Google Freigabe des Webbrowsers . Gleichzeitig stabile Freigabe des Open-Source-Projekts , das die Grundlage von Chrome bildet. Der Browser Chrome Verwendung von Google-Logos, ein Benachrichtigungssystem bei Abstürzen, die Möglichkeit, das Flash-Modul auf Anfrage herunterzuladen, Module zur Wiedergabe von geschützten Videoinhalten (DRM), ein automatisches Update-Installationssystem sowie Datentransfer bei der Suche. . Die nächste Version, Chrome 80, ist für den 4. Februar geplant.
:
- Das Password Checkup-Tool analysiert die Sicherheit der verwendeten Passwörter. Bei einem Anmeldeversuch auf einer beliebigen Website überprüft Password Checkup Benutzername und Passwort in einer Datenbank kompromittierter Konten und gibt eine Warnung aus, wenn Probleme festgestellt werden (die Überprüfung erfolgt anhand eines Hash-Präfixes auf der Benutzerseite). Die Überprüfung erstreckt sich über mehr als 4 Milliarden kompromittierte Konten, die in Datenlecks aufgetaucht sind. Eine Warnung wird ebenfalls ausgegeben, wenn triviale Passwörter wie "abc123" verwendet werden. Zur Verwaltung der Aktivierung von Password Checkup gibt es unter "Sync und Google-Dienste" eine spezielle Einstellung.
- Eine neue Technologie zur Erkennung von Phishing in Echtzeit wurde vorgestellt. Früher wurde die Prüfung durch den Zugriff auf lokal heruntergeladene Safe Browsing-Blacklist durchgeführt, die etwa alle 30 Minuten aktualisiert wurde, was sich beispielsweise bei häufigem Domainwechsel durch Angreifer als unzureichend erwies. Die neue Methode ermöglicht es, URLs in Echtzeit zu überprüfen, indem sie vorab gegen Whitelists von Hashes Tausender vertrauenswürdiger Websites geprüft werden. Wenn die aufgerufene Seite nicht auf der Whitelist steht, überprüft der Browser die URL auf dem Google-Server, indem die ersten 32 Bits des SHA-256-Hashes des Links übermittelt werden, aus dem möglicherweise persönliche Daten entfernt wurden. Google schätzt, dass der neue Ansatz die Effektivität der Warnmeldungen für neue Phishing-Websites um 30 % steigert.
- Eine präventive Schutzmaßnahme wurde hinzugefügt, um die Übertragung von Google-Anmeldeinformationen und beliebigen Passwörtern, die im Passwortmanager gespeichert sind, über Phishing-Seiten zu verhindern. Bei dem Versuch, ein gespeichertes Passwort auf einer Seite einzugeben, auf der dieses Passwort normalerweise nicht verwendet wird, wird dem Benutzer eine Warnung über potenziell gefährliches Handeln angezeigt.
- Für Verbindungen, die TLS 1.0 und 1.1 nutzen, wird jetzt ein Sicherheitswarnhinweis angezeigt. Die vollständige Unterstützung von TLS 1.0 und 1.1 in Chrome 81, geplant für den 17. März 2020.
- Die Möglichkeit, inaktive Tabs einzufrieren, wurde hinzugefügt, sodass Tabs, die sich länger als 5 Minuten im Hintergrund befinden und keine relevanten Aktionen ausführen, automatisch aus dem Speicher entladen werden. Die Entscheidung darüber, ob ein Tab für das Einfrieren geeignet ist, erfolgt auf der Grundlage von Heuristiken. Die Verwaltung dieser Funktion erfolgt über das Flag „chrome://flags/#proactive-tab-freeze“.
- Die Blockierung von gemischtem Inhalt auf Seiten, die über HTTPS geöffnet werden, garantiert, dass diese Seiten ausschließlich Ressourcen über einen sicheren Kommunikationskanal laden. Obwohl die gefährlichsten Arten gemischten Inhalts, wie Skripte und iframes, standardmäßig blockiert werden, könnten Bilder, Audiodateien und Videos dennoch über HTTP geladen werden. Der zuvor verwendete Indikator für gemischten Inhalt bei solchen Einfügungen wurde als ineffektiv und irreführend angesehen, da er keine eindeutige Einschätzung der Sicherheit der Seite bietet. Beispielsweise kann ein Angreifer durch das Ersetzen von Bildern Cookies zur Verfolgung von Benutzeraktionen einfügen, versuchen, Schwachstellen in Bildverarbeitungsprogrammen auszunutzen oder falsche Informationen zu präsentieren, indem er die dargestellten Inhalte ersetzt. Um die Blockierung gemischter Komponenten zu deaktivieren, wurde eine spezielle Einstellung hinzugefügt, die über das Menü aufgerufen werden kann, das beim Klicken auf das Sicherheitsschloss angezeigt wird.
