Chrome 83 väljalase

Google'i ettevõte esitles veebibrauseri väljaanne Chrome 83. Samal ajal saadaval stabiilne vabavaraprojekt Chromium, mis on Chrome'i aluseks. Chrome'i brauser erineb Google'i logode kasutamise, krahhi korral teavituste saatmise süsteemi, Flash-mooduli allalaadimise võimaluse, kaitstud videosisu (DRM) esitamise moodulite, automaatsete värskenduste installimise süsteemi ja otsingu käigus RLZ-parameetrite edastamisega. RLZ-parameetrite. Koroonaviiruse SARS-CoV-2 pandeemia tõttu töötavad arendajad kodus, mistõttu Chrome 82 versioon jäi vahele. Järgmine Chrome 84 versioon on kavandatud 14. juuliks.

Peamised muudatused ja Chrome 83:

• Alustas massiline aktiveerimine režiimi „DNS HTTPS-i kaudu“ (DoH, DNS üle HTTPS) kasutajate süsteemides, kus on määratud DoH-i toetavad DNS-teenusepakkujad (DoH aktiveeritakse sama DNS-teenusepakkuja puhul). Näiteks kui kasutaja süsteemides on määratud DNS 8.8.8.8, aktiveeritakse Chrome'is Google'i DoH-teenus („https://dns.google.com/dns-query“), kui DNS on 1.1.1.1, siis Cloudflare'i DoH-teenus („https://cloudflare-dns.com/dns-query“) jne. Et vältida probleeme ettevõtte sisevõrkude resolveerimisel, ei rakendata DoH-i tsentraliseeritud hallatavates süsteemides brauseri kasutamise määramiseks. DoH lülitatakse välja ka, kui on olemas vanemlik kontroll.
  DoH-i aktsepteerimise juhtimine ja DoH-teenusepakkuja vahetus toimub tavapärase seadistaja kaudu.
  
• Pakutud uus kujundus elemente web-vormid, mis on optimeeritud kasutamiseks puutetundlikel ekraanidel ja süsteemides, mis on suunatud puuetega inimestele. Kujundus on optimeeritud Microsofti poolt Edge'i brauseri arendamise käigus ja edastatud Chromiumi põhikoodeksisse. Varem oli osa vormielementidest projekteeritud vastavalt operatsioonisüsteemide elementidele, samas kui osa oli kooskõlas kõige populaarsemate stiilidega. Selle tõttu sobisid erinevad elemendid erinevalt puutetundlikele ekraanidele, puuetega inimeste süsteemidele ja klaviatuuriga juhtimisele. Ümberkujundamise eesmärgiks oli vormielementide kujunduse ühtlustamine ja stiilide ebakõlade kõrvaldamine.
  
• Muudetud on jaotise "Privaatsus ja turvalisus" kujundust, on lisatud uued tööriistad turvalisuse haldamiseks. Seaded on nüüd kergemini leitavad ja nende olemus on paremini arusaadav. Pakutakse neli põhisegmenti, kus on koondatud tööriistad, mis on seotud ajaloohalduse, küpsiste ja veebilehtede andmete haldamise, turvarežiimide ja konkreetsetele veebilehtedele seotud lubade või keeldude haldamisega. Kasutaja saab kiiresti aktiveerida kolmandate osaliste küpsiste blokeerimise inkognito režiimis või kõigis veebilehtedes ning blokeerida kõik küpsised konkreetse veebilehe jaoks. Uus kujundus on rakendatud vaid osa kasutajate süsteemidesse, teised saavad seadeid aktiveerida, minnes aadressile "chrome://flags/#privacy-settings-redesign".
  

  Veebilehtedele spetsiifilised seaded on jagatud gruppidesse — juurdepääs asukohale, kaamerale, mikrofoni, teadetele ja taustülesannete andmete edastamisele. Samuti on pakutud sektsioon täiendavate seadete jaoks JavaScripti, piltide ja ümbersuunamiste blokeerimiseks teatud veebilehtedel. Eraldi on välja toodud kasutaja viimased toimingud, mis on seotud volituste muutmisega.

