La société Google la sortie du navigateur web . En même temps version stable du projet open source , qui sert de base à Chrome. Le navigateur Chrome par l'utilisation des logos Google, la présence d'un système d'envoi de notifications en cas de crash, la possibilité de télécharger le module Flash sur demande, des modules pour la lecture de contenu vidéo protégé (DRM), un système de mise à jour automatique et la transmission lors des recherches . En raison du passage des développeurs au travail à domicile en raison de la pandémie de coronavirus SARS-CoV-2, la sortie de Chrome 82 a été . La prochaine version de Chrome 84 est prévue pour le 14 juillet.
:
- activation massive (DoH, DNS over HTTPS) sur les systèmes des utilisateurs dont les paramètres système indiquent des fournisseurs DNS prenant en charge DoH (DoH du même fournisseur DNS sera activé). Par exemple, si un utilisateur a le DNS 8.8.8.8 dans ses paramètres système, le service DoH de Google (« https://dns.google.com/dns-query ») sera activé dans Chrome, si le DNS est 1.1.1.1, le service DoH de Cloudflare (« https://cloudflare-dns.com/dns-query ») le sera également, etc. Pour éviter les problèmes de résolution des réseaux intranet d'entreprise, DoH n'est pas utilisé pour identifier l'utilisation du navigateur dans les systèmes gérés de manière centralisée. DoH est également désactivé en présence de systèmes de contrôle parental.
La gestion de l'activation de DoH et du changement de fournisseur DoH se fait via le configurateur standard. - Une proposition a été faite design des formulaires web qui ont été optimisés pour une utilisation sur des écrans tactiles et des systèmes pour personnes handicapées. Le design a été optimisé par Microsoft dans le cadre du développement du navigateur Edge et a été intégré dans la base de code principale de Chromium. Auparavant, certains éléments de formulaire étaient conçus pour s'adapter aux éléments des systèmes d'exploitation, tandis que d'autres suivaient les styles les plus populaires. Cela a conduit à des éléments différents selon leur compatibilité avec les écrans tactiles, les systèmes pour personnes handicapées et la navigation au clavier. L'objectif de la révision était d'unifier le design des éléments de formulaire et d'éliminer les incohérences de style.
- Le design de la section des paramètres « Confidentialité et sécurité » a été modifié, de nouveaux outils pour la gestion de la sécurité. Les paramètres sont maintenant plus faciles à trouver et leur essence plus simple à comprendre. Quatre sections de base ont été proposées, rassemblant des outils liés à l'effacement de l'historique, à la gestion des cookies et des données des sites, aux modes de sécurité et aux restrictions ou autorisations liées à des sites spécifiques. L'utilisateur peut rapidement activer le blocage des cookies tiers pour le mode incognito ou pour tous les sites, ou bloquer tous les cookies pour un site spécifique. Un nouveau design est inclus uniquement sur les systèmes de certaines personnes, les autres peuvent activer les paramètres via « chrome://flags/#privacy-settings-redesign ».
Les paramètres spécifiques aux sites sont groupés — accès à la localisation, à la caméra, au microphone, aux notifications et à l'envoi de données en arrière-plan. Une section avec des paramètres supplémentaires pour bloquer JavaScript, les images et les redirections sur certains sites est également proposée. La dernière action de l'utilisateur, liée à la modification des autorisations, est mise en avant.
- En mode incognito, le blocage de tous les cookies installés par des sites tiers, y compris ceux des réseaux publicitaires et des systèmes d'analyse web, est activé par défaut. Une interface avancée pour contrôler l'installation des cookies sur les sites est également proposée. Pour la gestion, des drapeaux « chrome://flags/#improved-cookie-controls » et « chrome://flags/#improved-cookie-controls-for-third-party-cookie-blocking » sont prévus. Après l'activation du mode, une nouvelle icône apparaît dans la barre d'adresse, sur laquelle il est possible de cliquer pour afficher le nombre de cookies bloqués et désactiver le blocage. On peut voir quels cookies sont autorisés ou bloqués pour le site actuel dans la section « Cookies » du menu contextuel, accessible en cliquant sur le symbole du cadenas dans la barre d'adresse, ou dans les paramètres.