- Eine experimentelle Funktion für den gemeinsamen Zugriff auf den Clipboard-Inhalt zwischen der Desktop- und der Mobilversion von Chrome wurde hinzugefügt. In verbundenen Chrome-Instanzen, die mit demselben Konto angemeldet sind, kann jetzt auf den Clipboard-Inhalt eines anderen Geräts zugegriffen werden. Das ermöglicht den gemeinsamen Zugriff auf den Clipboard zwischen mobilen und Desktop-Systemen. Der Clipboard-Inhalt wird mit Ende-zu-Ende-Verschlüsselung gesichert, die den Zugriff auf den Text auf den Google-Servern verhindert. Die Funktion kann über die Optionen chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui und chrome://flags#sync-clipboard-service aktiviert werden.
- In der Adresszeile wird in bestimmten Momenten (z. B. beim Speichern eines Passworts) angezeigt, welches Google-Konto aktuell aktiv ist, selbst wenn die Profilsynchronisation deaktiviert ist. Dadurch kann der Benutzer die aktuell aktive Kontobezeichnung genau identifizieren.
- Für 1 % der Benutzer wurde aktiviert „DNS über HTTPS“ (DoH, DNS über HTTPS). An dem Experiment nehmen nur Benutzer teil, deren Systemeinstellungen bereits DNS-Anbieter aufgeführt haben, die DoH unterstützen. Wenn beispielsweise der DNS 8.8.8.8 in den Systemeinstellungen angegeben ist, wird in Chrome der DoH-Dienst von Google aktiviert („https://dns.google.com/dns-query“). Bei einem DNS von 1.1.1.1 wird der DoH-Dienst von Cloudflare („https://cloudflare-dns.com/dns-query“) aktiviert, und so weiter. Zur Verwaltung der Aktivierung von DoH gibt es die Einstellung „chrome://flags/#dns-over-https“. Es werden drei Betriebsarten unterstützt: „secure“, „automatic“ und „off“. Im Modus „secure“ werden Hosts ausschließlich auf der Grundlage zuvor zwischengespeicherter sicherer Werte (die über eine gesicherte Verbindung erhalten wurden) und Anfragen über DoH bestimmt; ein Rückfall auf reguläres DNS erfolgt nicht. Im Modus „automatic“ wird, wenn DoH und der sichere Cache nicht verfügbar sind, das Abrufen von Daten aus einem unsicheren Cache und das Senden von Anfragen über traditionelles DNS zugelassen. Im Modus „off“ wird zunächst der allgemeine Cache überprüft, und wenn keine Daten vorhanden sind, werden die Anfragen über das systemweite DNS gesendet.
- Experimentell hinzugefügt Caching des gerenderten Inhalts beim Blättern mit den Vor- und Zurück-Tasten, was erheblich die Verzögerungen bei dieser Art der Navigation reduziert, da die gesamte Seite vollständig zwischengespeichert wird, ohne dass ein erneutes Rendering und eine erneute Laden von Ressourcen erforderlich sind. Diese Optimierung ist besonders in der mobilen Version spürbar, bei der die Leistungssteigerung während der Navigation bis zu 19 % erreicht. Der Modus wird über die Option „chrome://flags#back-forward-cache“ aktiviert.
- Die Einstellung „chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains“ ermöglicht es, die Anzeige des Protokolls in der Adressleiste zurückzubringen (nun werden alle Links immer ohne https:// und http:// sowie ohne „www.“ angezeigt).
- In den Windows-Builds ist die Sandbox-Isolation des Audiowiedergabedienstes aktiviert. Zur Steuerung der Aktivierung der Isolation wurde die Eigenschaft AudioSandboxEnabled vorgeschlagen.
- Im zentralen Verwaltungstool für Unternehmen wurde die Möglichkeit implementiert, Regeln zu definieren, die die Speichermenge festlegen, die eine Browserinstanz nutzen kann, bevor Hintergrund-Tabs entleert werden. Der nach dem Entladen des Tabs freigegebene Speicher steht zur Verfügung und der Inhalt des Tabs wird beim Wechsel zurück darauf erneut geladen.
