Chrome 86

Objavljen je novi izdanak Chromea 86 i stabilno izdanje Chromiuma.

Glavne promjene u Chromeu 86:

• zaštita od nesigurne slanja obrazaca unosa na stranicama učitanim putem HTTPS-a, ali šalje podatke putem HTTP-a.
• Blokiranje nesigurnog preuzimanja (http) izvršnih datoteka je dopunjeno blokiranjem nesigurnog preuzimanja arhiva (zip, iso itd.) te prikazivanjem upozorenja prilikom nesigurnog preuzimanja dokumenata (docx, pdf itd.). U sljedećem izdanju očekuje se blokiranje dokumenata i prikaz upozorenja za slike, tekstualne i multimedijske datoteke. Blokada je provedena jer se preuzimanje datoteka bez enkripcije može koristiti za izvršenje zlonamjernih radnji putem zamjene sadržaja tijekom MITM napada.
• U kontekstnom izborniku prema zadanim postavkama prikazana je opcija 'Uvijek prikazuj URL u cijelosti', za koju je ranije bilo potrebno mijenjati postavke na stranici about:flags. Cijeli URL također se može vidjeti dvostrukim klikom na adresnu traku. Podsjećamo, od Chromea 76, adresa se prema zadanim postavkama počela prikazivati bez protokola i poddomene www. U Chromeu 79 uklonjena je opcija za vraćanje starog ponašanja, no nakon nezadovoljstva korisnika u Chromeu 83 dodana je nova eksperimentalna zastavica koja dodaje stavku u kontekstni izbornik za isključivanje skrivanja i prikazivanja cijelog URL-a pod svim uvjetima.
  Za mali postotak korisnika pokrenut je eksperiment koji prema zadanim postavkama prikazuje samo domenu u adresnoj traci, bez elemenata puta i parametara upita. Na primjer, umjesto "https://example.com/secure-google-sign-in/" bit će prikazano 'example.com'. Očekuje se da će uvedeni režim biti dostupan svim korisnicima u jednom od sljedećih izdanja. Da biste isključili navedeno ponašanje, možete koristiti opciju 'Uvijek prikazuj URL u cijelosti', a za pregled cijelog URL-a možete kliknuti na adresnu traku. Kao motivacija za promjenu navodi se želja za zaštitom korisnika od phishinga, koji manipulira parametrima u URL-u – napadači se koriste nepažnjom korisnika kako bi stvorili dojam otvaranja druge stranice i izvršili prijevarne radnje (dok takve zamjene za tehnički potkovane korisnike odmah upadaju u oči, neiskusni laici lako se daju zavarati ovim jednostavnim manipulacijama).
• Ponovno je pokrenuta inicijativa za uklanjanje podrške za FTP. U Chrome 86 FTP je prema zadanim postavkama onemogućen za otprilike 1% korisnika, dok će u Chrome 87 opseg onemogućavanja biti povećan na 50%, ali se podrška može ponovo aktivirati pomoću opcije "—enable-ftp" ili "—enable-features=FtpProtocol". U Chrome 88 podrška za FTP bit će potpuno onemogućena.
• U verziji za Android, slično kao u verziji za desktop sustave, u upravitelju lozinki implementirana je provjera sačuvanih korisničkih imena i lozinki prema bazi kompromitiranih računa, s upozorenjem u slučaju otkrivanja problema ili pokušaja korištenja trivijalnih lozinki. Provjera se vrši prema bazi koja obuhvaća više od 4 milijarde kompromitiranih računa koji su bili uključeni u provale korisničkih baza. Radi očuvanja privatnosti koristi se provjera hash prefiksa na strani korisnika, a sami lozinke i njihovi puni hash-evi se ne šalju van.
• U verziju za Android također su перенесены gumb „Provjera sigurnosti” (Safety check) i prošireni režim zaštite od opasnih stranica (Enhanced Safe Browsing). Gumb „Safety check” prikazuje sažetak mogućih sigurnosnih problema, kao što su korištenje kompromitiranih lozinki, stanje provjere zaraženih stranica (Safe Browsing), prisutnost neinstaliranih ažuriranja i otkrivanje zaraženih dodataka. Prošireni režim zaštite aktivira dodatne provjere za zaštitu od phishinga, zlonamjerne aktivnosti i drugih prijetnji na Webu, a također uključuje dodatnu zaštitu za Google račun i Google usluge (Gmail, Drive itd.). Ako se u običnom režimu Safe Browsing provjere obavljaju lokalno prema povremeno učitavanoj bazi podataka na klijentskom sustavu, onda u Enhanced Safe Browsing informacije o stranicama i preuzimanjima u realnom vremenu se šalju na provjeru s Google-a, što omogućava brzo reagiranje na prijetnje odmah nakon njihovog otkrivanja, ne čekajući da se ažurira lokalna crna lista.
• Dodana je podrška za datoteku-indikator ".well-known/change-password", pomoću koje vlasnici web stranica mogu odrediti adresu web forme za promjenu lozinke. U slučaju otkrivanja kompromitacije korisničkih podatka, Chrome sada odmah nudi korisniku formu za promjenu lozinke, određenu na temelju informacija iz ove datoteke.
• Implementirano je novo upozorenje „Safety Tip“ koje se prikazuje prilikom otvaranja web stranica čiji su domeni vrlo slični drugim sajtovima, a heuristika ukazuje na veliku vjerojatnost prevara (npr. otvoren je goog0le.com umjesto google.com).

