🥇Chrome 79 väljaanne

Google'i ettevõte esitles veebibrauseri väljaanne Chrome 79. Samal ajal saadaval stabiilne vabavaraprojekt Chromium, mis on Chrome'i aluseks. Chrome'i brauser erineb Google'i logode kasutamise, krahhi korral teavituste saatmise süsteemi, Flash-mooduli allalaadimise võimaluse, kaitstud videosisu (DRM) esitamise moodulite, automaatsete värskenduste installimise süsteemi ja otsingu käigus RLZ-parameetrite edastamisega. RLZ-parameetrite. Järgmine Chrome 80 väljaanne on planeeritud 4. veebruariks.

Peamised muudatused ja Chrome 79:

Aktiveeritud Password Checkup komponent, mis on mõeldud kasutaja paroolide tugevuse analüüsimiseks. Igal saidil sisselogimise katsel aktiveerib Password Checkup täidab sisselogimise ja parooli kontrolli kompromiteeritud kontode andmebaasi järgi ning annab hoiatusi murede avastamise korral (kontroll toimub kasutaja poolel hash-eelkäija alusel). Kontroll toimub andmebaasi alusel, mis hõlmab rohkem kui 4 miljardit kompromiteeritud kontot, mis on olnud kasutajaandmete lekete osaks. Hoiatus antakse ka triviaalsete paroolide, näiteks "abc123", kasutamise katsetamisel. Password Checkupi sissülitamiseks on sektsioonis „Sync and Google Services“ lisatud spetsiaalne seadistus.
Esitleti uut tehnoloogiat reaalajas petuskeemide tuvastamiseks. Varem viidi kontroll läbi kohalike mustade nimekirjade Safe Browsing kaudu, mis värskendati umbes iga 30 minuti tagant, mis ei osutunud piisavaks, näiteks pahatahtlike domeenide kiire vahetamise korral. Uus meetod võimaldab URL-e reaalajas kontrollida, kasutades eelnevalt ülevaatatud valgeid nimekirju, kuhu on lisatud tuhandeid usaldusväärsemaid tuntud saitide hash-e. Kui avatud sait ei ole valges nimekirjas, kontrollib brauser URL-i Google'i serveris, edastades esimesed 32 bitti SHA-256 linki, millest on eemaldatud võimalikud isikuandmed. Google'i hinnangul võimaldab uus lähenemine hoiatuste efektiivsust uusimate petusaitide jaoks suurendada 30%.
Lisatud ennetav kaitse Google'i sisselogimiste ja kõigi paroolide, mis on salvestatud paroolihalduris, edastamise vastu petusaitidele. Kui salvestatud parooli sisestamise katse tehakse saidil, kus seda parooli tavaliselt ei kasutata, annab süsteem hoiatu võimaliku ohtliku tegevuse kohta.
TLS 1.0 ja 1.1 kasutamise korral kuvatakse nüüd turvaseisundi indikaator. TLS 1.0 ja 1.1 täielik tugi kaasatakse välja Chrome 81-sse, mis on planeeritud 17. märtsiks 2020.
Lisaud võimalus mitteaktiivsete vahekaartide külmutamiseks, mis võimaldab automaatselt laadida välja need vahekaardid, mis on olnud taustal kauem kui 5 minutit ja ei tee olulisi toiminguid. Otsus, kas vahekaart on külmutamiseks sobiv, põhineb heuristikale. Funktsiooni sisselülitamine toimub lipu kaudu „chrome://flags/#proactive-tab-freeze”.
Tagatud on Segatud sisu blokeerimine HTTPS-iga avatud lehtedel, et tagada, et HTTPS-iga avatud lehed sisaldavad ainult ressursse, mis on laaditud kaitstud ühenduse kaudu. Kuigi kõige ohtlikumad segatud sisu vormid, nagu skriptid ja iframe'id, blokeeritakse vaikimisi, võivad pildid, helifailid ja videod endiselt olla laaditud HTTP kaudu. Varem kasutatud segatud sisu indikaator selliste elementide jaoks on tunnistatud ebaefektiivseks ja eksitavaks, kuna see ei anna selget hinnangut lehe turvalisusele. Näiteks piltide asendamise kaudu võib ründaja sisestada jälgimisõiguse küpsised, proovida ära kasutada haavatavusi piltide töötlemises või valeinfot esitada, asendades pildil oleva teabe. Segatud elementide blokeerimise keelamiseks on lisatud spetsiaalne seade, mida saab kutsuda välja menüüst, mis ilmub lukku sümbolit klõpsates.
