🥇Chrome 86 | ProHoster

Ilmus uus Chrome 86 versioon ja stabiilne Chromium väljalase.

Chrome 86 peamised muudatused:

kaitse ebausaldusväärsete sisendvormide saatmise vastu lehtedes, mis on laaditud HTTPS-i kaudu, kuid saadavad andmeid HTTP kaudu.
Ebausaldusväärse allalaadimise (http) blokeerimine täiendatakse ebausaldusväärsete arhiivide (zip, iso jne) blokeerimisega ning dokumentide (docx, pdf jne) ebausaldusväärse allalaadimise hoiatustega. Järgmises väljaandes oodatakse dokumentide blokeerimist ja hoiatuste jagamist piltide, tekstifailide ja multimeediafailide puhul. Blokeerimine on rakendatud, kuna krüptimata failide allalaadimist saab kasutada pahatahtlike tegevuste teostamiseks, asendades sisu MITM-rünnakute käigus.
Vaikimisi konteksti menüüs kuvatakse valik „Alati näita URL-i täielikult”, mille aktiveerimiseks oli varem vajalik muuta seadeid lehelt about:flags. Täielikku URL-i saab vaadata ka, klõpsates aadressiribal kaks korda. Meeldetuletuseks: alates Chrome 76-st kuvatakse aadress vaikimisi ilma protokolli ja alamdomeenita www. Chrome 79-s eemaldati seadistus vana käitumise taastamiseks, kuid pärast kasutajate rahulolematust lisati Chrome 83-s uus eksperimentaalne lipp, mis lisab konteksti menüüsse punkti, et keelata peitmine ja näidata täis-URL-i igas olukorras.
Väikesele protsendile kasutajatest on käivitatud eksperiment, kus aadressiribal kuvatakse vaikimisi ainult domeeni, ilma teede ja päringupaaride elementideta. Näiteks, selle asemel, et "https://example.com/secure-google-sign-in/" kuvatakse „example.com”. Eeldatakse, et soovitatud režiimi rakendamine kõigile kasutajatele toimub mõnes järgmises väljaandes. Selle käitumise keelamiseks saab kasutada valikut „Alati näita URL-i täielikult”, ja kogu URL-i vaatamiseks saab klõpsata aadressiribal. Muutuse põhjuseks on soov kaitsta kasutajaid phishing'u eest, mis manipuleerib URL-i parameetritega — kurjategijad kasutavad kasutajate tähelepanematust, et luua vale mulje, et külastatakse teist saiti ja sooritatakse petuskeeme (kui tehniliselt pädev kasutaja näeb taolisi asendusi kohe, siis kogenematud kodanikud võivad kergesti langeda sellistele lihtsatele manipuleerimisele).
FTP toe toetamise algatus on taas käivitatud. Chrome 86 versioonis on FTP vaikimisi välja lülitatud umbes 1% kasutajatest, samas kui Chrome 87 versioonis ulatub välja lülitamise ulatus 50% ni, kuid toe saab taastada lipuga "—enable-ftp" või "—enable-features=FtpProtocol". Chrome 88 versioonis on FTP tugi täielikult välja lülitatud.
Androidi versioonis, sarnaselt lauaversiooniga, on paroolihalduris rakendatud salvestatud sisselogimiste ja paroolide kontrollimine, võrreldes komplitseeritud kontode andmebaasiga ning teavitades kasutajat probleemide avastamisel või lihtsate paroolide kasutamise katsetel. Kontroll tehakse andmebaasi põhjal, mis katab üle 4 miljardi komplitseeritud konto, mis on olnud kaasas kasutajate andmeleketes. Privaatsuse säilitamiseks rakendatakse kasutaja poolel hash-eelne peegeldus, samas kui paroolid ja nende täishashed ei edastata väljapoole.
Androidi versioonis on samuti lisatud nupp „Turvakontroll” (Safety check) ja laiendatud režiim ohtlike saitide kaitseks (Enhanced Safe Browsing). Nupp „Turvakontroll” näitab kokkuvõtte võimalike turvaprobleemide kohta, näiteks komplitseeritud paroolide kasutamine, pahatahtlike saitide kontrolli seisund (Safe Browsing), installimata värskenduste olemasolu ja pahatahtlike laienduste tuvastamine. Laiendatud režiim aktiveerib täiendavaid kontrolle phishingu, pahatahtliku tegevuse ja muude veebiohtude kaitseks ning sisaldab lisakaitset Google’i konto ja Google’i teenuste (Gmail, Drive jne) jaoks. Kui tavapärases Safe Browsing režiimis viiakse kontrollid läbi lokaalselt perioodiliselt kliendi süsteemi laaditava andmebaasi põhjal, siis laiendatud Safe Browsing režiimis saadetakse info lehtede ja allalaadimiste kohta reaalajas kontrollimiseks Google’i poole, mis võimaldab kiiresti reageerida ohtudele kohe pärast nende tuvastamist, ootamata lokaalse musta nimekirja uuendamist.
