Chrome'i väljaanne 79

Google esituse veebibrauseri väljaande Chrome 79. Samuti saadaval stabiilne vabaarendusprojekt Chromium, mis on Chrome'i aluseks. Chrome'i brauser erineb Google'i logode kasutamise, crash-ületuste saatmise süsteemi, Flash-moduli allalaadimise võimaluse, kaitstud videosisu (DRM) esitamiseks mõeldud modulaarsete lisade, automaatse värskendamise installimise süsteemi ja otsingute RLZ-parameetrite edastamisega RLZ parameetrite. Järgmine Chrome 80 väljaanne on planeeritud 4. veebruariks.

Peamised muudatused ühes Chrome 79:

• Aktiveeritud komponent Password Checkup, mis analüüsib kasutaja kasutatavate paroolide usaldusväärsust. Iga kord, kui üritatakse siseneda mõnda veebisaidile, viib Password Checkup teeb kontrolli kasutajanime ja parooli rikutud konto andmebaasi, hoiatades, kui avastatakse probleeme (kontroll toimub kasutaja poolel, tuginedes räsi-eelpreffiksile). Kontrolli teostatakse andmebaasi alusel, mis hõlmab rohkem kui 4 miljardit rikutud kontot, mis on esinenud kasutaja andmebaasi lekkimises. Hoiatus kuvatakse ka siis, kui üritatakse kasutada triviaalset parooli, nagu 'abc123'. Password Checkupi sisselülitamise haldamiseks on seksioonis 'Sünkroonimine ja Google'i teenused' rakendatud spetsiaalne seadistus.
• Tutvustatud on uus reaalajas phisingu tuvastamise tehnoloogia. Varem tehti kontroll kohalike Safe Browsing mustade nimekirjade kaudu, mis uuendati umbes iga 30 minuti järel, mis osutus ebapiisavaks, näiteks ründajate kiire domeeni vahetamise tingimustes. Uus meetod võimaldab URL-e kiirelt kontrollida, eelnevalt kontrollides neid valgete nimekirjade kaudu, kuhu on lisatud tuhandete tuntud ja usaldusväärsete veebisaitide hash’id. Kui avatud saiti ei ole valges nimekirjas, kontrollib brauser URL-i Google'i serveris, edastades SHA-256 lingi 32-bitise hash’i, kust on eemaldatud võimalikud isikuandmed. Google’i hinnangul võimaldab uus lähenemine suurendada uute phisingu saitide hoiatuste tõhusust 30%.
• Lisatud on ennetav kaitse Google'i kontosid ja kõiki parooli halduris salvestatud paroole edastamise eest phisingu lehtede kaudu. Kui salvestatud parooli proovib sisestada veebisaidil, kus seda parooli tavaliselt ei kasutata, saab kasutaja hoiatuse võimaliku ohtliku tegevuse kohta.
• TLS 1.0 ja 1.1 kasutavatel ühendustel kuvatakse nüüd ebaturvalise ühenduse näidik. TLS 1.0 ja 1.1 täielik toe lõpetamine toimub Chrome 81-s, mis on planeeritud 17. märtsiks 2020.
• Lisatud on võimalus külmutada mitteaktiivseid vahekaartide, mis võimaldab automaatselt vabastada mälust vahekaarte, mis on taustal olnud üle 5 minuti ja ei tee olulisi toiminguid. Otsus vahekaardi külmutamise sobivuse kohta tehakse heuristika alusel. Funktsiooni aktiveerimist juhitakse lipu kaudu „chrome://flags/#proactive-tab-freeze“.
• Tagatud segmenteerimise vältimiseks on HTTPS-iga avatud lehtedel segu sisu blokeerimine, et tagada HTTPS-iga avatud lehtedele, et need sisaldavad ainult turvalise ühenduse kaudu laaditud ressursse. Kuigi kõige ohtlikumad segatud sisu tüübid, näiteks skriptid ja iframe’id, on vaikimisi juba blokeeritud, võivad pilte, helifaile ja videoid siiski laadida HTTP kaudu. Varem kasutatud segatud sisu indikaator selliste lisade jaoks on tunnistatud ebaefektiivseks ja kasutajat eksitavaks, kuna see ei anna selget hinnangut lehe turvalisuse kohta. Näiteks võib ründaja piltide asendamise kaudu lisada jälgimist tegevuse jaoks küpsiseid, proovida ära kasutada haavatavusi piltide töötlemises või eksitavalt asendada esitatud teavet pildil. Segatud komponentide blokeerimise keelamiseks on lisatud spetsiaalne seade, mis kutsutakse esile menüüst, mis avatakse lukusümbolile klõpsates.
• Lisatud on eksperimentaalne funktsioon, mis võimaldab jagada lõikepasta sisu lauaarvuti ja mobiilse Chrome'i versiooni vahel. Ühe ja sama kontoga seotud Chrome'i instantsides on nüüd võimalik pääseda juurde teise seadme lõikepasta sisule, sealhulgas on võimalik jagada lõikepasta sisu mobiilse ja lauaarvuti süsteemi vahel. Lõikepasta sisu krüpteeritakse lõpust lõpuni krüptimisega, mis takistab Google'i serverites teksti kätte saamist. Funktsiooni aktiveerimiseks külastage chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui ja chrome://flags#sync-clipboard-service.