Lisaud katseversioon, mis võimaldab jagada lõikepuhvri sisu lauaarvuti ja mobiilse Chrome'i versiooni vahel. Samade kasutajakontodega seotud Chrome'i eksemplarides on nüüd võimalik pääseda juurde teise seadme lõikepuhvri sisule, sealhulgas on võimalik jagada lõikepuhvrit mobiilse ja lauaarvuti süsteemi vahel. Lõikepuhvri sisu on krüpteeritud lõpp-punktist lõpp-punkti krüpteerimisega, mis takistab Google'i serverites tekstile juurde pääsemist. Funktsioon lülitatakse sisse valikute kaudu chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui ja chrome://flags#sync-clipboard-service.
Aadressiribal teatud hetkedel (näiteks parooli salvestamisel) profiili sünkroonimise välja lülitamisel kuvatakse kasutaja praeguse Google'i konto nimi avatarile lisaks, et kasutaja saaks täpselt tuvastada aktiivse konto.
1% kasutajatest on aktiveeritud toetamine „DNS HTTPSi kaudu” (DoH, DNS over HTTPS). Katses osalevad ainult need kasutajad, kelle süsteemi seadetes on juba määratud DoH-i toetavad DNS-teenuse pakkujad. Näiteks, kui kasutaja on seadnud süsteemi seadetes DNS-i 8.8.8.8, siis Chrome'is aktiveeritakse Google'i DoH-teenus („https://dns.google.com/dns-query”); kui DNS on 1.1.1.1, siis Cloudflare'i DoH-teenus („https://cloudflare-dns.com/dns-query”) jne. DoH-i sisse lülitamiseks on ette nähtud seade „chrome://flags/#dns-over-https”. Toetatakse kolme töörežiimi: „secure”, „automatic” ja „off”. Režiimis „secure” määratakse hostid ainult varem vahemällu salvestatud turvaliste väärtuste (saadud turvalise ühenduse kaudu) ja DoH-i kaudu saadud päringute põhjal, tagasi lülitamist tavalisse DNS-i ei rakendata. Režiimis „automatic”, kui DoH ja turvaline vahemälu ei ole saadaval, lubatakse andmete saamine ebaturvalisest vahemälust ja päringute tegemine traditsioonilisest DNS-ist. Režiimis „off” kontrollitakse kõigepealt üldist vahemälu ja kui andmeid ei leita, saadetakse päring süsteemi DNS-i kaudu.
Lisatud katseversioon toetamine lehe visuaalse sisu vahemälu, kui liigutatakse edasi-tagasi nuppudega, mis võimaldab oluliselt vähendada viivitusi sarnases navigeerimisviisis, kuna kogu leht on täielikult vahemällu salvestatud, ilma et oleks vaja sisu uuesti renderdada ja ressursse laadida. Optimeerimine on eriti märgatav mobiilide versioonis, kus navigeerimise ajal jõudluse suurenemine ulatub 19%ni. Režiim aktiveeritakse valiku kaudu „chrome://flags#back-forward-cache”.
Eemaldatud seade „chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains”, mis võimaldas tagasi tuua protokollide kuvamise aadressiribal (nüüd kuvatakse kõik lingid alati ilma https:// ja http://, samuti ilma „www.”).
Windowsi versioonides on aktiveeritud heli esitamise teenuse liivakarbi eraldamine. Isolatsiooni aktiveerimiseks on ette nähtud omadus AudioSandboxEnabled.