  
• Inkognito režiimis on vaikimisi aktiveeritud kõigi kolmandate osaliste veebilehtede poolt seatud küpsiste blokeerimine, sealhulgas reklaamivõrkude ja veebianalüüsi süsteemide poolt. Samuti on pakutud laienev liides küpsiste haldamiseks veebilehtedel. Halduseks on ettenähtud lipud "chrome://flags/#improved-cookie-controls" ja "chrome://flags/#improved-cookie-controls-for-third-party-cookie-blocking". Režiimi aktiveerimisel ilmub aadressiriba sisse uus ikoon, millele klikkides kuvatakse blokeeritud küpsiste arv ja pakutakse võimalus blokeerimist välja lülitada. Milliseid küpsiseid on praegusel veebilehel lubatud ja blokeeritud, saab vaadata kontekstimenüüs "Küpsised", mille avamiseks tuleb klõpsata luku sümbolile aadressiribale või seadetele.
  
  
• Seadetes on ette nähtud uus nupp "Turvalisuse kontroll" (Safety check), mis annab ülevaate võimalikest turvaprobleemidest, nagu kompromiteeritud paroolide kasutamine, rämpsveebide kontrolli olek (Safe Browsing), uuendamata värskenduste olemasolu ja kahjulike laienduste avastamine.
  
• paroolihaldurisse on lisatud võimalus kontrollimiseks kõik salvestatud sisselogimised ja paroolid, mis põhinevad kompromiteeritud kontode andmebaasil, andes hoiatusi probleemide avastamise korral (kontrollimine toimub kasutaja poolel hälbe-eelsehitusmeetodit kasutades, täielikke paroole ja nende hälve ei edastata väljapoole). Kontrollitakse üle 4 miljardi kompromiteeritud konto andmebaasi, mis on olnud seotud kasutajate andmete lekkimisega. Hoiatus edastatakse ka juhul, kui kasutatakse triviaalset parooli, nagu 'abc123'.
  
• Esitletud laiendatud režiim ohtlike saitide eest kaitsmiseks (Enhanced Safe Browsing), mille puhul aktiveeritakse täiendavad kontrollid, et kaitsta phishingu, pahatahtliku tegevuse ja muude veebiohtude eest. Samuti rakendatakse täiendavat kaitset Google'i kontole ja Google'i teenustele (Gmail, Drive jne). Kui tavapärases Safe Browsing režiimis kontrollid toimuvad lokaalselt, tuginedes perioodiliselt alla laaditud andmebaasile, siis Enhanced Safe Browsing režiimis saadetakse teave lehtede ja allalaadimiste kohta reaalajas Google Safe Browsing teenusesse, mis võimaldab kiiret reageerimist ohtudele kohe pärast nende avastamist, ilma et oleks vaja oodata lokaalsete mustade loendite värskendamist.

  Töö kiirendamiseks toetatakse eelkontrolli valgeliste loendite alusel, kuhu on kantud tuhandete usaldusväärsete saitide hälbed. Kui avatud sait ei kuulu valgeliste hulka, kontrollib brauser URL-i Google'i serveris, edastades 32 bitti SHA-256 lingi hälbest, kust on välja lõigatud võimalikud isikuandmed. Google'i hinnangul võimaldab uus lähenemine suurendada hoiatuste efektiivsust uute phishing-saitide suhtes 30% võrra.

• Automaatse täienduste ikoonide kinnitamise asemel aadressiribal on loodud uus menüü, mille ikooniks on pusle, kus on loetletud kõik olemasolevad täiendused ja nende õigused. Pärast täienduse paigaldamist peab kasutaja nüüd selgelt lubama täienduse ikooni kinnitamise, samal ajal hinnates pakutavaidõigusi. Selleks, et täiendust ei kaotataks, kuvatakse kohe pärast paigaldamist indikaator uue täienduse kohta. Uus menüü on vaikimisi aktiveeritud teatud protsendi kasutajate jaoks, ülejäänud saavad selle aktiveerida seaded „chrome://flags/#extensions-toolbar-menu“ kaudu.
  
• Lisatud seade „chrome://flags/#omnibox-context-menu-show-full-urls“, mille aktiveerimisel kuvatakse aadressiribal konteksti menüüs punkt „Näita URL-e alati täielikult“, mis keelab URL-i moonutamise. Tuletame meelde, et Chrome 76 toodi vaikimisi sisse linkide näitamine ilma „https://“, „http://“ ja „www.“-ta. Selle käitumise keelamiseks oli olemas seade, kuid Chrome 79-s eemaldati see ning kasutajad kaotasid võimaluse aadressiribale täielik URL kuvada.
  
