Das Unternehmen Google Release des Web-Browsers . Gleichzeitig stabile Ausgabe des Open-Source-Projekts , das die Grundlage von Chrome bildet. Der Browser Chrome durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung bei Abstürzen, die Möglichkeit, Flash-Inhalte auf Anfrage zu laden, Module zur Wiedergabe von geschützten Videoinhalten (DRM), ein automatisches Aktualisierungssystem und der Übertragung bei der Suche Die nächste Version von Chrome 87 ist für den 17. November geplant.
:
- Es wurde ein Schutz vor unsicheren Formularübermittlungen auf Seiten hinzugefügt, die über HTTPS geladen werden, aber Daten über HTTP senden, was das Risiko von Datenabfang und -manipulation bei MITM-Angriffen erhöht. Der Schutz umfasst drei Änderungen:
- Die automatische Vervollständigung von gemischten Eingabeformularen wurde deaktiviert, ähnlich wie die automatische Vervollständigung von Authentifizierungsformularen auf über HTTP geöffneten Seiten bereits vor längerer Zeit deaktiviert wurde. Wenn zuvor das Öffnen einer Seite mit einem Formular über HTTPS oder HTTP als Kriterium für die Deaktivierung diente, wird jetzt auch die Anwendung der Verschlüsselung bei der Datenübertragung an den Formularverarbeiter berücksichtigt. Die Passwortmanagerfunktion für gemischte Authentifizierungsformulare ist nicht deaktiviert, da das Risiko der Verwendung unsicherer Passwörter und der Wiederverwendung von Passwörtern auf verschiedenen Seiten das Risiko einer potenziellen Datenübertragung über das Internet übersteigt.
- Beim Beginn der Eingabe in gemischten Formularen wird eine Warnung ausgegeben, die den Benutzer über die Übermittlung von ausgefüllten Daten über einen unverschlüsselten Kommunikationskanal informiert.
- Bei dem Versuch, ein gemischtes Formular zu senden, wird eine separate Seite mit einer Benachrichtigung über das potenzielle Risiko der Datenübertragung über einen unverschlüsselten Kommunikationskanal angezeigt. In früheren Versionen wurde ein Schloss-Symbol in der Adresszeile zur Kennzeichnung gemischter Formulare verwendet, jedoch war diese Markierung für die Benutzer nicht offensichtlich und spiegelte die Risiken nicht effektiv wider.
- Blockierung (ohne Verschlüsselung) von ausführbaren Dateien wurde um die Blockierung unsicherer Downloads von Archiven (zip, iso usw.) ergänzt und es werden Warnungen bei unsicheren Downloads ausgegeben
von Dokumenten (docx, pdf usw.). In der nächsten Version wird eine Blockierung von Dokumenten und die Ausgabe einer Warnung für Bilder, Text- und Multimedia-Dateien erwartet. Die Blockierung wurde implementiert, da der Download von Dateien ohne Verschlüsselung für böswillige Aktivitäten durch Manipulation des Inhalts während von MITM-Angriffen verwendet werden kann. - Im Kontextmenü wird standardmäßig die Option „URL immer vollständig anzeigen“ angezeigt, die zuvor eine Änderung der Einstellungen auf der Seite about:flags erforderte. Die vollständige URL kann auch durch doppelklicken auf die Adresszeile angezeigt werden. Wir erinnern daran, dass ab Standardmäßig wird die Adresse ohne das Protokoll und die Subdomain www. angezeigt. In wurde die Einstellung zur Wiederherstellung des alten Verhaltens entfernt, aber nach Unzufriedenheit der Nutzer in wurde ein neues experimentelles Flag hinzugefügt, das einen Punkt im Kontextmenü hinzufügt, um das Verstecken und Anzeigen der vollständigen URL unter allen Bedingungen zu deaktivieren.
- Für einen kleinen Prozentsatz der Nutzer wurde nach standardmäßig in der Adresszeile nur der Domain, ohne Pfad- und Abfrageparameter. Zum Beispiel wird anstelle von „https://example.com/secure-google-sign-in/“ „example.com“ angezeigt. Die Einführung dieses Modus für alle Nutzer wird in einer der kommenden Versionen erwartet. Um das genannte Verhalten zu deaktivieren, kann die Option „Immer vollständige URL anzeigen“ verwendet werden, und um die gesamte URL anzuzeigen, kann auf die Adresszeile geklickt werden. Als Motivation für die Änderung wird der Wunsch genannt, die Nutzer vor Phishing zu schützen, das mit Parametern in der URL manipuliert — Angreifer nutzen die Unaufmerksamkeit der Nutzer, um den Anschein zu erwecken, dass eine andere Website geöffnet wird und betrügerische Handlungen vorzunehmen (während solche Manipulationen für technisch versierte Nutzer offensichtlich sind, lassen sich unerfahrene Benutzer leicht durch derartige einfache Tricks täuschen).