  * Implementirana je podrška za predmemoriju povratka (Back-forward cache) koja omogućava trenutni povratak koristeći dugmad „Nazad“ i „Naprijed“ ili tokom navigacije kroz ranije pregledane stranice trenutne web stranice. Keš se aktivira putem podešavanja chrome://flags/#back-forward-cache.
• Optimizacija potrošnje CPU resursa za prozore izvan vidnog polja. Chrome provjerava je li prozor preglednika prekriven drugim prozorima i isključuje iscrtavanje piksela u područjima preklapanja. Ova optimizacija je bila omogućena za mali postotak korisnika u Chrome 84 i 85, a sada je aktivirana svuda. U poređenju s prethodnim izdanjima, takođe je uklonjena nespojivost s virtuelizacijskim sistemima zbog koje su se prikazivale prazne bijele stranice.
• Ojačano je ograničenje resursa za pozadinske kartice. Takve kartice sada ne mogu potrošiti više od 1% CPU resursa i mogu se aktivirati najviše jednom u minuti. Nakon pet minuta boravka u pozadini, kartice se zamrzavaju, osim kartica na kojima se reprodukuje multimedijski sadržaj ili se snima.
• Nastavljen je rad na unifikaciji HTTP zaglavlja User-Agent. U novoj verziji aktivirana je podrška za mehanizam User-Agent Client Hints za sve korisnike, razvijen kao zamjena za User-Agent. Novi mehanizam podrazumijeva selektivno davanje podataka o specifičnim parametrima preglednika i sustava (verzija, platforma itd.) samo nakon zahtjeva servera, što korisnicima omogućava da selektivno pružaju takve informacije vlasnicima web stranica. Kada se koristi User-Agent Client Hints, identifikator se prema zadanim postavkama ne šalje bez izričitog zahtjeva, što onemogućava pasivnu identifikaciju (prema zadanim postavkama se navodi samo naziv preglednika).
  Promijenjena je indikacija dostupnosti ažuriranja i potrebe za ponovnim pokretanjem preglednika radi njegove instalacije. Umjesto obojene strelice u polju profila računa, sada se prikazuje natpis „Update“.
• Završen je rad na prevođenju preglednika koristeći inkluzivnu terminologiju. U nazivima politika, pojmovi „whitelist” i „blacklist” zamijenjeni su s „allowlist” i „blocklist” (politike koje su već dodane nastavit će raditi, ali će se za njih prikazivati upozorenje o prebacivanju u status zastarjelih). U kodu i nazivima datoteka spominjanja „blacklist” zamijenjena su s „blocklist”. Vidljiva spominjanja „blacklist” i „whitelist” zamijenjena su još početkom 2019. godine.
  Dodana je eksperimentalna mogućnost uređivanja sačuvanih lozinki, aktivirajući je pomoću oznake „chrome://flags/#edit-passwords-in-settings”.
• API Native File System preveden je u stabilnu i javnu verziju, omogućavajući kreiranje web-aplikacija koje komuniciraju s datotekama u lokalnom datotečnom sustavu. Na primjer, novi API može biti koristan u integriranim razvojnim okruženjima, uređivačima teksta, slika i videa pokrenutima u pregledniku. Da bi se omogućilo izravno pisanje i čitanje datoteka ili korištenje dijaloga za otvaranje i spremanje datoteka, kao i navigaciju kroz sadržaj direktorija, aplikacija traži posebno potvrđivanje od korisnika.
• Dodani su CSS selektor ":focus-visible", koji koristi istu heuristiku koju preglednik koristi prilikom odlučivanja o prikazu indikatora promjene fokusa (kada se fokus pomiče na gumb kombinacijama tipkovnice, indikator se pojavljuje, dok se pri kliku mišem ne prikazuje). Prije dostupni CSS selektor ":focus" uvijek označava fokus. Osim toga, u postavke je dodana opcija „Quick Focus Highlight”, koja, kada je uključena, prikazuje dodatni indikator fokusa pored aktivnih elemenata, koji ostaje vidljiv čak i kada su na stranici putem CSS-a isključeni stilovi za vizualno isticanje fokusa.
