Chrome 84 väljalase

Google'i ettevõte esitles veebibrauseri väljaanne Chrome 84. Samal ajal saadaval stabiilne vabavaraprojekt Chromium, mis on Chrome'i aluseks. Chrome'i brauser erineb Google'i logode kasutamise, krahhi korral teavituste saatmise süsteemi, Flash-mooduli allalaadimise võimaluse, kaitstud videosisu (DRM) esitamise moodulite, automaatsete värskenduste installimise süsteemi ja otsingu käigus RLZ-parameetrite edastamisega. RLZ-parameetrite. Järgmine Chrome 85 väljaanne on planeeritud 25. augustiks.

Peamised muudatused ja Chrome 84:

• Käivitatud protokollide TLS 1.0 ja TLS 1.1 toetamist. Et suhelda veebisaitidega kaitstud kanali kaudu, peab server pakkuma vähemalt TLS 1.2 tuge, vastasel juhul kuvab brauser nüüd vea. Google'i andmetel toimub praegu umbes 0,5% veebilehtede laadimist vananenud TLS-i versioonidega. Keeramine on tehtud vastavalt soovitustele IETF (Internet Engineering Task Force). TLS 1.0 ja 1.1 toe mahavõtmise põhjuseks on kaasaegsete krüptode (nt ECDHE ja AEAD) puudumine ja nõudmine toetada vanu krüptode, mille usaldusväärsus on tänapäevases arvutitehnika arengus kahtluse alla seatud (nt nõutakse TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA toetamist, terviklikkuse ja autentimise kontrollimiseks kasutatakse MD5 ja SHA-1). Seade, mis võimaldab taastada TLS 1.0 ja 1.1, jääb kehtima kuni 2021. aasta jaanuarini.
• On tagatud ebaturvalise laadimise (ilma krüptimiseta) täitmise faile ja lisati hoiatuste väljund turvamata arhiivide laadimise korral. Tulevikus plaanitakse järk-järgult täielikult lõpetada failide laadimise toetamine ilma krüptimiseta. Blokeerimine on ellu viidud, kuna failide laadimise krüptimata toimingut saab kasutada kuritegelike tegevuste läbiviimiseks, asendades sisu MITM-rünnakute käigus.
• Lisatud algne tugi tuvastaja Client Hints, mis areneb alternatiivina User-Agent päisele. Client Hints mehhanism pakub User-Agent'i asemel seeriat „Sec-CH-UA-*” päiseid, mis võimaldavad eraldatud andmete edastamist spetsiifiliste brauseri ja süsteemi parameetrite (versioon, platvorm jne) kohta ainult serveri päringu järel. Kasutaja saab määrata, millised parameetrid on lubatud edastamiseks ning eraldatud teavet veebisaidi omanikele. Client Hints'i kasutamisel ei edastata tuvastajat vaikimisi ilma selgete päringuteta, mis teeb passiivse tuvastamise võimatuks (vaikimisi näidatakse ainult brauseri nime). Töö 6TB User-Agent'i ühtlustamise nimel edasi lükatud järgmisel aastal.
• Jätkatakse hääleotsingu
  rangema piirangud küpsiste edastamista vahel saitide, mis oli tühistatud COVID-19 tõttu. Mitte-HTTPS päringute puhul on keelatud kolmandate osapoolte küpsiste töötlemine, mis on määratud külastades saite, mis erinevad praeguse lehe domeenist. Sarnaseid küpsiseid kasutatakse kasutaja liikumise jälgimiseks veebireklaami, sotsiaalmeedia vidinate ja veebianalüüsi süsteemide vahel.

  Tuletame meelde, et küpsiste edastamise haldamisel kasutatakse Set-Cookie päises määratud SameSite attribuuti, mis vaikimisi määratakse väärtusele „SameSite=Lax“, piirates küpsiste saatmist kolmanda osapoole alamkutsumiste jaoks, nagu piltide pärimine või sisu laadimine iframe'i kaudu teiselt saidilt. Veebilehed võivad vaikimisi SameSite režiimi ületada, määrates küpsiste seadistamisel selgelt väärtuse SameSite=None. Juhul kui SameSite=None väärtust võib määrata ainult turvalises režiimis (kehtib HTTPS-i ühenduste kohta). Muudatus rakendatakse järk-järgult, alguses väikese protsendi kasutajate seas ja seejärel järk-järgult ulatub laiemale ringile.