- In Linux wird ein integrierter Zertifikatsprüfer verwendet, der das zuvor eingesetzte NSS-System ersetzt hat. Der integrierte Prüfer greift weiterhin auf den NSS-Speicher zu, stellt jedoch strengere Anforderungen an die Verarbeitung von fehlerhaft kodierten und separat signierten Zertifikaten (alle Zertifikate müssen zwingend von einer Zertifizierungsstelle signiert werden).
- In der Android-Version besteht die Möglichkeit, adaptive Icons für installierte Webanwendungen einzurichten, die im Progressive Web Apps (PWA)-Modus laufen. Adaptive Icons können sich an das Interface anpassen, das der Gerätehersteller verwendet, zum Beispiel können sie rund, quadratisch oder mit abgerundeten Ecken sein.
- API , der Zugriff auf Komponenten zur Erstellung von virtueller und erweiterter Realität ermöglicht. Die API standardisiert die Arbeit mit verschiedenen Klassen von Geräten, von stationären Virtual-Reality-Headsets wie Oculus Rift, HTC Vive und Windows Mixed Reality bis hin zu mobilen Lösungen wie Google Daydream View und Samsung Gear VR. Zu den Anwendungen, in denen die neue API verwendet werden kann, gehören Programme zur Anzeige von 360°-Videos, Visualisierungssysteme für dreidimensionale Räume, die Erstellung virtueller Kinos für die Präsentation von Videos und Experimente zur Schaffung von 3D-Oberflächen in Geschäften und Galerien;
- Im Origin Trials-Modus (experimentelle Funktionen, die eine separate ) wurden einige neue APIs vorgeschlagen. Der Origin Trial ermöglicht die Nutzung des angegebenen APIs aus Anwendungen, die von localhost oder 127.0.0.1 geladen werden, oder nach der Registrierung und der Erteilung eines speziellen Tokens, das nur für eine begrenzte Zeit für die spezifische Webseite gültig ist.
- Für alle HTML-Elemente wurde das Attribut „rendersubtree“ vorgeschlagen, das die Anzeige des DOM-Elements fixiert. Wenn dem Attribut der Wert „invisible“ zugewiesen wird, wird der Inhalt des Elements nicht gerendert und überprüft, was die Render-Leistung optimiert. Bei der Einstellung des Wertes „activatable“ entfernt der Browser das unsichtbare Attribut, rendert den Inhalt und macht ihn sichtbar.
- Eine Variante der API hinzugefügt basierend auf dem Promise-Mechanismus, der eine sicherere Methode zur Steuerung der automatischen Bildschirmsperre und zum Wechsel in Energiesparmodi bietet.
- Es ist jetzt möglich, das Attribut für alle HTML- und SVG-Elemente anzuwenden, die den Eingabefokus erhalten können.
- Für Bilder und Videos wird das Seitenverhältnis basierend auf den Attributen Width oder Height berechnet, was verwendet werden kann, um die Bildgröße mit CSS zu bestimmen, während das Bild noch nicht geladen ist (löst das Problem des Neuanordnens der Seite nach dem Laden von Bildern).
- Die CSS-Eigenschaft , das automatisch die Größe der variablen Schriftart in optischen Koordinaten „“ verwendet, wenn die Schriftart dies unterstützt. Der Modus ermöglicht es, die optimale Glyphenform für die angegebene Größe zu wählen, z. B. kontrastreichere Glyphen für Überschriften zu verwenden.
- Die CSS-Eigenschaft , die es ermöglicht, beliebige Symbole anstelle von Punkten in Listen zu verwenden, z. B. „-“, „+“, „★“ und „▸“.
- Wenn Worklet.addModule() nicht ausgeführt werden kann, wird jetzt ein Objekt mit detaillierten Informationen über die Art des Fehlers zurückgegeben, das eine genauere Bewertung der Fehlerursache (Netzwerkprobleme, falsche Syntax usw.) ermöglicht.
- Die Verarbeitung von <script>-Elementen wurde beim Verschieben zwischen Dokumenten eingestellt. Bei der Übertragung zwischen Dokumenten wurde auch die Ausführung der mit dem Skript verbundenen Ereignisse „error“ und „load“ deaktiviert.
- Im JavaScript-Engine V8 Optimierung der Verarbeitung von Änderungen der Ansicht von Feldern in Objekten, die dazu geführt hat, dass der AngularJS-Code im Speedometer-Testset um 4 % schneller ausgeführt wird.