• U režimu Origin Trials (eksperimentalne mogućnosti koje zahtijevaju zasebnu aktivaciju) dodano je nekoliko novih API-ja. Origin Trial podrazumijeva mogućnost rada s navedenim API-jima iz aplikacija učitanih s localhosta ili 127.0.0.1, ili nakon prolaska registracije i dobivanja specijalnog tokena koji djeluje ograničeno vrijeme za određenu stranicu.
• API WebHID za niskonivinski pristup HID uređajima (Human interface device, tipkovnice, miševi, gamepadi, dodirne ploče), omogućuje implementaciju logike za rad s HID uređajem na JavaScriptu radi organizacije rada s rijetkim HID uređajima bez potrebe za specifičnim upravljačkim programima u sustavu. Prije svega, novi API fokusira se na pružanje podrške gamepadima.
• API Screen Information proširuje mogućnosti API Window Placement podrškom za višestruke ekrane. Za razliku od window.screen, novi API omogućuje manipulaciju položajem prozora u zajedničkom ekran prostoru sustava s više monitora, bez ograničavanja na trenutni ekran.
• Meta oznaka battery-savings omogućava web stranici da obavijesti preglednik o potrebi aktivacije načina smanjenja potrošnje energije i optimizacije opterećenja CPU-a.
• API COOP Reporting informira o potencijalnim kršenjima režima izolacije Cross-Origin-Embedder-Policy (COEP) i Cross-Origin-Opener-Policy (COOP) bez primjene stvarnih ograničenja.
• API Credential Management uvodi novi tip vjerodajnica PaymentCredential, koji osigurava dodatno potvrđivanje izvršne transakcije. Provjeravajuća strana, na primjer, banka, može generirati javni ključ PublicKeyCredential koji može biti zatražen od strane prodavača za dodatno sigurno potvrđivanje plaćanja.
• API PointerEvents dodaje podršku za kut nagiba olovke* s definicijom kutova visine (kut između olovke i ekrana) i azimuta (kut između osi X i projekcije olovke na ekran), umjesto kutovaTiltX i TiltY (kutovi između ravnine olovke i jedne od osi i ravnine osi Y i Z). Također su dodane funkcije za konverziju između visine/azimuta i TiltX/TiltY.
• Promijenjeno je kodiranje razmaka u URL-u, pri njegovom izračunavanju u obradi protokola — metoda navigator.registerProtocolHandler() sada zamjenjuje razmake sa „“ umjesto „+“, što usklađuje ponašanje s drugim preglednicima, poput Firefoxa.
• U CSS je dodan pseudo-element "::marker", što omogućava postavljanje boje, veličine, oblika i tipa brojeva i točaka za nabrajanja u blokovima
  i
  .
  1. Dodana je podrška za HTTP zaglavlje Document-Policy, koje omogućava postavljanje pravila pristupa dokumentima, slično mehanizmu izolacije sandbox za iframe, ali univerzalnijem. Na primjer, putem Document-Policy može se ograničiti korištenje nekvalitetnih slika, onemogućiti spori JavaScript API, postaviti pravila za učitavanje iframe, slika i skripti, ograničiti ukupnu veličinu dokumenta i promet, zabraniti metode koje dovode do ponovnog iscrtavanja stranice, isključiti funkciju Scroll-To-Text.
  2. Elementu
     dodana je podrška za opcije ‘inline-grid’, ‘grid’, ‘inline-flex’ i ‘flex’, zadane putem CSS svojstva ‘display’.
  3. Dodana je metoda ParentNode.replaceChildren() za zamjenu svih dječjih elemenata roditeljskog čvora s drugim DOM čvorom. Ranije se mogla koristiti kombinacija metoda node.removeChild() i node.append() ili node.innerHTML i node.append() za zamjenu čvorova.
  4. Proširen je opseg URL shema koje su dopuštene za prepisivanje pomoću registerProtocolHandler(). Na popis shema dodani su decentralizirani protokoli cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns i ssb, što omogućava definiranje veza na elemente neovisno o web stranicama ili pristupnim točkama koje pružaju resurse.