• Aadressiribal teatud hetkedel (näiteks parooli salvestamisel) jaotatakse sünkroniseerimise peatamisel koos avatari ka kuvada praeguse Google'i konto nimi, et kasutaja saaks täpselt tuvastada aktiivse konto.
• 1% kasutajatest on aktiveeritud toetamine «DNS üle HTTPS» (DoH, DNS over HTTPS). Katses osalevad ainult need kasutajad, kelle süsteemi seadetes on juba märgitud DNS-teenuse pakkujad, mis toetavad DoH-d. Näiteks, kui kasutaja süsteemi seadetes on märgitud DNS 8.8.8.8, aktiveeritakse Chromes Google'i DoH teenus («https://dns.google.com/dns-query»), kui DNS on 1.1.1.1, siis DoH teenus Cloudflare («https://cloudflare-dns.com/dns-query»), jne. DoH lubamise haldamiseks on ette nähtud seadistus «chrome://flags/#dns-over-https». Toetatakse kolme töörežiimi: «secure», «automatic» ja «off». Režiimis «secure» määratakse hostid ainult eelnevalt vahemälustatud turvaliste väärtuste (mis on saadud turvalise ühenduse kaudu) ja DoH kaudu esitatud päringute alusel, tavalisest DNS-ist tagasiteed ei rakendata. Režiimis «automatic» kui DoH ja turvaline vahemälu pole kergesti kättesaadavad, lubatakse andmete saamine ebausutavast vahemälust ja pöördumine läbi traditsioonilise DNS-i. Režiimis «off» kontrollitakse kõigepealt üldist vahemälu ja kui andmeid pole, saadetakse päring läbi süsteemi DNS-i.
• Lisatud katseversioon toetamine lehe sisu vahemälu, kui navigeeritakse edasi ja tagasi nuppudega, mis võimaldab oluliselt vähendada viivitusi sellise navigeerimise korral, kasutades täislehe vahemälu, mis ei vaja korduvat joonistamist ja ressursside laadimist. Optimeerimine on eriti märgatav mobiilseadmete versioonis, kus navigeerimise ajal saavutatakse kuni 19% suurem jõudlus. Režiim lülitatakse sisse valiku kaudu „chrome://flags#back-forward-cache“.
• Eemaldatud seade „chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains“, mis võimaldas taas näidata protokolli aadressiribal (nüüd kuvatakse kõik lingid alati ilma https:// ja http:// ning ilma „www.“).
• Windowsi kogemustes on sisse lülitatud multikastme isolatsioon heli esitamise teenusel. Isolatsiooni aktiveerimiseks on pakutud omadust AudioSandboxEnabled.
• Keskustatud haldusteenuse vahendites on võimalus määrata reeglid, mis määravad mälumahu, mida brauseri instants saab kasutada, enne kui taustal olevad vahekaardid laaditakse välja. Välja laaditud vahekaartide järel vabanev mälu on uuesti kasutamiseks saadaval ja vahekaardi sisu laaditakse uuesti, kui sellele vahetatakse.
• Linuxis on kasutusele võetud sisseehitatud sertifikaatide valideerimise töötleja, mis asendas varem kasutatud süsteemi NSS. Samas jätkab sisseehitatud töötleja NSS ladustuse kasutamist valideerimise ajal, kuid seab rangemad nõuded valesti kodeeritud ja eraldiseisvalt kinnitatud sertifikaatide töötlemisel (kõik sertifikaadid peavad olema alati allkirjastatud sertifitseerimisasutuse poolt).
• Androidi platvormi versioonis on lisatud on olemas võimalus määrata kohandatud ikoone paigaldatud veebirakenduste jaoks, mis töötavad Progressive Web Apps (PWA) režiimis. Kohandatud ikoonid saavad kohanduda seadme tootja kasutatava liidese järgi, näiteks olla ümmargused, ruudukujulised või ümarate servadega.
• Lisatud API WebXR Seade, mis võimaldab juurdepääsu komponentidele virtuaalse ja liitreaalsuse loomiseks. API võimaldab mitmete seadmeklassidega töötamist, alates statsionaarsetest virtuaalreaalsuse kiivritest, nagu Oculus Rift, HTC Vive ja Windows Mixed Reality, kuni mobiilseadmetel põhinevate lahendusteni, nagu Google Daydream View ja Samsung Gear VR. Uue API kasutusvõimalustena mainitakse järgmisi rakendusi: 360° videote vaatamise programmid, kolmemõõtmeliste ruumide visualiseerimissüsteemid, virtuaalsete kinode loomine video esitamiseks, katsetamine 3D-liideste loomisega poodides ja galeriides;
  