- Die zur Abschaffung der FTP-Unterstützung wurde wiederbelebt. In Chrome 86 ist FTP standardmäßig für etwa 1% der Nutzer deaktiviert, und in Chrome 87 wird die Abdeckung der Deaktivierung auf 50% erhöht, aber die Unterstützung kann mithilfe des Flags „—enable-ftp“ oder „—enable-features=FtpProtocol“ wiederhergestellt werden. In Chrome 88 wird die Unterstützung für FTP vollständig deaktiviert.
- In der Android-Version wurde analog zur Desktop-Version eine Überprüfung der gespeicherten Anmeldungen und Passwörter anhand einer Datenbank mit kompromittierten Konten implementiert, mit einer Warnung im Falle von Problemen oder dem Versuch, triviale Passwörter zu verwenden. Die Überprüfung erfolgt anhand einer Datenbank, die über 4 Milliarden kompromittierte Konten umfasst, die in Datenlecks vorkamen. Um die Privatsphäre zu wahren, findet ein Hash-Präfix-Vergleich auf der Benutzerseite statt, und die Passwörter sowie deren vollständigen Hashes werden nicht nach außen übertragen.
- In die Android-Version wurde ebenfalls Die Schaltfläche „Sicherheitsüberprüfung“ und der erweiterte Schutzmodus vor gefährlichen Websites. Die Schaltfläche „Sicherheitsüberprüfung“ zeigt eine Zusammenfassung möglicher Sicherheitsprobleme, wie z. B. die Verwendung kompromittierter Passwörter, den Status der Überprüfung schadhafter Websites, das Vorhandensein nicht installierter Updates und die Erkennung schädlicher Erweiterungen. Der erweiterte Schutzmodus aktiviert zusätzliche Prüfungen zum Schutz vor Phishing, schädlichen Aktivitäten und anderen Bedrohungen im Web und bietet außerdem zusätzlichen Schutz für Google-Konten und Google-Dienste (Gmail, Drive usw.). Während im normalen Modus der Sicherheitsüberprüfung die Überprüfungen lokal anhand einer regelmäßig auf das Client-System heruntergeladenen Datenbank durchgeführt werden, werden beim erweiterten Sicherheitsmodus Informationen über Seiten und Downloads in Echtzeit zur Überprüfung an Google gesendet, was eine sofortige Reaktion auf Bedrohungen nach deren Entdeckung ermöglicht, ohne darauf warten zu müssen, dass die lokale schwarze Liste aktualisiert wird.
- Unterstützung der Indikatordatei „.well-known/change-password“, durch die Website-Besitzer die Adresse eines Webformulars für die Änderung des Passworts angeben können. Bei Entdeckung einer Kompromittierung der Benutzerdaten schlägt Chrome dem Benutzer sofort ein Formular zur Änderung des Passworts vor, das basierend auf den Informationen aus dieser Datei erstellt wurde.
- Eine neue Warnmeldung „Safety Tip“ wurde implementiert, die beim Öffnen von Websites angezeigt wird, deren Domains sehr ähnlich sind wie eine andere Website, und die Heuristik zeigt, dass die Wahrscheinlichkeit eines Spoofings hoch ist (zum Beispiel wurde goog0le.com anstelle von google.com geöffnet).
- Unterstützung des Back-Forward-Caches, der einen sofortigen Wechsel beim Verwenden der Schaltflächen „Zurück“ und „Vorwärts“ oder beim Navigieren auf zuvor angesehenen Seiten der aktuellen Website ermöglicht. Der Cache wird über die Einstellung chrome://flags/#back-forward-cache aktiviert.
