🥇 Chrome 86 väljaanne

Lisatud kaitse mitteohutute sisendi vormide saatmise eest HTTPS-i kaudu laaditud lehtedel, kuid andmete saatmisel HTTP-s, mis tekitab andmete pealtkuulamise ja asendamise ohu MITM-rünnakute korral. Kaitse hõlmab kolme muudatust:

Mithaldust segatud sisendi vormide automaatset täitmist, analoogselt sellele, kuidas on juba ammu keeldutud autentimisvormide automaatse täitmise võimalusest HTTP-l avatud lehtedel. Kui varem oli segatud vormide keelamiseks piisav lehe avamine HTTPS-i või HTTP kaudu, siis nüüd arvesse võetakse ka andmete krüpteerimise kasutamist vormi töötlejale saatmisel. Segatud autentimisvormide paroolihalduri töö ei ole keelatud, kuna oht, et usaldamatut parooli ja erinevatel saitidel korduvkasutust kasutatakse, ületab potentsiaalse liikluse pealtkuulamise riski.
Segatud vormidesse andmete sisestamise alustamisel on kasutajale antud hoiatus, mis informeerib teda andmete saatmisest krüpteerimata sideliini kaudu.
Segatud vormi saatmise katse korral kuvatakse eraldi leht teatega potentsiaalsest riskist andmete saatmiseks krüpteerimata kanalite kaudu. Varasemates versioonides kasutati segatud vormide näitamseks aadressiribal lukuikooni, kuid see märge ei olnud kasutajatele ilmne ega peegeldanud tõhusalt tekkivaid riske.

Blokeerimine ebaturvalise laadimise (ilma krüpteerimiseta) käivitatavate failide laadimist on täiendatud ebaturvaliste arhiivide (zip, iso jne) laadimise blokeerimisega ja hoiatuste kuvamisega ebaturvalise laadimise korral.
dokumentide (docx, pdf jne). Järgmisel väljaandel oodatakse dokumentide blokeerimist ja hoiatuste kuvamist piltide, tekstifailide ja meediafailide jaoks. Blokeerimine on rakendatud, kuna failide laadimine krüpteerimata võib olla kuritegelike tegevuste jaoks kasutatav, asendades sisu MITM-rünnakute käigus.

Kontekstimenüüs kuvatakse vaikimisi valik „Kuva URL alati täielikult“, mille lubamiseks varem nõuti seadetesse minemist lehel about:flags. Täielikku URL-i saab ka näha, klikkides aadressiribal kaks korda. Me tuletame meelde, et alates Chrome 76 vaikimisi kuvatakse aadress ilma protokolli ja alamdomeenita www. See Chrome 79 kõrvaldati seade vanema käitumise taastamiseks, kuid pärast kasutajate rahulolematust Chrome 83 lisati uus katseflag, mis lisab kontekstimenüüsse valiku keelata URL-i peitmine ja näitamine mis tahes tingimustes.

Väikese protsendi kasutajate jaoks on käivitatud katse 6TB kuvatakse vaikimisi ainult domeeni aadressiribal, ilma teepunktide ja päringupõhjadeta. Näiteks, asemel „https://example.com/secure-google-sign-in/”, kuvatakse „example.com”. Pakutava režiimi laiendamine kõigile kasutajatele on oodata ühes järgmistest väljalasketest. Selle käitumise keelamiseks saab kasutada valikut „Kuva URL alati täielikult”, ja kogu URL-i vaatamiseks võib klikata aadressiribale. Muutuste motiiviks on soov kaitsta kasutajaid kalastamise eest, mis manipuleerib URL-i parameetritega — pahatahtlikud isikud kasutavad kasutajate tähelepanematust, et luua illusioon, et avatakse teine sait ja toime pannakse petturlikke tehinguid (kuigi tehniliselt teadlikud kasutajad näevad selliseid petmisi kiiresti, siis harjumatud tavakodanikud lasevad end kergesti petta sellistest lihtsatest manipulatsioonidest).