• Origin Trials režiimis (eksperimenteerimisvõimalused, mis nõuavad eraldi aktiveerimist) on pakutud mitmeid uusi API-sid. Origin Trial tähendab, et selle API-ga saab töötada rakendustega, mis on laaditud localhost või 127.0.0.1, või pärast registreerimist ja spetsiaalse ajutise märgise saamist, mis kehtib piiratud aja jooksul konkreetse saidi jaoks.
  • Kõikidele HTML-elementidele on lisatud atribuut „rendersubtree”, mis tagab DOM-elemendi kuvamise fikseerimise. Kui atribuudile antakse väärtus „invisible”, ei kuvata elemendi sisu ja seda ei kontrollita, mis võimaldab renderdamist optimeerida. Kui väärtuseks on määratud „activatable”, eemaldab brauser nähtamatu atribuut, kuvab sisu ja teeb selle nähtavaks.
  • Lisatud API variant Wake Lock lubades kasutada Promise'i mehhanismi, mis pakub ohutumat viisi ekraani automaatse lukustuse väljalülitamise ja seadmete energiasäästurežiimide aktiveerimise haldamiseks.
• Rakendatud on atribuudivaliku võimalus autofocus kõigile HTML- ja SVG-elementidele, millele saab sisendfookust määrata.
• Piltide ja videote jaoks tagatud arvutatakse külgede suhe lähtudes atribuudist Width või Height, mida saab kasutada pildi suuruse määramiseks CSS-i kaudu hetkel, kui pilt pole veel laaditud (lahendab probleemi lehe ümberkorraldamisega piltide laadimise järel).
• Lisatud CSS-i omadus font-optical-sizing, mis se automaatselt seadistab muutuva fondi suuruse optiliste koordinaatide „opsz«, kui fonti toetatakse. Režiim võimaldab valida optimaalse gtiifi kuju antud suuruse jaoks, näiteks kasutada kontrastsemat gtiife pealkirjade jaoks.
• Lisatud CSS-i omadus list-style-type, mis võimaldab kasutada loendites mingeid sümboleid punkte asemel, näiteks „-“, „+“, „★“ ja „▸“.
• Kui Worklet.addModule() ei õnnestu, tagastatakse nüüd objekt, mis sisaldab üksikasjalikku teavet vea iseloomu kohta, võimaldades täpsemalt hinnata vea põhjust (võrguprobleemid, vale süntaks jne).
• Töötlemine elemente on peatatud nende dokumentide vahel liigutamisel. Samuti on dokumentide vahel liigutamisel keelatud skriptiga seotud „error“ ja „load“ sündmuste täitmine.
• JavaScripti mootoris V8 toimus optimeerimine objektide väljade kuvamis muudatuste töötlemiseks, mille tulemusena on AngularJS koodi täitmine Speedometer testkomplektis 4% kiirem.
  