• Kõigile kasutajatele on sisse lülitatud vahelehtede rühmitamise funktsioon („chrome://flags/#tab-groups“), mis võimaldab mitmeid sarnase otstarbega vahelehti visuaalselt eraldatud gruppidesse koondada. Iga rühmale saab siduda oma värvi ja nime. Lisaks pakutakse katsetamisvõimalust rühmade kokkuklappimiseks ja avamiseks, mis ei toimi kõikidel süsteemidel. Näiteks saab ajutiselt kokku voltida mitu lugemata artiklit, jättes alles vaid silti, et need ei võtaks ruumi navigeerimisel, ja lugemise juurde naasmisel tagasi kohale tuua. Režiimi aktiveerimiseks on pakutud seade „chrome://flags/#tab-groups-collapse“.
  
• Vaikimisi on lubatud teavituste kuvamine, kui proovite ebaturvalise laadimise (ilma krüpteerimiseta) täitevfaile alla laadida HTTPS-lehtedelt (Chrome 84-s blokitakse täitevfailide allalaadimised ja teavitust hakatakse andma arhiveerimisfailide kohta). Toodud on välja, et krüpteerimata failide allalaadimist saab kasutada pahatahtlikuks tegevuseks, asendades sisu MITM-rünnakute käigus. Samuti on keelatud failide allalaadimine, mida algatatakse isoleeritud iframe-blokkidest.
• Adobe Flashi aktiveerimisel lisatakse teade, mis hoiatab tehnoloogia toetuse lõppemise üle detsembris 2020.
• Rakendatud on tehnoloogia Trusted types, mis võimaldab blokeerida DOM-i manipuleerimisi, mis võivad põhjustada inter-site skriptimist (DOM XSS), näiteks vale töötlemise tõttu kasutajalt saadud andmetega eval() plokkides või "innerHTML" sisestustes, mis võivad käivitada JavaScripti koodi teatud lehe kontekstis. Trusted types nõuab andmete eelnevat töötlemist enne riskeerivate funktsioonide kasutamist. Näiteks Trusted types'i sisselülitamisel käivitab "anElement.innerHTML = location.href" vea ja nõuab TrustedHTML või TrustedScript erielementide kasutamist. Trusted Types'i aktiveerimine toimub CSP (Content-Security-Policy) abil.
• Lisatud uued HTTP-pealkirjad Cross-Origin-Embedder-Policy ja Cross-Origin-Opener-Policy, mis võimaldavad sisse lülitada erilise isolatsiooni režiimi cross-origin privileege kasutavate toimingute jaoks, nagu SharedArrayBuffer, Performance.measureMemory() ja profilleerimise API-d, mida saab kasutada külgkanali rünnakute teostamiseks, näiteks Spectre. Cross-origin isolatsioonirežiim ei võimalda ka muutuda dokument.domaini omadust.
• Pakutakse uut rakendust võrgustiku kaudu juurdepääsu ressursside inspekteerimise süsteemile — OOR-CORS (Out-Of-Renderer Cross-Origin Resource Sharing). Vana rakendus suutis inspekteerida ainult Blink-mootori põhikomponente, XHR ja Fetch API-d, kuid ei katnud mõningate sisemiste moodulite poolt tehtud HTTP-päringuid. Uus rakendus lahendab selle probleemi.
• Origin Trials režiimis (katsefunktsioonid, mis nõuavad eraldi aktiveerimist) on lisatud mitu uut API-d. Origin Trial võimaldab töötada määratud API-ga rakendustes, mis on laaditud localhost'i või 127.0.0.1-i, või pärast registreerimist ja spetsiaalse tokeni saamist, mis kehtib piiratud aja jooksul konkreetse saidi jaoks.
  • API Native File System, mis võimaldab luua veebi rakendusi, mis suhtlevad failidega kohaliku failisüsteemi kaudu. Näiteks võib uut API-d nõuda veebibrauseris töötavad integreeritud arenduskeskkonnad, tekstiredaktorid, pildiredaktorid ja videoredaktorid. Otsese faili lugemise ja kirjutamise võimaluseks, failide avamise ja salvestamise dialoogide kasutamiseks ja ka kataloogide sisu navigeerimiseks palub rakendus kasutajalt erilist kinnitust;
  • Meetod Performance.measureMemory() mälutarbimise hindamiseks web-rakenduse või web-lehe töötlemisel. Seda saab kasutada mälutarbimise analüüsimiseks ja optimeerimiseks web-rakendustes, samuti regressiivse mälutarbimise kasvu tuvastamiseks.
  • Meetod Prioritized Scheduler.postTask() ülesannete (JavaScripti tagasisidekõnede) täitmise planeerimiseks erineva prioriteediga (blokeerib kasutaja tegevust, loob nähtavaid muudatusi ja taustatööd). Prioriteedi muutmiseks ja ülesannete tühistamiseks võib kasutada TaskController objekt.
  • API WebRTC sisestatav voog, võimaldades rakendustel luua oma andmeprotsessorid, mida rakendatakse WebRTC MediaStreamTracki kodeerimisel ja dekodeerimisel. Näiteks saab API-d kasutada voogude lõpp-punktide krüpteerimise korraldamiseks, mis edastatakse kaudu vaheserveri.
• tf.distribute.Strategy Koodiribade tuvastamine konkreetse pildi sisemiste koodiribade tuvastamiseks ja dekrüpteerimiseks. API töötab ainult Android-seadmetes, kus on installitud Google Play teenuste pakett.
• Lisatud meta-silt color-scheme, võimaldades saidil pakkuda täielikku toetust tummale teemale ilma CSS-i transformatsioonideta.
• Lisatud võimalus kasutada JavaScripti mooduleid shared worker.
• IndexedDB-s IDBDatabase.transaction() tulekse uus argument
  «durability», võimaldades hallata andmete kirjutamise käitumist. Edastades väärtuse «relaxed» vaikimisi «strict» režiimi asemel, on võimalik ohverdada usaldusväärsus selle nimel, et saavutada parem jõudlus (varem Chrome alati kirjutas andmed ketta peale pärast iga tehingu kirjutamist).
• selector() funktsiooni @supports on lisatud, võimaldades kontrollida CSS-valikute kättesaadavust (näiteks saab esiteks kontrollida valiku kättesaadavust, enne kui siduda sellega CSS-stiile).