Taaskäivitati algatus FTP toe eemaldamiseks. Chrome’is 86 on FTP vaikimisi keelatud umbes 1% kasutajatest, ja Chrome’is 87 suureneb keelamine 50%-ni, kuid toe saab taastada lipu abil „—enable-ftp” või „—enable-features=FtpProtocol”. Chrome’is 88 eemaldatakse FTP tugi täielikult.

Androidi versioonis, sarnaselt laua versioonile, on paroolihalduris rakendatud salvestatud konto ja parooli kontroll arvestatud kompromiteeritud kontode baasi põhjal, koos hoiatuse kuvamisega probleemide tuvastamisel või katsetamisel triviaalsete paroolide kasutamisel. Kontroll tehakse andmebaasi põhjal, mis katab üle 4 miljardi kompromiteeritud konto, mis on ilmnenud kasutajate andmelekete käigus. Privaatsuse säilitamiseks rakendatakse toimub hash-eel-prefiksi kontroll kasutaja poolel, ega edastata paroole ja nende täielikke hash'e väljapoole.

Androidi versiooni on samuti on kantud Nupuvõti „Turvakontroll“ (Safety check) ja laiendatud kaitse režiim ohtlikele saitidele (Enhanced Safe Browsing). Nupuvõti „Safety check“ annab ülevaate võimalike turvaprobleemide kohta, nagu kompromiteeritud paroolide kasutamine, pahatahtlike saitide kontrolli seisund (Safe Browsing), mittepaigaldatud värskenduste olemasolu ja pahatahtlike laienduste tuvastamine. Laiendatud kaitse režiim aktiveerib täiendavad kontrollid phishingu, pahatahtliku tegevuse ja muude veebiohtude kaitseks, samuti sisaldab see täiendavat kaitset Google'i ja Google'i teenuste (Gmail, Drive jne) konto jaoks. Kui tavarežiimis Safe Browsing kontrollid tehakse kohapeal ajakohastatavas kliendiküljel asuvas andmebaasis, siis laiendatud Safe Browsing edastab teabe lehtede ja allalaadimiste reaalajas kontrolliks Google'i poole, mis võimaldab kiiresti reageerida ohtudele kohe pärast nende tuvastamist, oodamata kohaliku musta nimekirja värskendamist.

Lisatud Toetatakse faili-indikaatorit „.well-known/change-password“, mille abil saavad veebilehtede omanikud määrata parooli muutmise veebi vormi aadressi. Kui kasutaja konto andmed on olnud ohus, pakub Chrome nüüd kohe kasutajale parooli muutmise vormi, mis on määratud käesoleva faili teabe põhjal.

Uue «Ohutusnõuanne» teavitamiseks, mis kuvatakse, kui avatakse veebisaite, mille domeen on väga sarnane teise saidiga, ning heuristika näitab, et pettuse tõenäosus on suur (nt avatakse goog0le.com asemel google.com).

TC39 pärand RegExp funktsioonid JavaScriptis Toetatakse tagasipöörde vahemälu (Back-forward cache), mis tagab kiire ülemineku, kui kasutatakse nuppe „Tagasi“ ja „Edasi“ või navigeeritakse varem külastatud lehtedel. Vahemälu aktiveeritakse seadistuse kaudu chrome://flags/#back-forward-cache.

CPU tarbimise optimeerimine akendega
väljas nähtavusest. Chrome kontrollib, et brauseri aknad ei kattuks teiste akendega, välistades pikslite joonistamise kattuvate alade puhul. Seda optimeerimist aktiveeriti väikese protsendi kasutajate jaoks Chrome 84 ja 85, kuid nüüd on see aktiveeritud üldiselt. Varasemate väljalaskmisvariante võrreldes on samuti kõrvaldatud ühilduvusprobleemide süsteemidega, mille tõttu näidati tühje valgeid lehti.