• V8-s on optimeeritud ka gsetterite töötlemine, mis on määratletud sisseehitatud API-des, nagu Node.nodeType ja Node.nodeName, kui IC (inline caching) töötlejat ei ole. Muudatus on umbes 12% vähendanud IC runtime'i kulusid Backbone'i ja jQuery testide käitlemisel Speedometer'i komplektis.
  
• OSR (called on-stack replacement) mehhanismi töödeldud tulemuste vahemälu on tagatud, mis võimaldab optimeeritud koodi asendamist funktsiooni täitmise käigus (mis võimaldab hakata kasutama optimeeritud koodi pikaajaliste funktsioonide jaoks, ilma et peaks ootama nende korduvat käivitamist). OSR vahemälu võimaldab kasutada optimeerimise tulemusi ka funktsiooni uuesti käivitamisel, ilma korduva optimeerimise vajaduseta.
  Mõnes testis võimaldas muudatus tõsta tipptulemust 5–18%.
  
• Muudatused veebiarendustööriistades:
  On lisatud silumise režiim, et tuvastada päringu blokeerimise või küpsiste seadete põhjuseid.
  
  • Küpsiste loendis on lisatud valitud küpsise väärtuse kiire vaatamise võimalus, klõpsates kindlal real.
    
  • Lisatud võimalus simuleerida erinevaid seadeid media-päringute prefers-color-scheme ja prefers-reduced-motion jaoks (näiteks lehe käitumise kontrollimiseks tumeda süsteemi teema korral või animatsiooniefektide väljalülitamise korral).
    
  • Uuendatud vahekaardi Coverage disaini, mis võimaldab hinnata kasutatud ja mittekasutatud koodi. Lisatud võimalus filterida teavet selle tüübi järgi (JavaScript, CSS). Koodi kasutamise teave on samuti lisatud allika koodi kuvamise ajal.
    
  • Lisatud võimalus siluda põhjuseid, miks mõnda võrguressurssi küsitakse pärast võrguaktiivsuse salvestamist (võib vaadata JavaScripti koodi jälgimist, mis viis ressursi laadimiseni).
    
  • Lisatud seadistus 'Settings > Preferences > Sources > Default Indentation', et määrata, milline on sisenemise välimus (2/4/8 tühikut või tabulatsioon) koodis, mis kuvatakse Console ja Sources paneelides.

Uue versiooni puhul on lisaks uuendustele ja bugide parendamisele kõrvaldatud 51 haavatavust. Paljusid neist haavatavustest tuvastati automatiseeritud testimise käigus, kasutades tööriistu nagu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Kaks probleemi (CVE-2019-13725, juba vabastatud mälualale juurdepääs Bluetoothi toetamise koodis, ja CVE-2019-13726, kuhjade ülevool paroolihalduris) on klassifitseeritud kriitilisteks, st need võimaldavad ületada kõik brauserikaitse tasemed ja käivitada koodi süsteemis väljaspool liivakasti keskkonda. Kaks kriitilist probleemi tuvastati Chrome'i arendustsükli jooksul esmakordselt. Esimene haavatavus leiti Tencent Keen Security Lab'i teadlaste poolt ja demonstreeritud Tianfu Cupi võistlusel, teise avastas Sergei Glazunov Google Project Zero'st.

Praeguse versiooni haavatavuste avastamise auhinnaprogrammi raames maksti Google'ilt välja 37 auhinda kogusummas 80 000 USA dollarit (üks auhind 20 000 dollarit, üks auhind 10 000 dollarit, kaks auhinda 7 500 dollarit, neli auhinda 5 000 dollarit, üks auhind 3 000 dollarit, kaks auhinda 2 000 dollarit, kaks auhinda 1 000 dollarit ja kaheksa auhinda 500 dollarit). 15 auhinna suurust pole veel määratud.

Allikas: opennet.ru