- Dans les paramètres, un nouveau bouton « Vérification de sécurité » (Safety check) est proposé, fournissant un résumé des problèmes de sécurité potentiels, tels que l'utilisation de mots de passe compromis, l'état de la vérification des sites malveillants (Safe Browsing), la présence de mises à jour non installées et l'identification d'extensions malveillantes.
- une fonctionnalité a été ajoutée au gestionnaire de mots de passe tous les identifiants et mots de passe sauvegardés d'une base de comptes compromis avec un avertissement en cas de problème détecté (la vérification est effectuée sur la base d'une correspondance de préfixe de hachage côté utilisateur, les mots de passe eux-mêmes et leurs hachages complets ne sont pas transmis à l'extérieur). La vérification est effectuée sur une base couvrant plus de 4 milliards de comptes compromis qui ont figuré dans des fuites de bases de données utilisateur. Un avertissement est également affiché en cas de tentative d'utilisation de mots de passe trivials, tels que « abc123 ».
- mode de protection avancé contre les sites dangereux (Enhanced Safe Browsing), qui active des vérifications supplémentaires pour se protéger contre le phishing, les activités malveillantes et autres menaces sur le Web. Une protection supplémentaire est également appliquée pour le compte Google et les services Google (Gmail, Drive, etc.). Si dans le mode Safe Browsing normal les vérifications sont effectuées localement à partir d'une base de données téléchargée périodiquement sur le système client, dans Enhanced Safe Browsing, les informations sur les pages et les téléchargements en temps réel sont envoyées au service Google Safe Browsing pour vérification côté Google, ce qui permet de répondre rapidement aux menaces dès leur détection, sans attendre la mise à jour de la liste noire locale.
Pour accélérer le fonctionnement, une vérification préliminaire est prise en charge via des listes blanches, qui contiennent des hachages de milliers de sites populaires de confiance. Si le site ouvert n'est pas dans la liste blanche, le navigateur vérifie l'URL sur le serveur Google en transmettant les 32 premiers bits du hachage SHA-256 du lien, avec suppression des données personnelles possibles. Selon Google, cette nouvelle approche permet d'améliorer de 30 % l'efficacité de l'affichage des avertissements pour les nouveaux sites de phishing.
- Au lieu du maintien automatique des icônes des extensions à côté de la barre d'adresse, un nouveau menu, identifié par une icône de puzzle, a été mis en place, listant toutes les extensions disponibles et leurs autorisations. Après l'installation d'une extension, l'utilisateur doit maintenant activer explicitement son épinglage sur la barre d'icônes, tout en évaluant les autorisations fournies par l'extension. Pour éviter de perdre l'extension, un indicateur d'information sur la nouvelle extension s'affiche immédiatement après l'installation. Ce nouveau menu est activé par défaut pour un certain pourcentage d'utilisateurs ; les autres peuvent l'activer via le paramètre « chrome://flags/#extensions-toolbar-menu ».
- Un paramètre « chrome://flags/#omnibox-context-menu-show-full-urls » a été ajouté, permettant, lorsqu'il est activé, d'ajouter l'option « Toujours afficher les URL en entier » dans le menu contextuel de la barre d'adresse, empêchant la déformation des URL. Rappelons qu'avec Chrome 76, la barre d'adresse était par défaut configurée pour afficher des liens sans « https:// », « http:// » et « www. ». Pour désactiver ce comportement, un paramètre a été prévu, mais il a été supprimé dans Chrome 79, laissant les utilisateurs sans la possibilité d'afficher l'URL complète dans la barre d'adresse.