Taustategevuse vahelehtede ressursside piiramist on tugevdatud. Sellised vahelehed ei saa nüüd tarbida rohkem kui 1% CPU ressursidest ja võivad aktiveeruda mitte tihedamalt kui kord minutis. Pärast viit minutit taustal viibimist külmutatakse vahelehed, välja arvatud need, kus mängitakse multimeedia sisu või toimub salvestamine.

Töö on taastatud ühtsustamiseks HTTP päise User-Agent. Uues versioonis on kõikidele kasutajatele aktiveeritud toetust User-Agent Client Hints, arendatav vahetusena User-Agent. Uus mehhanism hõlmab spetsiifiliste brauseri ja süsteemi parameetrite (versioon, platvorm jne) andmete edastamist ainult serveri päringu korral, võimaldades kasutajatel sellist teavet valikuliselt saidi omanikele edastada. User-Agent Client Hints kasutamisel ei edastata identifikaatorit vaikimisi ilma selge päringuta, mis takistab passiivset identifitseerimist (vaikimisi on välja toodud ainult brauseri nimi).

Muudetud on värskenduste oleku ja brauseri taaskäivitamise vajaduse näitamist. Ajavahemiku ikooni asemel kuvab nüüd ülesanne «Update».

On teostatud tööd brauseri tõlkimiseks kaasava terminoloogia kasutamisele. Poliitika nimedes on sõnad „whitelist“ ja „blacklist“ asendatud „allowlist“ ja „blocklist“ (juba lisatud poliitikad jätkavad töötamist, kuid nende puhul kuvatakse hoiatusteate osas, et nad on muudetud vananenuks). koodis ja failinimedes mainimised „blacklist“ on asendatud „blocklistiga“.
Kasutajale nähtavad mainimised „blacklist“ ja „whitelist“ vahetati juba 2019. aasta alguses.

Lisatud on katsefunktsioon salvestatud paroolide muutmiseks, aktiveeritav lipu "chrome://flags/#edit-passwords-in-settings" abil.

Tõlgitud stabiilseks ja avalikuks API-ks Native File System, võimaldades luua veebirakendusi, mis suhtlevad failidega kohalikus failisüsteemis. Näiteks võib uus API osutuda vajalikuks brauseris töötavates integreeritud arenduskeskkondades, tekstiredaktorites, pildiredaktorites ja videoredaktorites. Otsefailide lugemiseks ja kirjutamiseks või failide avamise ja salvestamise dialoogide kasutamiseks, samuti kataloogide sisu navigeerimiseks, küsib rakendus kasutajalt erilist kinnitust.

Lisatud CSS-selektor „:focus-visible“, mis kasutab samu heuristikareegleid, mida brauser kasutab fookuseindikaatori kuvamise otsustamisel (fookuse liigutamisel klaviatuurikombinatsioonide abil nuppudele ilmub indikaator, kuid hiireklikkide korral ei ilmu). Varasemalt saadaval olnud CSS-selektor „:focus“ valgustab alati fookust.
Lisaks on seadistustes lisatud valik „Quick Focus Highlight“, mille aktiveerimisel kuvatakse aktiivsete elementide kõrval täiendav fookuseindikaator, mis jääb nähtavaks isegi siis, kui lehe kaudu CSS-is on visuaalsete fookuse esitlemise elementide stiil keelatud.

Origin Trials režiimis (katsefunktsioonid, mis nõuavad eraldi aktiveerimist) on lisatud mitu uut API-d. Origin Trial võimaldab töötada määratud API-ga rakendustes, mis on laaditud localhost'i või 127.0.0.1-i, või pärast registreerimist ja spetsiaalse tokeni saamist, mis kehtib piiratud aja jooksul konkreetse saidi jaoks.

