts , das die Grundlage von Chrome bildet. Der Browser Chrome durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung bei Abstürzen, die Möglichkeit, Flash-Inhalte auf Anfrage zu laden, Module zur Wiedergabe von geschützten Videoinhalten (DRM), ein automatisches Aktualisierungssystem und der Übertragung bei der Suche Die nächste Ausgabe von Chrome 80 ist für den 4. Februar geplant.
:
- Die Komponente Password Checkup, die dazu dient, die Sicherheit der verwendeten Passwörter zu analysieren. Bei dem Versuch, sich auf einer beliebigen Website anzumelden, erfolgt ein Password Checkup der Überprüfung von Anmeldenamen und Passwort in einer Datenbank kompromittierter Konten mit einer Warnmeldung, falls Probleme festgestellt werden (die Überprüfung erfolgt basierend auf einem Hash-Präfix auf der Benutzerseite). Die Überprüfung erfolgt über eine Datenbank, die mehr als 4 Milliarden kompromittierte Konten umfasst, die in Nutzer-Datenlecks aufgetaucht sind. Eine Warnung wird auch ausgegeben, wenn triviale Passwörter wie „abc123“ verwendet werden. Um die Aktivierung von Password Checkup im Abschnitt „Sync und Google-Dienste“ zu steuern, wurde eine spezielle Einstellung implementiert.
- Eine neue Technologie zur Erkennung von Phishing in Echtzeit wurde vorgestellt. Zuvor erfolgte die Überprüfung durch den Zugriff auf lokal heruntergeladene Blacklists von Safe Browsing, die etwa alle 30 Minuten aktualisiert wurden, was sich beispielsweise als unzureichend erwies, wenn Betrüger häufig zwischen Domains wechselten. Die neue Methode ermöglicht es, URLs in Echtzeit zu überprüfen, wobei eine vorläufige Überprüfung anhand von Whitelists erfolgt, die Hashes von Tausenden vertrauenswürdiger, beliebter Websites enthalten. Wenn die aufgerufene Website nicht auf der Whitelist steht, prüft der Browser die URL auf dem Google-Server, indem die ersten 32 Bits des SHA-256-Hashes der URL übermittelt werden, wobei mögliche persönliche Daten herausgeschnitten werden. Laut Google ermöglicht der neue Ansatz eine Steigerung der Warnmeldungs-Effizienz für neue Phishing-Seiten um 30 %.
- Ein proaktiver Schutz gegen die Übertragung von Google-Anmeldedaten und любых Passwörter, die im Passwort-Manager gespeichert sind, über Phishing-Seiten wurde hinzugefügt. Bei dem Versuch, ein gespeichertes Passwort auf einer Website einzugeben, auf der dieses Passwort normalerweise nicht verwendet wird, wird dem Benutzer eine Warnung zu potenziell gefährlichem Handeln angezeigt.
- Für Verbindungen, die TLS 1.0 und 1.1 verwenden, wird jetzt ein Hinweis auf unsichere Verbindungen angezeigt. Die vollständige Unterstützung von TLS 1.0 und 1.1 in Chrome 81, das für den 17. März 2020 geplant ist.
- Die Möglichkeit, inaktive Tabs einzufrieren, wurde hinzugefügt, wodurch automatisch Tabs aus dem Speicher entladen werden, die sich mehr als 5 Minuten im Hintergrund befinden und keine relevanten Aktionen ausführen. Die Entscheidung über die Eignung eines bestimmten Tabs zum Einfrieren erfolgt anhand von Heuristiken. Die Aktivierung der Funktion erfolgt über das Flag „chrome://flags/#proactive-tab-freeze“.
- eine Blockierung von gemischten Inhalten auf Seiten, die über HTTPS geöffnet werden, bereitgestellt, um sicherzustellen, dass Seiten, die über https:// geöffnet werden, nur Ressourcen enthalten, die über einen geschützten Kommunikationskanal geladen werden. Obwohl die gefährlichsten Arten von gemischten Inhalten, wie Skripte und iframes, bereits standardmäßig blockiert werden, konnten Bilder, Audiodateien und Videos dennoch über http:// geladen werden. Der zuvor verwendete Indikator für gemischte Inhalte für solche Einsätze wurde als ineffektiv und irreführend angesehen, da er keine eindeutige Bewertung der Sicherheit der Seite bietet. Beispielsweise kann ein Angreifer durch den Austausch von Bildern Cookies einfügen, die das Nutzerverhalten nachverfolgen, versuchen, Schwachstellen in Bildbearbeitern auszunutzen oder eine Fälschung durchführen, indem er die im Bild dargestellten Informationen ersetzt. Um die Blockierung gemischter Komponenten zu deaktivieren, wurde eine spezielle Einstellung hinzugefügt, die über das Menü aufgerufen wird, das beim Klicken auf das Schlosssymbol erscheint.