- La fonction de regroupement des onglets (« chrome://flags/#tab-groups ») a été activée pour tous les utilisateurs, permettant de regrouper plusieurs onglets similaires en groupes visuellement séparés. Chaque groupe peut avoir sa propre couleur et son nom. De plus, une fonctionnalité expérimentale de rétraction et d'expansion des groupes a été proposée, bien qu'elle ne fonctionne pas encore sur tous les systèmes. Par exemple, plusieurs articles non lus peuvent temporairement être repliés, ne laissant qu'une étiquette pour ne pas prendre de place lors de la navigation, et ils peuvent être restaurés lors du retour à la lecture. Pour activer le mode, un paramètre « chrome://flags/#tab-groups-collapse » est proposé.
- L'affichage par défaut des avertissements lors de la tentative (sans cryptage) d'exécutables via des liens depuis des pages HTTPS (avec Chrome 84, les téléchargements d'exécutables seront bloqués, et un avertissement sera émis pour les archives). Il est noté que le téléchargement de fichiers sans cryptage peut être utilisé pour mener des activités malveillantes via la substitution de contenu lors d'attaques MITM. De plus, le téléchargement de fichiers initié depuis des blocs iframe isolés.
- Lors de l'activation de Adobe Flash, un avertissement a été ajouté concernant la fin de la prise en charge de cette technologie en décembre 2020.
- La technologie a été mise en œuvre , permettant de bloquer les manipulations du DOM, entraînant des scripts intersites (DOM XSS), par exemple, lors d'un traitement incorrect des données obtenues de l'utilisateur dans des blocs eval() ou des insertions « .innerHTML », ce qui peut entraîner l'exécution de code JavaScript dans le contexte d'une page donnée. Les Trusted types nécessitent un prétraitement des données avant leur passage à des fonctions à risque. Par exemple, lorsque Trusted types est activé, l'exécution de « anElement.innerHTML = location.href » entraînera une erreur et nécessitera l'utilisation d'objets spéciaux TrustedHTML ou TrustedScript lors de l'attribution. L'activation des Trusted Types se fait via CSP (Content-Security-Policy).
- de nouveaux en-têtes HTTP Cross-Origin-Embedder-Policy et Cross-Origin-Opener-Policy, permettant d'activer un mode d'isolement cross-origin particulier pour une utilisation sécurisée sur la page d'opérations privilégiées, telles que SharedArrayBuffer, Performance.measureMemory() et les API de profilage, qui peuvent être utilisées pour mener des attaques par canaux latéraux, comme Spectre. Le mode d'isolement cross-origin ne permet également pas de modifier la propriété document.domain.
- Une nouvelle mise en œuvre du système d'inspection des accès aux ressources réseau a été proposée — OOR-CORS (Out-Of-Renderer Cross-Origin Resource Sharing). L'ancienne mise en œuvre ne pouvait inspecter que les composants principaux du moteur Blink, XHR et l'API Fetch, mais ne couvrait pas les requêtes HTTP effectuées à partir de certains modules internes. La nouvelle mise en œuvre résout ce problème.
- En mode Origin Trials (fonctionnalités expérimentales nécessitant une activation distincte), plusieurs nouvelles API ont été ajoutées. L'Origin Trial permet aux applications chargées depuis localhost ou 127.0.0.1 d'accéder à l'API spécifiée, ou d'accéder à l'API après enregistrement et obtention d'un jeton spécial, valable pour une durée limitée pour un site spécifique.
- API , permettant de créer des applications web interagissant avec des fichiers dans le système de fichiers local. Par exemple, la nouvelle API pourrait être demandée dans des environnements de développement intégrés, des éditeurs de texte, d'images et de vidéos exécutés dans le navigateur. Pour obtenir la possibilité de lire et d'écrire des fichiers directement, d'utiliser des dialogues pour ouvrir et sauvegarder des fichiers, ainsi que de naviguer dans le contenu des répertoires, l'application demande une confirmation spéciale à l'utilisateur.
- Méthode pour évaluer la consommation de mémoire lors du traitement d'une application web ou d'une page web. Peut être utilisé pour analyser et optimiser la consommation de mémoire dans les applications web, ainsi que pour identifier une croissance régressive de la consommation de mémoire.