- Die Ressourcennutzung der CPU durch Fenster wurde optimiert.
außerhalb des Sichtfelds. Chrome überprüft, ob das Browserfenster von anderen Fenstern überlappt wird, und schließt die Darstellung von Pixeln in überlappten Bereichen aus. Diese Optimierung wurde für einen kleinen Prozentsatz der Benutzer in Chrome 84 und 85 aktiviert und nun allgemein umgesetzt. Im Vergleich zu früheren Versionen wurde auch eine Inkompatibilität mit Virtualisierungssystemen behoben, die leere weiße Seiten angezeigt hat. - Die Ressourcennutzung für Hintergrund-Tabs wurde weiter eingeschränkt. Solche Tabs können jetzt nicht mehr als 1 % der CPU-Ressourcen verbrauchen und dürfen nicht häufiger als einmal pro Minute aktiviert werden. Nach fünf Minuten im Hintergrund werden die Tabs eingefroren, mit Ausnahme von Tabs, in denen Multimedia-Inhalte wiedergegeben oder aufgenommen werden.
- Die Arbeiten zur des HTTP-Headers User-Agent wurden wieder aufgenommen. In der neuen Version wird die Unterstützung des Mechanismus für alle Benutzer aktiviert. , als Ersatz für den User-Agent entwickelt. Der neue Mechanismus sieht eine selektive Bereitstellung von Daten über bestimmte Browser- und Systemparameter (Version, Plattform usw.) nur auf Anfrage des Servers vor und ermöglicht es den Nutzern, solche Informationen selektiv den Website-Besitzern zur Verfügung zu stellen. Bei der Verwendung von User-Agent Client Hints wird die Kennung standardmäßig nicht ohne ausdrückliche Anfrage übertragen, was eine passive Identifizierung unmöglich macht (standardmäßig wird nur der Name des Browsers angegeben).
- Die Anzeige für verfügbare Updates und die Notwendigkeit, den Browser zum Installieren neu zu starten, wurde geändert. Statt einem farbigen Pfeil im Profil-Aavatar-Feld wird nun die Meldung „Update“ angezeigt.
- Es wurde an der Umstellung des Browsers auf inklusive Terminologie gearbeitet. In den Namen der Richtlinien wurden die Begriffe „whitelist“ und „blacklist“ durch „allowlist“ und „blocklist“ ersetzt (bereits hinzugefügte Richtlinien werden weiterhin funktionieren, jedoch wird eine Warnung über deren Umstellung auf die Liste der veralteten Richtlinien ausgegeben). In und wurde „blacklist“ durch „blocklist“ ersetzt.
Sichtbare Benutzererwähnungen von „blacklist“ und „whitelist“ wurden bereits Anfang 2019 ersetzt. - Eine experimentelle Möglichkeit zum Bearbeiten gespeicherter Passwörter wurde hinzugefügt, die über den Schalter „chrome://flags/#edit-passwords-in-settings“ aktiviert werden kann.
- In die Kategorie stabiler und öffentlicher APIs umgestellt , das die Erstellung von Webanwendungen ermöglicht, die mit Dateien im lokalen FS interagieren. Zum Beispiel könnte die neue API in im Browser laufenden integrierten Entwicklungsumgebungen, Text-, Bild- und Videoeditoren von Nutzen sein. Um die Möglichkeit zu erhalten, direkt in Dateien zu schreiben und sie zu lesen oder Dialoge zum Öffnen und Speichern von Dateien zu nutzen sowie den Inhalt von Verzeichnissen zu navigieren, fragt die Anwendung den Benutzer um spezielle Bestätigung.
- Der CSS-Selektor „„ wurde hinzugefügt, der dieselbe Heuristik verwendet, die der Browser bei der Entscheidung über die Anzeige des Fokuswechselindikators anwendet (bei der Bewegung des Fokus auf eine Schaltfläche durch Tastenkombinationen erscheint der Indikator, beim Klicken mit der Maus jedoch nicht). Der zuvor verfügbare CSS-Selektor „:focus“ hebt den Fokus immer hervor.
Darüber hinaus wurde eine Option „Quick Focus Highlight“ zu den Einstellungen hinzugefügt, bei Aktivierung dieser wird neben aktiven Elementen ein zusätzlicher Fokusindikator angezeigt, der sichtbar bleibt, selbst wenn auf der Seite über CSS Stilelemente zur visuellen Hervorhebung des Fokus deaktiviert sind. - Im Modus der Origin Trials (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Origin Trial bedeutet die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 geladen werden, oder nach erfolgreicher Registrierung und Erhalt eines speziellen Tokens, der für eine begrenzte Zeit für eine bestimmte Website gültig ist.
- für den Low-Level-Zugriff auf HID-Geräte (Human Interface Device, Tastaturen, Mäuse, Gamecontroller, Touch-Panels), die es ermöglichen, die Logik für die Arbeit mit einem HID-Gerät in JavaScript zu implementieren, um die Arbeit mit seltenen HID-Geräten ohne spezifische Treiber im System zu organisieren.