  5. U API Asynchronous Clipboard dodana je podrška za format text/html za kopiranje i umetanje HTML-a putem međuspremnika (prilikom zapisivanja i čitanja u međuspremniku vrši se čišćenje opasnih HTML struktura). Ova promjena, na primjer, omogućava organizaciju umetanja i kopiranja formatiranog teksta s slikama i vezama u web urednicima.
  6. U WebRTC dodana je mogućnost povezivanja vlastitih obrađivača podataka, koji se pozivaju u fazama kodiranja ili dekodiranja WebRTC MediaStreamTrack. Na primjer, navedena mogućnost može se iskoristiti za dodavanje podrške za end-to-end šifriranje podataka koji se prenose kroz posredničke servere.
     U JavaScript engineu V8 implementacija Number.prototype.toString ubrzana je za 75%. U asinkrone klase dodano je svojstvo .name s praznom vrijednosti. Uklonjena je metoda Atomics.wake, koja je ranije preimenovana u Atomics.notify radi usklađivanja sa specifikacijom ECMA-262. Otvoren je kod alata za fuzzing testiranje JS-Fuzzer.
  7. U prethodnoj verziji inicialnog (baseline) kompajlera Liftoff za WebAssembly uključena je mogućnost korištenja vektorskih instrukcija SIMD za ubrzanje izračuna. Sudjudći prema testovima, optimizacija je omogućila ubrzanje prolazaka nekih testova 2.8 puta. Druga optimizacija značajno je ubrzala poziv funkcija u JavaScript-u koje su uvezene iz WebAssembly.
  8. Prošireni su alati za web programere: Na Media panelu dodane su informacije o reproduktorima koji se koriste za reprodukciju videa na stranici, uključujući podatke o događajima, logove, vrijednosti svojstava i parametre dekodiranja okvira (na primjer, moguće je identificirati uzroke gubitka okvira i problema pri interakciji iz JavaScript-a).
  9. U kontekstnom izborniku panela Elementi dodana je mogućnost izrade snimaka odabranog elementa (na primjer, možete napraviti snimak sadržaja ili tablice).
  10. U web konzoli panel s upozorenjem o problemima zamijenjen je običnom porukom, a problemi s vanjskim kolačićima skrivaju se prema zadanim postavkama na kartici Problemi i uključuju se posebnim okvirom.
  11. Na kartici Renderiranje dodano je dugme 'Onemogući lokalne fontove', koje omogućava simulaciju nedostatka lokalnih fontova, a na kartici Senzori dostupna je opcija za simulaciju neaktivnosti korisnika (za aplikacije koje koriste API Idle Detection).
  12. U panelu Aplikacija pružene su detaljne informacije o svakom iframe-u, otvorenom prozoru i pop-up-ima, uključujući podatke o izolaciji Cross-Origin pomoću COEP-a i COOP-a.

  Započela je zamjena implementacije protokola QUIC s varijantom koja se razvija u specifikaciji IETF, umjesto Google-ove verzije QUIC.
  Osim novina i ispravka grešaka, nova verzija eliminirala je 35 ranjivosti. Mnoge od ranjivosti otkrivene su automatiziranim testiranjem alatima AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Jedna ranjivost (CVE-2020-15967, pristup oslobođenom području memorije u kodu za interakciju s Google Payments) označena je kao kritična, tj. omogućava zaobilaženje svih razina zaštite preglednika i izvršavanje koda u sustavu izvan sandbox okruženja. U okviru programa isplate novčanih nagrada za otkrivanje ranjivosti za ovu verziju, tvrtka Google isplatila je 27 nagrada u iznosu od 71.500 američkih dolara (jedna nagrada od 15.000 dolara, tri nagrade od 7.500 dolara, pet nagrada od 5.000 dolara, dvije od 3.000 dolara, jedna od 200 dolara i dvije nagrade od 500 dolara). Iznos 13 nagrada još nije utvrđen.

  Preuzeto sa Opennet.ru

  Izvor: linux.org.ru