- Eine experimentelle Möglichkeit zum gemeinsamen Zugriff auf den Inhalt der Zwischenablage zwischen der Desktop- und der mobilen Version von Chrome wurde hinzugefügt. In über dasselbe Benutzerkonto verbundenen Chrome-Instanzen kann nun auf den Inhalt der Zwischenablage eines anderen Geräts zugegriffen werden, einschließlich der Möglichkeit zum gemeinsamen Zugriff zwischen mobilen und Desktop-Systemen. Der Inhalt der Zwischenablage wird mit Ende-zu-Ende-Verschlüsselung verschlüsselt, die keinen Zugriff auf den Text auf den Google-Servern ermöglicht. Die Funktion wird über die Optionen chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui und chrome://flags#sync-clipboard-service aktiviert.
- In der Adressleiste wird zu bestimmten Zeitpunkten (z. B. beim Speichern eines Passworts) bei deaktivierter Profilsynchronisation neben dem Avatar auch der Name des aktuellen Google-Kontos angezeigt, damit der Benutzer das aktive Konto genau identifizieren kann.
- Für 1 % der Benutzer aktiviert. „DNS über HTTPS“ (DoH, DNS over HTTPS). Am Experiment nehmen nur die Benutzer teil, deren Systemeinstellungen bereits DNS-Anbieter angeben, die DoH unterstützen. Wenn beispielsweise in den Systemeinstellungen des Benutzers DNS 8.8.8.8 angegeben ist, wird der DoH-Dienst von Google („https://dns.google.com/dns-query“) in Chrome aktiviert. Wenn DNS 1.1.1.1 eingestellt ist, wird der DoH-Dienst von Cloudflare („https://cloudflare-dns.com/dns-query“) aktiviert usw. Zur Steuerung der Aktivierung von DoH gibt es die Einstellung „chrome://flags/#dns-over-https“. Es werden drei Betriebsmodi unterstützt: „secure“, „automatic“ und „off“. Im Modus „secure“ werden Hosts ausschließlich auf Grundlage zuvor zwischengespeicherter sicherer Werte (die über eine gesicherte Verbindung erhalten wurden) und Anfragen über DoH bestimmt, eine Rückkehr zu herkömmlichem DNS findet nicht statt. Im Modus „automatic“ ist es zulässig, Daten aus einem unsicheren Cache zu erhalten und über das traditionelle DNS zuzugreifen, falls DoH und der gesicherte Cache nicht verfügbar sind. Im Modus „off“ wird zunächst der allgemeine Cache überprüft, und wenn keine Daten vorhanden sind, wird die Anfrage über das systemeigene DNS gesendet.
- Experimentelle Caching von gerendertem Inhalt beim Wechseln zwischen den Seiten mit den Schaltflächen „Vorwärts“ und „Rückwärts“, was die Verzögerungen bei dieser Art der Navigation erheblich verringert, da die gesamte Seite vollständig zwischengespeichert wird, ohne dass eine erneute Erstellung und ein erneutes Laden von Ressourcen erforderlich sind. Die Optimierung ist insbesondere in der mobilen Version spürbar, bei der die Leistung bei der Navigation um bis zu 19 % gesteigert wird. Der Modus wird über die Option „chrome://flags#back-forward-cache“ aktiviert.
- Einstellung „chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains“, die es ermöglichte, die Anzeige des Protokolls in der Adressleiste wiederherzustellen (jetzt werden alle Links immer ohne https:// und http:// sowie ohne „www.“ angezeigt).
- In den Builds für Windows wurde die Sandbox-Isolierung des Audio-Wiedergabeservices aktiviert. Zur Steuerung der Aktivierung der Isolierung wurde die Eigenschaft AudioSandboxEnabled vorgeschlagen.
- Im zentralen Administrationssystem für Unternehmen wurde die Möglichkeit implementiert, Regeln festzulegen, die die Menge an Speicher definieren, die eine Browserversion verbrauchen kann, bevor Hintergrund-Tabs entladen werden. Der nach dem Entladen eines Tabs freigegebene Speicher steht dann zur Nutzung zur Verfügung, und der Inhalt des Tabs wird beim Wechsel wieder geladen.