Der neue API zielt in erster Linie darauf ab, die Unterstützung für Gamecontroller bereitzustellen. - , erweitert die Möglichkeiten der API Fensterplatzierung durch die Unterstützung von Konfigurationen mit mehreren Bildschirmen. Im Gegensatz zu window.screen ermöglicht die neue API die Manipulation der Fensterplatzierung im allgemeinen Bildschirmraum von Multimonitorsystemen, ohne auf den aktuellen Bildschirm beschränkt zu sein.
- Meta-Tag , mit dem die Website den Browser über die Notwendigkeit informieren kann, Energiesparmodi zu aktivieren und die CPU-Belastung zu optimieren.
- API zur Information über potenzielle Verstöße gegen Isolationsmodi (COEP) und (COOP), ohne tatsächlich Einschränkungen anzuwenden.
- Im API ein neuer Typ von Anmeldedaten , der eine zusätzliche Bestätigung der durchgeführten Zahlungsoperation ermöglicht. Die prüfende Partei, beispielsweise eine Bank, hat die Möglichkeit, einen öffentlichen Schlüssel PublicKeyCredential zu generieren, der vom Verkäufer für eine zusätzliche sichere Bestätigung der Zahlung angefordert werden kann.
- für den Low-Level-Zugriff auf HID-Geräte (Human Interface Device, Tastaturen, Mäuse, Gamecontroller, Touch-Panels), die es ermöglichen, die Logik für die Arbeit mit einem HID-Gerät in JavaScript zu implementieren, um die Arbeit mit seltenen HID-Geräten ohne spezifische Treiber im System zu organisieren.
- Im API für die Bestimmung des Neigungswinkels des Stylus wurde Unterstützung für die Höhenwinkel (der Winkel zwischen dem Stylus und dem Bildschirm) und den Azimut (der Winkel zwischen der X-Achse und der Projektion des Stylus auf den Bildschirm) hinzugefügt, anstelle der Winkel TiltX und TiltY (Winkel zwischen der Fläche des Stylus und einer der Achsen und der Fläche der Achsen Y und Z). Außerdem wurden Funktionen zur Umrechnung zwischen Höhe/Azimut und TiltX/TiltY hinzugefügt.
- Die Codierung von Leerzeichen in URLs wurde geändert. Bei der Berechnung in den Protokollbearbeitern ersetzt die Methode navigator.registerProtocolHandler() jetzt Leerzeichen durch „“ anstelle von „+“, was das Verhalten mit anderen Browsern wie Firefox vereinheitlicht.
- Im CSS wurde das Pseudo-Element „„ hinzugefügt, das es erlaubt, Farbe, Größe, Form und Typ der Zahlen und Punkte für Aufzählungen in den Blöcken <ul> und <ol> einzustellen.
- Unterstützung für den HTTP-Header , Zugriffsregeln für Dokumente, die einem sandbox-isolationsmechanismus für iframes ähnlich sind, aber universeller. So kann man beispielsweise über Document-Policy die Nutzung minderwertiger Bilder einschränken, langsame JavaScript-APIs deaktivieren, Regeln für das Laden von iframes, Bildern und Skripten konfigurieren, die Gesamtdokumentgröße und den Datenverkehr begrenzen sowie Methoden verbieten, die zu einer Neudarstellung der Seite führen. .
- Im Element wurde die Unterstützung für die Parameter ‚inline-grid‘, ‚grid‘, ‚inline-flex‘ und ‚flex‘ hinzugefügt, die über die CSS-Eigenschaft ‚display‘ festgelegt werden.
- Eine Methode wurde hinzugefügt, zum Ersetzen aller Kindelemente eines Elternknoten durch einen anderen DOM-Knoten. Zuvor konnte man zum Ersetzen von Knoten eine Kombination aus den Methoden node.removeChild() und node.append() oder node.innerHTML und node.append() verwenden.
- Spektrum der URL-Schemata, die für die Übersteuerung mit registerProtocolHandler() zulässig sind. Die Liste der Schemata umfasst dezentrale Protokolle wie cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns und ssb, was es ermöglicht, Links zu Elementen unabhängig von der Website oder dem Gateway herzustellen, das den Zugriff auf die Ressource bereitstellt.