Lisatud on toe failide indikaator ".well-known/change-password", mille abil saavad veebilehe omanikud tähistada parooli vahetamise veebivormi aadressi. Kui kasutaja andmed tuvastatakse komplitseerituna, pakub Chrome nüüd kohe kasutajale parooli muutmise vormi, mis on määratud käesoleva faili teabe põhjal.
Uue «Ohutusnõuanne» teavitamiseks, mis kuvatakse, kui avatakse veebisaite, mille domeen on väga sarnane teise saidiga, ning heuristika näitab, et pettuse tõenäosus on suur (nt avatakse goog0le.com asemel google.com).
* Rakendatud on tagasi-edasi vahetuse vahemälu (Back-forward cache), mis tagab kohese navigeerimise, kui kasutatakse nuppusid «Tagasi» ja «Edasi» või kui navigeeritakse varem vaadatud lehtede vahel. Vahemälu aktiveeritakse seadistuse kaudu chrome://flags/#back-forward-cache.
Optimeeritud on CPU ressursikasutust nähtamatute akende puhul. Chrome kontrollib, kas brauseri aken ei kattuv teiste akendega, ja välistab pikslite renderdamise kattuvusalades. Antud optimeerimine oli sisse lülitatud väikese protsendi kasutajate jaoks Chrome 84 ja 85 versioonides, nüüd on see aktiveeritud laiemalt. Varasemate versioonidega võrreldes on kõrvaldatud ka ühilduvuse probleemid virtualiseerimissüsteemidega, mille tõttu kuvati tühje valgeid lehti.
Taustategevuse vahelehtede ressursside piiramist on tugevdatud. Sellised vahelehed ei saa nüüd tarbida rohkem kui 1% CPU ressursidest ja võivad aktiveeruda mitte tihedamalt kui kord minutis. Pärast viit minutit taustal viibimist külmutatakse vahelehed, välja arvatud need, kus mängitakse multimeedia sisu või toimub salvestamine.
Alustatud on tööd User-Agent HTTP-pealkirja ühtlustamise nimel. Uues versioonis on kõigile kasutajatele aktiveeritud User-Agent Client Hints mehanismi tugi, mis arendatakse välja User-Agent asendamiseks. Uus mehhanism tähendab, et spetsiifilisi andmeid brauseri ja süsteemi kohta (versioon, platvorm jne) edastatakse ainult serveri päringu järel ja annab kasutajatele võimaluse selle teabe omanikele valikuliselt edastada. User-Agent Client Hints mehanismi kasutamisel identifikaator ei edastata vaikimisi ilma selge päringuta, mis muudab passiivse identifitseerimise võimatuks (vaikimisi edastatakse ainult brauseri nimi).
Muudetud on värskenduste oleku ja brauseri taaskäivitamise vajaduse näitamist. Ajavahemiku ikooni asemel kuvab nüüd ülesanne «Update».
Tehtud on töö brauseri kaasava terminoloogia rakendamiseks. Poliitikate nimedes on sõnad "whitelist" ja "blacklist" asendatud sõnadega "allowlist" ja "blocklist" (juba lisatud poliitikad jätkavad toimimist, kuid nende jaoks kuvatakse hoiatust, et nad on vananenud). Koodis ja failinimedes on mainimised "blacklist" asendatud "blocklist". Kasutajale nähtavad mainimised "blacklist" ja "whitelist" asendati juba 2019. aasta alguses.
Lisatud on katsefunktsioon salvestatud paroolide muutmiseks, aktiveeritav lipu "chrome://flags/#edit-passwords-in-settings" abil.
Stabiilseteks ja avalikuks API-ks on muudetud Native File System, mis võimaldab luua veebirakendusi, mis suhtlevad failidega kasutaja kohalikus failisüsteemis. Näiteks võib uus API leida rakendust brauseris töötavates integreeritud arenduskeskkondades, tekstieditorites, piltide ja video redigeerimise tööriistades. Failide otse kirjutamiseks ja lugemiseks või failide avamise ja salvestamise dialoogide kasutamiseks, samuti kataloogide sisu navigeerimiseks, peab rakendus kasutajalt erikinnitust küsima.