API WebHID madal, et madal tasemel juurdepääs HID-seadmetele (Human Interface Device, klaviatuurid, hiired, mängupuldid, puutetundlikud paneelid), mis võimaldavad JavaScriptis rakendada loogikat HID-seadmestiku tööks, et võimaldada haruldaste HID-seadmete kasutamist ilma süsteemis spetsiifiliste draiveriteta.
Esiteks on uue API eesmärk pakkuda toe mängupultidele.
API Ekraani Teave, laiendab API Aknapaigutuse funktsioone, toetades mitme ekraani konfiguratsioone. Erinevalt window.screen'ist võimaldab uus API manipuleerida akna paigutust rohkem kui ühe monitoriga süsteemide ühises ekraaniruumis, ilma et oleks piiratud praeguse ekraaniga.
Meta-tag battery-savings, millega sait saab informeerida brauserit vajadusest aktiveerida energiasäästu režiimid ja optimeerida CPU koormust.
API COOP Aruandlus potentsiaalsetest isolatsioonirežiimide rikkumistest teavitamiseks Risti-Origin-Embedder-Policy (COEP) ja Risti-Origin-Opener-Policy (COOP), ilma tegelike piiranguteta.
API-s Krediteerimise Halduse pakutud uus tüüpi autentimisandmed PaymentCredential, tagades täiendava kinnituse teostatava makse jaoks. Kontrolliv pool, näiteks pank, saab genereerida avaliku võtme PublicKeyCredential, mida müüja saab soodsa täiendava turvalise makse kinnitamise jaoks küsida.

API-s PointerEvents pliiatsi kaldenurga määratlemiseks on lisatud kõrguse nurgad (nurga vahe pliiatsi ja ekraani vahel) ja azimuti (nurga vahe X-telje ja pliiatsi ekraanile projekteerimise vahel), asendades TiltX ja TiltY (nurgad pliiatsi lame ja ühe telje ning Y ja Z telgede vahel). Samuti on lisatud funktsioonid kõrguse/azimuti ja TiltX/TiltY vaheliseks konverteerimiseks.

URL-i tühikute kodeerimine on muudetud, kui neid arvutatakse protokolli töötlejates — meetod navigator.registerProtocolHandler() asendab tühikud ""-ga asemel "+", mis ühtlustab käitumise teiste brauseritega, nagu Firefox.

CSS-i on lisatud pseudo-element „::marker“, mis võimaldab seadistada värvi, suuruse, kuju ja numbrite ning märkide tüübi loeteludes plokkides