- In Linux ist ein integrierter Zertifikatsprüfungsmechanismus aktiv, der das zuvor verwendete NSS-System ersetzt hat. Der integrierte Prüfer verwendet weiterhin das NSS-Speicherort zur Überprüfung, stellt jedoch striktere Anforderungen an die Verarbeitung von fehlerhaft kodierten und eigenständig zertifizierten Zertifikaten (alle Zertifikate müssen zwingend von einer Zertifizierungsstelle zertifiziert werden).
- In der Version für die Android-Plattform die Möglichkeit zur Zuweisung von adaptiven Symbolen für installierte Webanwendungen, die im Modus Progressive Web Apps (PWA) arbeiten. Adaptive Symbole können an die von den Geräteherstellern verwendete Benutzeroberfläche angepasst werden, beispielsweise rund, quadratisch oder mit sanften Ecken.
- API , die Zugang zu Komponenten zur Erstellung von virtueller und erweiterter Realität bieten. Die API ermöglicht eine Vereinheitlichung der Arbeit mit verschiedenen Klassen von Geräten, von stationären VR-Headsets wie Oculus Rift, HTC Vive und Windows Mixed Reality bis hin zu mobilen Lösungen wie Google Daydream View und Samsung Gear VR. Zu den Anwendungen, in denen die neue API verwendet werden kann, gehören Programme zur Anzeige von 360°-Videos, Systeme zur Visualisierung dreidimensionaler Räume, die Erstellung virtueller Kinos für die Video-Präsentation sowie Experimente zur Schaffung von 3D-Oberflächen für Geschäfte und Galerien;
- Im Origin Trials-Modus (experimentelle Möglichkeiten, die eine separate ) wurden mehrere neue APIs vorgeschlagen. Origin Trial bedeutet die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 geladen werden, oder nach einer Registrierung und dem Erhalt eines speziellen Tokens, der für eine begrenzte Zeit für eine bestimmte Website gültig ist.
- Für alle HTML-Elemente wurde das Attribut „rendersubtree“ vorgeschlagen, das die Anzeige des DOM-Elements festlegt. Bei Zuweisung des Wertes „invisible“ wird der Inhalt des Elements nicht gerendert und überprüft, was die Render-Leistung optimiert. Bei der Einstellung des Wertes „activatable“ entfernt der Browser das unsichtbare Attribut, rendert den Inhalt und macht ihn sichtbar.
- Eine API-Option wurde hinzugefügt basierend auf dem Promise-Mechanismus, der einen sichereren Weg bietet, die automatische Bildschirm-Sperre zu steuern und Geräte in Energiesparmodi zu versetzen.
- Die Möglichkeit zur Anwendung des Attributs wurde für alle HTML- und SVG-Elemente implementiert, auf die der Eingabefokus gesetzt werden kann.
- Für Bilder und Videos kann das Verhältnis der Seitenverhältnisse basierend auf den Attributen Width oder Height berechnet werden, was verwendet werden kann, um die Bildgröße mithilfe von CSS zu bestimmen, bevor das Bild geladen ist (dies behebt das Problem des Seitenumbaus nach dem Laden von Bildern).
- Eine CSS-Eigenschaft wurde hinzugefügt , die automatisch die Größe einer variablen Schriftart in den optischen Koordinaten „“ einstellt, sofern die Schriftart dies unterstützt. Der Modus ermöglicht die Auswahl der optimalen Glyphenform für die angegebene Größe, z. B. die Verwendung von kontrastreicheren Glyphen für Überschriften.
- Eine CSS-Eigenschaft wurde hinzugefügt , die die Verwendung beliebiger Symbole anstelle von Punkten in Listen erlaubt, wie „-“, „+“, „★“ und „▸.“.
- Wenn Worklet.addModule() nicht ausgeführt werden kann, wird nun ein Objekt mit detaillierten Informationen über die Art des Fehlers zurückgegeben, das eine genauere Beurteilung der Fehlerursache (Netzwerkprobleme, falsche Syntax usw.) ermöglicht.
- Die Verarbeitung von Elementen wurde bei deren Verschiebung zwischen Dokumenten eingestellt. Bei der Übertragung zwischen Dokumenten wurden auch die durch Skripte ausgelösten Ereignisse „error“ und „load“ deaktiviert.