Keskse administratsiooni vahendites ettevõtetele on kasutusele võetud reeglite määramise võimalus, mis määratleb mälu suuruse, mida brauseri eksemplar võib kasutada, enne kui taustal olevad vahed hakkavad välja laadima. Vabanenud mälu pärast vahekaardi välja laadimist on kergesti kättesaadav, ning vahekaardi sisu laaditakse uuesti sisse, kui sellele üle lülituda.
Linuxis on sisse lülitatud sisseehitatud sertifikaatide kontrollimise töötleja, mis asendas varasema NSS-süsteemi. Samal ajal jätkab sisseehitatud töötleja NSS-i ladustamise kasutamist kontrollimise ajal, kuid seab rangemad nõuded valesti kodeeritud ja eriliselt kinnitatud sertifikaatide töötlemisel (kõik sertifikaadid peavad olema tingimata kinnitatud sertifitseerimisasutusega).
Androidi platvormi versioonis lisatud on võimalus määrata kohandatavaid ikone installitavatele veebi- rakendustele, mis töötavad Progressiivsetes Veebi Rakendustes (PWA). Kohandatavad ikonid saavad kohanduda seadme tootja kasutatava liidese järgi, näiteks võivad need olla ümmargused, ruudukujulised või pehmendatud nurkadega.
Lisatud API WebXR Seade, mis annab juurdepääsu komponentidele virtuaalse ja täiendatud reaalsuse loomiseks. API lubab standardiseerida tööd erinevate seadmeklassidega, alates statsionaarsetest virtuaalreaalsuse prillidest, nagu Oculus Rift, HTC Vive ja Windows Mixed Reality, kuni mobiilseadmetel põhinevate lahendusteni, nagu Google Daydream View ja Samsung Gear VR. Rakenduste hulgas, kus uut API-d saab rakendada, mainitakse 360° video vaatamise programme, kolmemõõtmelise ruumi visualiseerimise süsteeme, virtuaalsete kinoosade loomist videote esitamiseks, 3D-poodide ja galeriide liideste loomise eksperimentide läbiviimist;
Origin Trials režiimis (eksperimentaalsed funktsioonid, mis vajavad eraldi aktiveerimist) on ette nähtud mitu uut API-d. Origin Trial võimaldab töötada antud API-ga rakendustest, mis on laaditud localhostilt või 127.0.0.1, või pärast registreerimist ja spetsiaalse tokeni saamist, mis kehtib piiratud ajaks konkreetse saidi jaoks.
- Kõikidele HTML-elementidele on lisatud atribuut «rendersubtree», mis võimaldab fikseerida DOM-elementide kuvamise. Kui atribuudile antakse väärtus «invisible», ei kuvata elemendi sisu ja seda ei kontrollita, mis võimaldab optimeerida renderdamist. Kui väärtuseks on seatud «activatable», eemaldab brauser nähtamatu atribuudi, kuvab sisu ja teeb selle nähtavaks.
- Lisatud API variant Wake Lock lubatud mehaanika Promise põhjal, mis tagab turvalisema viisi ekraani automaatse lukustamise juhtimiseks ja seadmete energiat säästvatesse režiimidesse viimiseks.
Realiseeritud on atribuudiga autofocus tugi kõigile HTML ja SVG elementidele, millele saab sisefookuse määrata.
Piltide ja videote jaoks on tagatud arvutatakse külgede suhe atribuuditest Width või Height, mida saab kasutada pildi suuruse määramiseks CSS-i kaudu ajal, mil pilt pole veel laaditud (lahendab probleemi lehe ülesehitamisega pärast piltide laadimist).
Lisatud CSS-omadus font-optical-sizing, mis automaatselt määrab muutliku fondi (variable font) suuruse optiliste koordinaatide «opsz», kui font seda toetab. Režiim võimaldab valida optimaalse glüüfi kuju määratud suuruse jaoks, näiteks kasutada pealkirjade jaoks rohkem kontrastseid glüüfe.
Lisatud CSS-omadus list-style-type, mis võimaldab kasutada loendites mis tahes sümboleid punktide asemel, näiteks «-», «+», «★» ja «▸».
Kui Worklet.addModule() ei õnnestu, tagastatakse nüüd objekti, millel on üksikasjalik teave vea iseloomu kohta, mis võimaldab täpsemalt hinnata vea põhjust (võrguühenduse probleemid, vale süntaks jne).