HTTP-pealkirja toe on lisatud Document-Policy, , mis võimaldab määra dokumentide juurdepääsureeglid, mis sarnanevad sandbox-isolatsioonimehhanismiga iframe'i jaoks, kuid on universaalsemad. Näiteks saab Document-Policy kaudu piirata madala kvaliteediga piltide kasutamist, keelata aeglased JavaScript API-d, määrata iframe'ide, piltide ja skriptide laadimise reeglid, piirata dokumentide üldmahtu ja liiklust ning keelata meetodid, mis võivad lehe uut ülesehitust põhjustada, ning välja lülitada funktsioonid Scroll-To-Text.
Elementi
on lisatud tugi 'inline-grid', 'grid', 'inline-flex' ja 'flex' sättetele, mis on määratud CSS-i omaduse 'display' kaudu.
Lisatud meetod ParentNode.replaceChildren() kõikide lapseelementide asendamiseks vanema sõlme teise DOM-sõlmega. Varasemalt võis sõlmede asendamiseks kasutada meetodite node.removeChild() ja node.append() või node.innerHTML ja node.append() kombinatsiooni.
On laienenud URL-skeemide spekter, mida saab ülemääraga registerProtocolHandler() abil üle kirjutada. Skeemide loetellu kuuluvad detsentraliseeritud protokollid cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns ja ssb, mis võimaldab määratleda linke elementidele sõltumatult saidist või väravast, mis pakub ressursile juurdepääsu.
API-s Asünkroonne lõikelauad lisati HTML-i format text/html toe kopeerimise ja kleepimise jaoks lõikelauale (lõikelauale kirjutamisel ja lugemisel puhastatakse ohtlikke HTML-struktuure). Muudatus võimaldab näiteks veebiredaktorites vormindatud teksti, sealhulgas pilte ja linke, kleepimist ja kopeerimist.
WebRTC-s lisatud võimalus ühendada oma andmetöötlusprotsessorid, mida kutsutakse esitlemise või dekodeerimise etappidel WebRTC MediaStreamTrack'is. Näiteks annab see võimaluse toetada andmete otsest krüpteerimist, mis edastatakse vaheserverite kaudu.
JavaScripti V8 mootoris 75% kiirendatud Number.prototype.toString rakendamine. Asünkroonsetesse klassidesse on lisatud omadus .name tühja väärtusega. Meetod Atomics.wake on eemaldatud, mis kunagi ümber nimetati Atomics.notify nimel, et vastata ECMA-262 spetsifikatsioonile. Fuzzing-testi tööriistade allikas on avatud. JS-Fuzzer.
eelnevalt kasutusel olnud algkompilaator Liftoff WebAssembly jaoks on saanud vektori käskude kasutamise võimaluse SIMD arvutuste kiirendamiseks. Testide põhjal on optimeerimine võimaldanud kiirendada mõnede testide läbimist 2.8 korda. Teine optimeerimine on võimaldanud oluliselt kiirendada WebAssembly's imporditud JavaScripti funktsioonide kutsumist.
Laienevad veebiarenduse tööriistad: Meedia paneelile on lisatud teavet lehe video esitamiseks kasutatavate mängijate kohta, sealhulgas sündmuste andmed, logid, atribuudi väärtused ja kaadrikodeerimise parameetrid (näiteks on võimalik määrata kaotate kaadrite põhjuseid ja probleeme JavaScriptiga suhtlemisel).
Elements paneeli kontekstimenüüsse on lisatud võimalus luua valitud elemendi ekraanipilte (näiteks on võimalik teha ekraanipilt sisukorrast või tabelist).
Veebi konsoolis on probleemide hoiatuspaneel vahetatud tavalise sõnumi vastu ning kolmanda osapoole küpsiste probleemid on vaikimisi peidetud Issues vahelehe alla, neid saab lubada spetsiaalse märkeruuduga.
Rendering vahekaardile on lisatud nupp 'Disable local fonts', mis võimaldab simuleerida kohapealsete fontide puudumist, ning Sensors vahekaardile on lisatud võimalus simuleerida kasutaja mitteaktiivsust (rakendustele, mis kasutavad API Idle Detection).
Application paneelis on esitatud üksikasjalik teave iga iframe, avatud akna ja hüpikakna kohta, sealhulgas teave Cross-Origin isolatsiooni kohta COEP ja COOP abil.
Algas protokolli rakenduse asendamine QUIC IETF spetsifikatsiooni arendatud variandi vastu, mitte Google'i variandi QUIC vastu.

Lisaks uuendustele ja veaparandustele on uues versioonis elimineeritud 35 haavatavust. Paljude turvaaukude avastamine toimus automatiseeritud testimise tööriistade kaudu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Üks haavatavus (CVE-2020-15967, juurdepääs vabastatud mälu piirkonnale Google Paymentsiga suhtlemise koodis) on märgitud kriitilisena, st see võimaldab ületada kõik brauseri kaitsetasemed ja käivitada koodi süsteemis väljas sandbox'i keskkonnast. Haavatavuste avastamise rahaliste preemiate programmis on Google välja maksnud 27 preemiat kokku 71500 USA dollari ulatuses (üks preemia 15000 dollarit, kolm preemiat 7500 dollarit, viis preemiat 5000 dollarit, kaks 3000 dollarit, üks 200 dollarit ja kaks preemiat 500 dollarit). 13 preemia suurust ei ole veel määratud.

Allikas: opennet.ru