- Im API wurde die Unterstützung für das Format text/html zum Kopieren und Einfügen von HTML über die Zwischenablage hinzugefügt (beim Schreiben und Lesen in die Zwischenablage erfolgt eine Bereinigung gefährlicher HTML-Konstrukte). Diese Änderung ermöglicht beispielsweise in Web-Editoren das Einfügen und Kopieren von formatiertem Text mit Bildern und Links.
- In WebRTC die Möglichkeit, eigene Datenhandler anzuschließen, die in den Phasen der Kodierung oder Dekodierung von WebRTC MediaStreamTrack aufgerufen werden. Diese Möglichkeit kann beispielsweise zur Unterstützung der End-to-End-Verschlüsselung von Daten genutzt werden, die über Zwischenserver übertragen werden.
- Im JavaScript-Engine V8 um 75% wurde die Implementierung von Number.prototype.toString. In asynchronen Klassen wurde eine Eigenschaft .name mit leerem Wert hinzugefügt. Die Methode Atomics.wake, die ursprünglich in Atomics.notify umbenannt wurde, um der Spezifikation von ECMA-262 zu entsprechen, wurde entfernt. Der Code für das Fuzzing-Testwerkzeug wurde offenbart. .
- Im im vergangenen Release verwendeten Baseline-Compiler Liftoff für WebAssembly wurde die Möglichkeit zum Einsatz von Vektoroperationen hinzugefügt. zur Beschleunigung der Berechnungen. Laut den Tests ermöglichte die Optimierung eine Beschleunigung des Ablaufs bestimmter Tests um das 2,8-Fache. Eine andere Optimierung ermöglichte eine deutliche Beschleunigung des Aufrufs von importierten JavaScript-Funktionen aus WebAssembly.
- Werkzeuge für Webentwickler: Im Media-Bereich wurden Informationen zu den Playern hinzugefügt, die für die Wiedergabe von Videos auf der Seite verwendet werden, einschließlich Daten zu Ereignissen, Protokollen, Werte von Eigenschaften und Parameter zur Dekodierung von Frames (z. B. können die Ursachen für Frame-Verluste und Probleme bei der Interaktion über JavaScript identifiziert werden).
Im Kontextmenü der Elemente-Palette wurde die Möglichkeit hinzugefügt, Screenshots des ausgewählten Elements zu erstellen (z. B. kann ein Screenshot des Inhaltsverzeichnisses oder der Tabelle erstellt werden).
In der Web-Konsole wurde die Warnung über Probleme durch eine normale Mitteilung ersetzt, und Probleme mit Drittanbieter-Cookies sind standardmäßig im Tab "Issues" ausgeblendet und können durch ein spezielles Kontrollkästchen aktiviert werden.
Im Tab Rendering wurde die Schaltfläche „Lokale Schriftarten deaktivieren“ hinzugefügt, die es ermöglicht, das Fehlen lokaler Schriftarten zu simulieren, und im Tab Sensoren gibt es die Möglichkeit, inaktive Benutzer zu simulieren (für Anwendungen, die die API Idle Detection verwenden).
Im Anwendungsbereich sind detaillierte Informationen zu jedem iframe, geöffneten Fenstern und Pop-ups verfügbar, einschließlich Daten zur Isolation von Cross-Origin durch COEP und COOP.
- Ersatz der Implementierung des Protokolls durch die in der IETF-Spezifikation entwickelte Variante, anstelle der Google-Variante QUIC.
Neben Neuerungen und Fehlerbehebungen wurden in der neuen Version . Viele dieser Schwachstellen wurden durch automatisiertes Testen mit Werkzeugen festgestellt, , , , und . Eine Sicherheitsanfälligkeit (CVE-2020-15967, Zugriff auf einen bereits freigegebenen Speicherbereich im Code zur Interaktion mit Google Payments) wird als kritisch eingestuft, d.h. sie ermöglicht das Umgehen aller Schutzmaßnahmen des Browsers und das Ausführen von Code im System außerhalb der Sandbox-Umgebung. Im Rahmen des Programms zur Auszahlung von Belohnungen für das Auffinden von Sicherheitsanfälligkeiten wurden für die aktuelle Version von Google insgesamt 27 Prämien in Höhe von 71.500 USD (eine Prämie von 15.000 USD, drei Prämien von 7.500 USD, fünf Prämien von 5.000 USD, zwei Prämien von 3.000 USD, eine Prämie von 200 USD und zwei Prämien von 500 USD) ausgezahlt. Die Höhe der 13 Belohnungen ist bisher nicht festgelegt.
Quelle: opennet.ru