Lisatud on CSS-selektor ":focus-visible", mis kasutab sama heuristikat, mida brauser kasutab fookusindikaatori kuvamise otsustamisel (fookuse liikumisel hiire klahvikombinatsioonide kaudu nuppu, ilmub indikaator, kuid hiirekliki korral ei ilmu). Varasemalt saadaval olnud CSS-selektor ":focus" alati rõhutab fookust. Lisaks on seadistustesse lisatud võimalus "Quick Focus Highlight", mille korral aktiivsete elementide kõrval kuvatakse täiendav fookuse indikaator, mis on nähtav isegi kui lehel CSS abil on visuaalse fookuse esitlemiseks elemendid välja lülitatud.
Origin Trials režiimis (katsefunktsioonid, mis nõuavad eraldi aktiveerimist) on lisatud mitu uut API-d. Origin Trial võimaldab töötada määratud API-ga rakendustes, mis on laaditud localhost'i või 127.0.0.1-i, või pärast registreerimist ja spetsiaalse tokeni saamist, mis kehtib piiratud aja jooksul konkreetse saidi jaoks.
WebHID API madala taseme juurdepääsu võimaldamiseks HID-seadmetele (inimese liideseadmed, klaviatuurid, hiired, mängupuldid, puuteplaadid), mis võimaldavad rakendada loogikat HID-seadmega töötamiseks JavaScriptis, et korraldada haruldaste HID-seadmete tööd ilma süsteemis spetsiaalsete draiveriteta. Eelkõige on uus API suunatud mängupultide toe pakkumisele.
Screen Information API laiendab Window Placement API võimalusi mitme ekraaniga konfiguratsioonide toetamiseks. Erinevalt window.screen'ist võimaldab uus API manipuleerida akna paigutust mitme monitoriga süsteemide ühises ekraaniruumis, ilma et oleks piiritletud praeguse ekraaniga.
Meta-silt battery-savings, mille abil veebisait saab teavitada brauserit vajadusest aktiveerida energiatarbimise vähendamise režiimid ja optimeerida CPU koormust.
COOP Reporting API teavitab võimalike rikkumiste kohta Cross-Origin-Embedder-Policy (COEP) ja Cross-Origin-Opener-Policy (COOP) isoleerimise režiimides, ilma et rakendataks tegelikke piiranguid.
Credential Management API pakub uut tüüpi krediidiandmeid PaymentCredential, mis tagab täiendava kinnituse teostatava maksetehingu kohta. Kontrolliv osapool, näiteks pank, saab genereerida avaliku võtme PublicKeyCredential, mida kaupmehe poolt saab taotleda täiendava turvalise maksekinnituse jaoks.
PointerEvents API-s on pliiatsi kalde määramiseks lisatud toetus kõrgusnurkadele (nurk pliiatsi ja ekraani vahel) ja azimuti nurkadele (nurk X-telje ja pliiatsi projektsiooni vahel ekraanile), asendades TiltX ja TiltY (nurgad pliiatsist tuleneva tasandi ja ühe telje ning Y ja Z telgede tasandi vahel). Lisaks on lisatud funktsioonid kõrguse/azimuti ja TiltX/TiltY vaheliseks teisendamiseks.
URL-is oleva tühikute kodeerimine on muutunud, omades nende arvutamisel protokolli käsitlejates — meetod navigator.registerProtocolHandler() asendab tühikud ""-ga asemel "+"-ga, mis ühtlustab käitumist teiste brauseritega, nagu Firefox.
CSS-i on lisatud pseudo-element "::marker", mis võimaldab kohandada värvi, suurust, kuju ja tüüp numbrite ja punktide jaoks loendites
Alustatud on QUIC protokolli rakendamise asendamine IETF spetsifikatsioonis arendatud variandi vastu, mitte Google'i variandi QUIC vastu.
Uues versioonis on peale uuenduste ja vigade parandamise kõrvaldatud 35 haavatavust. Paljusid haavatavusi tuvastati automatiseeritud testimise tööriistadega AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Ühte haavatavust (CVE-2020-15967, vabastatud mälu piirkonna juurde pääsemine Google Payments'i suhtlemiskoodis) peetakse kriitiliseks, st see võimaldab ringida kõigist brauseri kaitsetasemetest ja käivitada koodi süsteemis väljaspool liivakasti keskkonda. Haavatavuste leidmiseks mõeldud rahapreemia programmi raames on Google käesoleva versiooni eest välja maksnud 27 preemiat kokku 71500 USA dollarit (üks preemia $15000, kolm preemiat $7500, viis preemiat $5000, kaks $3000, üks $200 ja kaks preemiat $500). 13 preemia suurust ei ole veel määratud.
Võetud saidilt Opennet.ru
Allikas: linux.org.ru