• Eksperimentaalne teostus on lisatud ressursimahuka reklaami blokeerijat, mida saab aktiveerida seadistuse „chrome://flags/#enable-heavy-ad-intervention“ abil. Blokeerija võimaldab automaatselt keelata reklaami iframe-plokid pärast liikluse ja CPU koormuse piirmäärade ületamist. Blokeering toimub, kui peamises voo režiimis on kokku kulutatud üle 60 sekundi protsessoriaega või 15 sekundi jooksul 30-sekundilises intervallis (kasutab rohkem kui 50% ressursse üle 30 sekundi), samuti kui võrgus on laaditud üle 4 MB andmeid.

  Blokeering toimub ainult juhul, kui enne piiride ületamist ei ole kasutaja reklaamiplokiga suhtlenud (näiteks ei ole sellele klikkinud), mis arvestades liikluse piiramist võimaldab keelata mahukate reklaamivideode automaatse esitamise ilma kasutaja selge aktivatsioonita. Ettepanekud vabastavad kasutajad ebaefektiivselt rakendatud koodiga või tahtliku parasiitse tegevusega reklaamidest (näiteks krüptovaluuta kaevandamine). Google'i statistika järgi moodustab blokeerimise kriteeriumitele vastav reklaam ainult 0,30% kõikidest reklaamiplokkidest, kuid samas tarbivad need reklaamisisendid 28% CPU ressurssidest ja 27% kogu reklaami liiklusest.

• Tööd on tehtud CPU ressursi tarbimise vähendamiseks, kui brauseri aken ei ole kasutaja vaateväljas. Chrome kontrollib nüüd, kas brauseri aken on teiste akende poolt varjatud, ja ei renderda pikslit nendes kattuvates piirkondades. Uue funktsiooni aktiveerimine toimub järk-järgult: valikuliselt mõne kasutaja jaoks optimeerimine lülitatakse sisse Chrome 84-s, teistel aga Chrome 85-s.
• Vaikimisi on sisse lülitatud kaitse pealetükkivate teavituste, näiteks spammivates push-teavituste taotlustes. Kuna sellised taotlused katkestavad kasutaja tööd ja häirivad tähelepanu dialoogide kinnitamiseks, kuvatakse aadressiribal eraldi dialooge asemel kasutajat mittehädavajalik teateaken, kus hoiatatakse õiguste taotluse blokeerimise tõttu, mis automaatselt kokku kukkub ikooniks, mis kujutab maha tõmmatud kella. Pärast ikoonile klikkimist saab taotletud õiguse igal sobival hetkel aktiveerida või tagasi lükata.
  