- Im V8-Engine wurde auch die Verarbeitung von Getter-Funktionen, die in integrierten APIs wie Node.nodeType und Node.nodeName definiert sind, optimiert, wenn kein IC-Handler (Inline Caching) vorhanden ist. Diese Änderung verringerte die Laufzeitkosten für IC während der Ausführung von Backbone- und jQuery-Tests im Speedometer um etwa 12 %.
- Die Ergebnisse des OSR-Mechanismus (On-Stack Replacement) werden jetzt zwischengespeichert, sodass optimierter Code während der Ausführung einer Funktion eingesetzt werden kann. Dies ermöglicht die Nutzung des optimierten Codes für lang laufende Funktionen, ohne auf deren erneuten Start warten zu müssen. OSR-Caching erlaubt es, Optimierungsergebnisse auch bei erneutem Aufruf der Funktion zu verwenden, ohne eine erneute Optimierung durchführen zu müssen.
In einigen Tests führte die Änderung zu einer Verbesserung der Spitzenleistung um 5–18%.
- Änderungen an den Entwicklertools für das Web:
- ein Debugging-Modus zur Identifikation von Ursachen für Anfrageblockierungen oder Cookie-Rückgaben.
- Im Cookie-Listener-Bereich wurde die Möglichkeit zum schnellen Ansehen des Wertes eines ausgewählten Cookies durch einen Klick auf die jeweilige Zeile hinzugefügt.
- Es wurde die Möglichkeit hinzugefügt, verschiedene Einstellungen für die media-Queries prefers-color-scheme und prefers-reduced-motion zu simulieren (zum Beispiel zur Überprüfung des Verhaltens der Seite bei einem dunklen Systemdesign oder bei deaktivierten Animationen).
- Das Layout des Tabs 'Coverage' wurde aktualisiert, um die Nutzung von verwendetem und ungenutztem Code zu bewerten. Die Möglichkeit zur Filterung von Informationen nach Typ (JavaScript, CSS) wurde hinzugefügt. Informationen über die Code-Nutzung werden auch beim Anzeigen des Quellcodes angezeigt.
- Eine Funktion zur Fehlersuche der Gründe für die Anfrage eines bestimmten Netzwerkkresources nach der Aufzeichnung der Netzwerkaktivität wurde hinzugefügt (es ist möglich, die Verfolgung des JavaScript-Codeaufrufs, der zur Ressourcennutzung führte, einzusehen).
- Eine Einstellung "Einstellungen > Präferenzen > Quellen > Standardeinrückung" wurde hinzugefügt, um die Art der Einrückung (2/4/8 Leerzeichen oder Tabulator) im Code festzulegen, der in den Panels Konsole und Quellen ausgegeben wird.
- Im Cookie-Listener-Bereich wurde die Möglichkeit zum schnellen Ansehen des Wertes eines ausgewählten Cookies durch einen Klick auf die jeweilige Zeile hinzugefügt.
Neben neuen Funktionen und Bugfixes wurden in der neuen Version 51 Sicherheitsanfälligkeiten behoben. Viele der Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Zwei Probleme (CVE-2019-13725, der Zugriff auf bereits freigegebenen Speicher im Code zur Unterstützung von Bluetooth, und CVE-2019-13726, ein Heap-Overflow im Passwort-Manager) sind als kritisch eingestuft, d. h. sie erlauben es, alle Sicherheitsmaßnahmen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung im System auszuführen. Zum ersten Mal wurden in einem Entwicklungszyklus von Chrome gleich zwei kritische Probleme entdeckt. Die erste Sicherheitsanfälligkeit wurde von Forschern des Tencent Keen Security Lab gefunden und auf dem Tianfu Cup-Wettbewerb, während die zweite von Sergey Glazunov aus dem Google Project Zero entdeckt wurde.
Im Rahmen des Programms zur Vergabe von Geldprämien für die Entdeckung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 37 Prämien in Höhe von 80.000 US-Dollar ausgezahlt (eine Prämie von 20.000 Dollar, eine Prämie von 10.000 Dollar, zwei Prämien von 7.500 Dollar, vier Prämien von 5.000 Dollar, eine Prämie von 3.000 Dollar, zwei Prämien von 2.000 Dollar, zwei Prämien von 1.000 Dollar und acht Prämien von 500 Dollar). Die Höhe von 15 Prämien ist bisher nicht festgelegt.
Quelle: opennet.ru