Scripti elementide töötlemine on lõpetatud <script> nende dokumentide vahel liigutamisel. Dokumentide vahel liigutamisel on samuti keelatud scriptiga seotud sündmuste «error» ja «load» täitmine.
JavaScripti mootori V8 on läbi viidud väljade esitlusvormide muutmise töötluse optimeerimine objektides, mille tulemusel töötas AngularJS koodi täitmine Speedometeri testkomplektis 4% kiiremini.
V8-s on optimeeritud ka sisseehitatud API-de, nagu Node.nodeType ja Node.nodeName, getterite töötlemise käsitlemist, kui IC (inline caching) töötlejat pole. Muudatus vähendas IC runtime'i kulusid umbes 12% Backbone'i ja jQuery testide käitamisel Speedometeri komplektis.
Käivitusfunktsiooni OSR (on-stack replacement) mehhanismi tulemuste vahemällu salvestamine, mis võimaldab optimeeritud koodi sisestamist funktsiooni täitmise käigus (võimaldab optimeeritud koodi kasutamist pikaajaliste funktsioonide puhul, ootamata nende uuesti käivitamist). OSR vahemälu võimaldab kasutada optimeerimise tulemusi ka funktsiooni järgmisel käivitamisel, ilma et oleks vaja uuesti optimeerida.
Mõnedes testides tõusis tipptootlikkus 5–18%.
Muudatused veebiarenduse tööriistades:
- Küpsiste nimekirja blokki on lisatud võimalus kiiresti vaadata valitud küpsise väärtust, klikkides konkreetsele reale.
- Lisatud on võimalus simuleerida erinevaid seadeid meedia päringute prefers-color-scheme ja prefers-reduced-motion jaoks (näiteks lehe käitumise kontrollimiseks tumedate süsteemiteemade või välja lülitatud animatsiooniefektide korral).
- Coverage vahekaart on moderniseeritud, võimaldades hinnata kasutatud ja kasutamata koodi. Lisatud on teabe filtreerimise võimalus selle tüübi (JavaScript, CSS) järgi. Koodi kasutamise teave on samuti lisatud allika koodi kuvamisel.
- Lisatud on võimalus tõrgete jälgimiseks, et mõista, miks teatud võrguresurssi küsitakse pärast võrgutegevuse salvestamist (saate vaadata JavaScripti koodi jälgimist, mis viis ressursi laadimiseni).
- Lisatud on seade „Settings > Preferences > Sources > Default Indentation“, et määrata, milline on sissetõmme (2/4/8 tühikut või tabulaator) koodis, mis kuvatakse Console ja Sources paneelides.

Uue versiooni väljalaskmisel kõrvaldatakse 51 haavatavust, lisaks uutele uuendustele ja tõrgete parandusettepanekutele. Paljud haavatavused avastati automaatsete testimise tööriistade, nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL, kaudu. Kaks probleemi (CVE-2019-13725, juurdepääs juba vabastatud mälualale Bluetoothi toe koodis, ja CVE-2019-13726, mälu ületäitumine paroolihalduri juures) on määratud kriitilisteks, st need võimaldavad mööda minna kõikidest brauseri kaitsetasemetest ja käivitada koodi süsteemis väljaspool sandbox-i keskkonda. Esmakordselt on Chrome'i arenduspüügitsüklis tuvastatud kaks kriitilist probleemi. Esimene haavatavus avastati Tencent Keen Security Labi teadlaste poolt ja demonstratsioon Tianfu Cupi võistlusel, teise leidis Sergey Glazunov Google Project Zero'st.

Jätkuva haavatavuste avastamise preemiate programmi raames maksis Google käesoleva versiooni eest 37 preemiat kokku 80,000 Ameerika dollari (üks preemia $20,000, üks preemia $10,000, kaks preemiat $7,500, neli preemiat $5,000, üks preemia $3,000, kaks preemiat $2,000, kaks preemiat $1,000 ja kaheksa preemiat $500). 15 preemia suurus on veel määramata.

Allikas: opennet.ru