- Im JavaScript-Motor V8 Optimierung der Verarbeitung von Änderungen der Darstellungsfelder in Objekten, wodurch die Ausführung des AngularJS-Codes im Speedometer-Testset um 4 % schneller wurde.
- In V8 wurde auch die Verarbeitung von Gettern optimiert, die in eingebetteten APIs wie Node.nodeType und Node.nodeName definiert sind, wenn kein IC (Inline-Caching) Handler vorhanden ist. Diese Änderung hat die Zeitkosten für die IC-Laufzeit bei der Ausführung von Backbone- und jQuery-Tests aus der Speedometer-Suite um etwa 12 % reduziert.
- Es wurde ein Caching der Ergebnisse des OSR-Mechanismus (called on-stack replacement) implementiert, der optimierten Code während der Ausführung einer Funktion substituiert (ermöglicht die Nutzung des optimierten Codes für langfristig ausgeführte Funktionen, ohne auf deren erneuten Aufruf warten zu müssen). Das OSR-Caching ermöglicht auch die Verwendung der Optimierungsergebnisse bei einem erneuten Aufruf der Funktion, ohne dass eine erneute Optimierung erforderlich ist.
In einigen Tests hat die Änderung die Spitzenauslastung um 5–18 % steigern können.
- Änderungen an den Werkzeugen für Webentwickler:
- ein Debugging-Modus zur Ermittlung der Ursachen für die Blockierung einer Anfrage oder das Senden von Cookies.
- Im Bereich mit der Cookie-Liste wurde die Möglichkeit hinzugefügt, den Wert eines ausgewählten Cookies durch einen Klick auf eine bestimmte Zeile schnell anzuzeigen.
- Die Möglichkeit wurde hinzugefügt, verschiedene Einstellungen für die media-Abfragen prefers-color-scheme und prefers-reduced-motion zu simulieren (z. B. um das Verhalten der Seite bei einem dunklen Systemdesign oder bei deaktivierten Animationseffekten zu überprüfen).
- Das Design der Coverage-Registerkarte wurde modernisiert, die es ermöglicht, genutzten und ungenutzten Code zu bewerten. Es wurde die Möglichkeit zur Filterung von Informationen nach Typ (JavaScript, CSS) hinzugefügt. Informationen zur Nutzung des Codes wurden ebenfalls bei der Anzeige des Quelltexts hinzugefügt.
- Es wurde die Möglichkeit hinzugefügt, die Ursachen für die Anfrage eines bestimmten Netzwerkressourcen nach dem Aufzeichnen der Netzwerkaktivität zu debuggen (man kann die Verfolgung des JavaScript-Codes einsehen, der zum Laden der Ressource geführt hat).
- Eine Einstellung "Settings > Preferences > Sources > Default Indentation" wurde hinzugefügt, um die Art der Einrückung (2/4/8 Leerzeichen oder Tabulator) im Code zu bestimmen, der in den Panels Console und Sources ausgegeben wird.
- Im Bereich mit der Cookie-Liste wurde die Möglichkeit hinzugefügt, den Wert eines ausgewählten Cookies durch einen Klick auf eine bestimmte Zeile schnell anzuzeigen.
Neben Neuerungen und Fehlerbehebungen wurden in der neuen Version 51 Schwachstellen behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Zwei Probleme (CVE-2019-13725, Zugriff auf einen bereits freigegebenen Speicherbereich im Code zur Unterstützung von Bluetooth, und CVE-2019-13726, Heap-Überlauf im Passwort-Manager) wurden als kritisch eingestuft, d.h. sie ermöglichen es, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung im System auszuführen. Zum ersten Mal wurden im Rahmen eines Entwicklungszyklus in Chrome gleich zwei kritische Probleme erkannt. Die erste Schwachstelle wurde von Forschern des Unternehmens Tencent Keen Security Lab gefunden und beim Wettbewerb Tianfu Cup, während die zweite von Sergey Glazunov von Google Project Zero entdeckt wurde.
Im Rahmen des Programms zur Vergabe von finanziellen Belohnungen für die Entdeckung von Schwachstellen hat Google für die aktuelle Version insgesamt 37 Preise in Höhe von 80.000 US-Dollar vergeben (ein Preis von 20.000 $, ein Preis von 10.000 $, zwei Preise von 7.500 $, vier Preise von 5.000 $, ein Preis von 3.000 $, zwei Preise von 2.000 $, zwei Preise von 1.000 $ und acht Preise von 500 $). Die Höhe von 15 Belohnungen ist noch nicht festgelegt.
Quelle: opennet.ru