• Kasutaja valikute mäletamine on tagatud, kui avatakse väliste protokollide käsitlejad — kasutaja võib valida „igaveseks lubada sellel saidil” konkreetse käsitleja jaoks ja brauser mäletab seda otsust, seostades selle praeguse saidiga.
• Lisatud kaitse kasutaja seadete muutmise vastu ilma selgesõnalise nõusolekuta. Kui laiendus muudab pakutud vaikimisi otsingumootori või uue vahelehe kuvamiseks mõeldud lehte, toob brauser nüüd välja dialooge, kus palutakse kinnitada nimetatud toiming või tühistada muudatus.
• Jätkub rakendatakse kaitset segatud multimeedia sisu allalaadimise vastu (kui HTTPS-lehelt laaditakse ressursse http:// protokolliga). HTTPS-protokolliga avatud lehtedel asendatakse nüüd automaatselt „http://” lingid „https://” piltide laadimisega seotud plokkides (varem asendati skriptid ja iframe, helide ja videoressursside automaatne asendamine ootab järgmist väljaannet). Kui pilti ei ole saadaval HTTPS-i kaudu, siis selle allalaadimine blokeeritakse (manuaalselt saab blokeerimise märkida menüüst, mis on saadaval aadressireas asuva lukusümboli kaudu).
• Lisatud API tugi Web OTP (arendatakse SMS Vastuvõtu API), mis võimaldab korraldada veebilehe sisendit ühekordse parooli jaoks pärast SMS-sõnumi vastuvõtmist, mis sisaldab kinnituskoodi, saadetud kasutaja Android-smartfoni, kus on avatud brauser. SMS-i kinnitamist võib kasutada näiteks kasutaja registreerimisel antud telefoninumbri kontrollimiseks. Kui varem pidi kasutaja avama SMS-i rakenduse, kopeerima koodi lõikepuldist, tagasi tulema brauserisse ja selle koodi liitma, siis uus API võimaldab automatiseerida selle protsessi ja vähendada seda ühe nupuvajutuse peale.
• Liidestatud API Veebianimatsioonid
  veebianimatsioonide esituse juhtimiseks. Uues väljaandes on lisatud komposiitoperatsioonide tugi, mis võimaldab kontrollida, kuidas efektid kombineeritakse, ja pakub uusi käsitlejaid, mida kutsutakse veebisisu asendamise sündmuste ajal. API Veebianimatsioonid toetavad nüüd ka Promise'e, et määrata animatsiooni esitamise järjestust ja paremini hallata seda, kuidas animatsioon suhtleb teiste rakenduse võimalustega.
• Origin Trials režiimis (katsefunktsioonid, mis nõuavad eraldi aktiveerimist) on lisatud mitu uut API-d. Origin Trial võimaldab töötada määratud API-ga rakendustes, mis on laaditud localhost'i või 127.0.0.1-i, või pärast registreerimist ja spetsiaalse tokeni saamist, mis kehtib piiratud aja jooksul konkreetse saidi jaoks.
  • API Küpsiste salvestamine teenindustöötaja juurdepääsuks HTTP-küpsistele, mis on asünkroonne alternatiiv document.cookie kasutamisele.
  • API Ootelehe tuvastamine kasutaja tegevuse määramiseks, mis tuvastab aega, mil kasutaja ei suhtle klaviatuuri/hiirega, ekraanisäästja on aktiveeritud, ekraan on lukustatud või töö toimub teisel monitoril. Rakendus teavitatakse mitteaktiivsusest pärast määratud mitteaktiivsuse künnise saavutamist.
  • Režiim Alguse isolatsioon, võimaldab arendajal kasutada sisuhalduse täielikku isolatsiooni eraldi protsessis allika (origin — domeen+port+protokoll) seosest, mitte veebisaidi, arvelt, lõpetades mõnede aegunud funktsioonide toetamise, nagu dokument.domain kasutavad sünkroonilised skriptid ja postMessage() üleskutsed WebAssembly.Module eksemplaride vahel sõnumite saatmiseks. Teisisõnu, alguse isolatsioon võimaldab korraldada ressursi domeeni põhjal erinevate protsesside jagamist, mitte ainult veebisaidi, koos kõikide kõrvaliste elementidega lehtedel.
  • API WebAssembly SIMD vektorite SIMD-käskude kasutamiseks WebAssembly vormingus rakendustes. Platvormidevaheline ühilduvus on tagatud uue 128-bitisena andmetüübiga, mis suudab esitada erinevaid pakendatud andmete tüüpe, ning mitme aluse vektortegevuse abil pakendatud andmete töötlemiseks. SIMD võimaldab tõsta efektiivsust andmete töötlemise paralleelsuse kaudu ja on kasulik kohaliku koodi kompileerimisel WebAssembly-sse. SIMD toe lisamiseks saab kasutada seadet "chrome://flags/#enable-webassembly-simd".
• Stabiliseeritud ja nüüd jagatakse väljaspool Origin Trials
  API Sisu indekseerimine, andes metaandmeid sisu kohta, mis on varem vahemällu salvestatud veebirakenduste poolt, mis töötavad Progressiivsete Veebirakenduste (PWA) režiimis. Rakendus saab salvestada brauserisse erinevaid andmeid, sealhulgas pilte, videoid ja artikleid, ning võrguühenduse kadumise korral neid kasutada API Cache Storage ja IndexedDB abil. Sisu indekseerimise API annab võimaluse selliseid ressursse lisada, leida ja kustutada. Selles brauseris kasutatakse juba seda API lehtede ja multimeediaandmete loetlemiseks, mis on saadaval offline-režiimis.
• Stabiliseeritud API variant Wake Lock lubatud mehaanika Promise põhjal, mis tagab turvalisema viisi ekraani automaatse lukustamise juhtimiseks ja seadmete energiat säästvatesse režiimidesse viimiseks.
• Androidi platvormi versioonis lisatud rakenduse lühendite toe, mis võimaldab pakkuda kiiret juurdepääsu nõudlikule tüüpilisele tegevusele rakenduses. Lühendite loomiseks piisab elementide lisamisest progresiivsete veebirakenduste PWA manifesti.
  