- Méthode pour planifier l'exécution de tâches (appel de rappel JavaScript) avec différents niveaux de priorité (blocage de l'interaction utilisateur, création de changements visibles et travaux en arrière-plan). L'objet TaskController peut être utilisé pour modifier la priorité et annuler les tâches.
- API , permettant aux applications de créer leurs propres gestionnaires de données utilisés lors du codage et du décodage de WebRTC MediaStreamTrack. Par exemple, l'API peut être utilisée pour organiser le chiffrement de bout en bout des flux transmis via un serveur de transit.
- Une API a été ajoutée : pour détecter et décoder les codes-barres dans une image donnée. L'API fonctionne uniquement sur les appareils Android avec le package Google Play Services installé.
- Méta-tag ajouté , permettant au site d'assurer une prise en charge complète du thème sombre sans utiliser de transformations CSS.
- Ajout de la possibilité d'utiliser des modules JavaScript dans .
- Dans IndexedDB, ajouté un nouvel argument
«durability», permettant de gérer la vidange des données sur le stockage. En passant la valeur «relaxed» au lieu du mode «strict» par défaut, il est possible de sacrifier la fiabilité au profit de la performance (auparavant, Chrome vidait toujours les données sur le disque après chaque écriture de transaction). - Dans selector(), la fonction @supports a été ajoutée, permettant de vérifier la disponibilité des sélecteurs CSS (par exemple, il est possible de vérifier d’abord la disponibilité d'un sélecteur avant de lier des styles CSS).
@supports selector(::before) {
div { background: green };
} - Dans Intl.DateTimeFormat, la propriété fractionalSecondDigits pour configurer le format d'affichage des fractions de seconde.
- Dans le moteur V8, le suivi d'ArrayBuffer dans le ramasse-miettes. Pour les modules WebAssembly, il est permis de demander jusqu'à 4 Go de mémoire.
- nouveaux outils pour les développeurs web. Par exemple, un mode d'émulation de la perception de la page par des personnes ayant une vision affaiblie et diverses formes de daltonisme a été ajouté. Un mode d'émulation du changement de locale, dont le changement affecte l'API Intl.*, *.prototype.toLocaleString, navigator.language, Accept-Language, etc., a également été ajouté.
Dans l'interface d'inspection de l'activité réseau, un débogueur COEP (Cross-Origin Embedder Policy) a été ajouté, permettant d’évaluer les raisons du blocage des ressources lors du chargement. Un mot-clé cookie-path a été ajouté pour filtrer les requêtes où le cookie est lié à un certain .
Un mode d'ancrage des outils de développement a été ajouté sur le côté gauche de l'écran.
L'interface de suivi des scripts JavaScript dans des délais prolongés a été retravaillée.
- En raison de l'infection COVID-19, certains changements prévus ont été reportés. Par exemple, code pour travailler avec FTP indéfiniment. prise en charge des protocoles TLS 1.0/1.1 jusqu'à la sortie de Chrome 84. Initiale
le support de l'identifiant Client Hints (alternative à User-Agent) également avant Chrome 84. Le travail sur a été reporté à l'année prochaine.
En plus des nouveautés et des corrections de bogues, la nouvelle version corrige . De nombreuses vulnérabilités ont été identifiées grâce à des tests automatisés réalisés avec des outils , , , et . Aucune problématique critique permettant de contourner tous les niveaux de protection du navigateur et d'exécuter du code dans le système en dehors d'un environnement sandbox n'a été identifiée. Dans le cadre du programme de récompenses pour la découverte de vulnérabilités pour la version actuelle, Google a versé 28 primes totalisant 76 000 dollars (une prime de 20 000 $, une prime de 10 000 $, deux primes de 7 500 $, deux primes de 5 000 $, deux primes de 3 000 $, deux primes de 2 000 $, deux primes de 1 000 $ et huit primes de 500 $). Le montant de 7 récompenses n'a pas encore été déterminé.
Source : opennet.ru