  @supports selector(::before) {
  div { background: green };
  }

• Intl.DateTimeFormatis on lisatud omadus fractionalSecondDigits sekundite murru kuvamise vormingu seadistamiseks.
• V8 engine'is kiirendatud ArrayBufferi jälgimine prügikoristajas. WebAssembly moodulite jaoks on lubatud küsida kuni 4 GB mälu.
• Lisatud uued tööriistad veebiarendajatele. Näiteks on lisandunud režiim, mis simuleerib lehe tajumist inimesed, kellel on nägemisprobleemid ja erinevad värvipimeduse vormid. Samuti on lisandunud režiim keelevaliku simuleerimiseks, mille muutmine mõjutab API-d Intl.*, *.prototype.toLocaleString, navigator.language, Accept-Language jne.
  

  Võrgutegevuse kontrollimise liidesesse on lisatud COEP (Cross-Origin Embedder Policy) tõrkeotsija, mis võimaldab hinnata põhjus, miks teatud ressursside laadimine veebis on blokeeritud. Lisatud on küpsise-filtreerimise märksõna cookie-path, mis seob küpsised konkreetse tee.

  

  Lisatud arendustööriistade kinnitamise režiim ekraani vasakul küljel.
  

  

  JavaScripti pikalt kestva koodi jälgimise liidese ümberkujundamine.
  

  
• COVID-19 nakkuse tõttu on mõned planeeritud muudatused edasi lükatud. Näiteks, eemaldamine FTP-ga töötamise kood on edasi lükatud määramata ajaks. Keelamine TLS 1.0/1.1 protokollide tugi edasi lükatud kuni Chrome 84 väljaandmiseni. Algne
  Client Hints ID tugi (User-Agent alternatiiv) samuti edasi lükatud Chrome 84. Töö User-Agent'i ühtlustamise nimel on edasi lükatud järgmiseks aastaks.

Lisaks uuendustele ja veaparandustele on uues versioonis elimineeritud 38 haavatavust. Paljude turvaaukude avastamine toimus automatiseeritud testimise tööriistade kaudu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Kriitilisi probleeme, mis võimaldavad ületada kõiki brauseri kaitse tasemeid ja käivitada koodi süsteemis väljaspool sandbox-tingimusi, ei tuvastatud. Küberjulgeoleku haavatavuste avastamise rahastamisprogrammi raames on Google käesoleva väljaande jaoks välja maksnud 28 preemiat kokku 76 000 USA dollari ulatuses (üks preemia 20 000 $, üks preemia 10 000 $, kaks preemiat 7 500 $, kaks preemiat 5 000 $, kaks preemiat 3 000 $, kaks preemiat 2 000 $, kaks preemiat 1 000 $ ja kaheksa preemiat 500 $). 7 preemia suurus pole veel määratletud.

Allikas: opennet.ru