• Web Workeris on lubatud API kasutamine ReportingObserver, mis võimaldab määrata töötlejat, mis genereerib aruande, kui pöördutakse vananenud võimaluste poole. Kasutaja valitud genereeritud aruanne võib olla salvestatud, serverisse saadetud või JavaScripti skripti kaudu töödeldud.
• Uuendatud API Resize Observer, mis võimaldab siduda töötlejat, kellele saadetakse teateid määratud lehe elementide suuruse muutumise kohta. ResizeObserverEntry'sse on lisatud kolm uut omadust: contentBoxSize, borderBoxSize ja devicePixelContentBoxSize, et saada üksikasjalikumat teavet, mis on antud ResizeObserverSize objektide massiividena.
• Lisatud märksõna "revert" elemendi stiili lähteseisundisse taastamiseks.
• Eemaldatud CSS omaduse "-webkit-appearance" ja "-webkit-ruby-position" eelnevad eesliited, mis on nüüd saadaval kui "appearance" ja "ruby-position«.
• JavaScriptis rakendatud toetatakse klassi meetodite ja omaduste märkimist privaatsetena, mille järel on nendele juurdepääs lubatud ainult klassi sees (varem võisid privaatsete omaduste all olla ainult väljad). Meetodite ja omaduste privaatseks märkimiseks tuleks müüda kasutada välja ees märk «#».
• JavaScriptis lisatud toetamine nõrku viiteid (weak reference) JavaScripti objektidele, mis võimaldavad objekti viit säilitada, kuid ei takista seotud objekti eemaldamist jäätmete koristaja poolt. Samuti on lisatud finajaliste toetamine, mis võimaldab määrata töötlejat, mida kutsutakse esile pärast määratud objekti jäätmete koristamise lõpetamist.
• Rakenduste käivitamist WebAssemblys on kiirus suurenenud, thanks to the initial (baseline) compiler Liftoff aatomaarsete käskudega ja mälupakettide operatsioonide. Parendatud on WebAssembly silumisseadmed, mis on oluliselt suurendanud silumise efektiivsust, kui kasutatakse peatuspunkte (varem kasutati silumisel tõlgendajat, nüüd on kasutusel kompilaator Liftoff).
• Veebiarenduse tööriistades on uuendatud performance analüüsipaneeli pphttps://developers.google.com/web/updates/2020/05/devtools. On lisatud üldine teave TBT (Total Blocking Time), mis näitab kui kaua tundub leht olevat kergesti kätte saadav, kuid tegelikult ei ole (st leht on juba joonistatud, kuid põhivoolu täitmine on endiselt blokeeritud ja andmete sisestamine ei ole võimalik). On lisatud uus sektsioon Experience metoodika analüüsimiseks CLS (Cumulative Layout Shift), mis kajastab sisu visuaalset stabiilsust. CSS-stiilide inspektsioonipaneelis on lisatud taustapiltide eelvaade, mida on määratud „background-image“ omaduse kaudu.

Lisaks uuendustele ja veaparandustele on uues versioonis elimineeritud 38 haavatavust. Paljude turvaaukude avastamine toimus automatiseeritud testimise tööriistade kaudu AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ja AFL. Üks probleem (CVE-2020-6510, mälupuhvri ülevool taustateenuste töötlejas fetch) on märgistatud kriitilisena, st see võimaldab ületada kõik brauseri kaitse tasemed ja käivitada koodi süsteemis väljaspool liivakasti keskkonda. Rikkumiste avastamise rahalise preemiate programmi raames maksis Google käesoleva versiooni tõttu 26 preemiat kokku 21500 USA dollari väärtuses (kaks preemiat $5000, kaks preemiat $3000, üks preemia $2000, kaks preemiat $1000 ja kolm preemiat $500). 16 preemia suurus pole hetkel määratletud.

Allikas: opennet.ru