🥇Izdanja Chrome 86

Dodana je zaštita od nesigurnog slanja obrazaca za unos na stranicama učitanim putem HTTPS-a, ali koje šalju podatke putem HTTP-a, što stvara opasnost od presretanja i zamjene podataka tijekom MITM napada. Zaštita se sastoji od tri promjene:

Isključeno je automatsko popunjavanje svih mješovitih obrazaca za unos, slično načinu na koji je davno isključeno automatsko popunjavanje obrazaca za autentikaciju na stranicama otvorenim putem HTTP-a. Ako je ranije znak za isključivanje bila otvorena stranica s obrascem putem HTTPS-a ili HTTP-a, sada se uzima u obzir i korištenje šifriranja prilikom slanja podataka obrađivaču obrasca. Rad menadžera lozinki za mješovite obrasce za autentikaciju nije isključen, jer je rizik od korištenja nesigurne lozinke i ponovne primjene lozinki na različitim web stranicama veći od rizika od potencijalnog presretanja prometa.
Pri početku unosa u mješovitim obrascima osigurano je prikazivanje upozorenja koje informira korisnika o slanju popunjenih podataka putem nezaštićenog komunikacijskog kanala.
Pri pokušaju slanja mješovitog obrasca prikazuje se zasebna stranica s obavijesti o potencijalnom riziku od slanja podataka putem nezaštićenog komunikacijskog kanala. U prethodnim verzijama za označavanje mješovitih obrazaca korišten je indikator brave u adresnoj traci, no takva oznaka nije bila očita korisnicima i nije učinkovito odražavala nastale rizike.

Blokiranje nezaštićenog preuzimanja (bez šifriranja) izvršnih datoteka dopunjeno je blokiranjem nesigurnog preuzimanja arhiva (zip, iso itd.) i prikazom upozorenja prilikom nesigurnog preuzimanja
dokumenata (docx, pdf itd.). U sljedećem izdanju očekuje se blokiranje dokumenata i prikaz upozorenja za slike, tekstualne i multimedijalne datoteke. Blokada je provedena, jer preuzimanje datoteka bez šifriranja može se koristiti za izvršavanje zlonamjernih radnji putem zamjene sadržaja tijekom MITM napada.

U kontekstnom izborniku po defaultu je prikazana opcija „Uvijek prikazuj URL u cijelosti”, za uključivanje koje je ranije bilo potrebno izmijeniti postavke na stranici about:flags. Cijeli URL također se može pregledati dvostrukim klikom na adresnu traku. Podsjećamo, od Chrome 76 po defaultu adresa se počela prikazivati bez protokola i poddomene www. U Chrome 79 uklonjena je postavka za vraćanje starog ponašanja, ali nakon nezadovoljstva korisnika u Chrome 83 dodana je nova eksperimentalna zastavica koja dodaje stavku u kontekstni izbornik za isključivanje skrivanja i prikazivanja pune URL adrese u svim uvjetima.

Za mali postotak korisnika pokrenut je eksperiment o prikazu po defaultu u adresnoj traci samo domena, bez elemenata putanje i upitnih parametara. Na primjer, umjesto „https://example.com/secure-google-sign-in/“ bit će prikazano „example.com“. Njegovo uvođenje svim korisnicima očekuje se u jednom od sljedećih izdanja. Za isključivanje navedenog ponašanja može se koristiti opcija „Uvijek prikazuj URL potpuno“, a za prikaz cijelog URL-a može se kliknuti na adresnu traku. Kao razlog promjene navodi se želja da se zaštite korisnici od phishinga koji manipuliše parametrima u URL-u — zlonamjernici koriste nepažnju korisnika kako bi stvorili iluziju otvaranja druge web stranice i izvršili prevarantske radnje (dok takvi zamjenski pokušaji padaju u oči tehnički pismenim korisnicima, na neoprezne potrošače lako se daju primiti ovakve jednostavne manipulacije).

Ponovno je pokrenuta inicijativa za uklanjanje podrške za FTP. U Chrome 86 FTP je onemogućen po defaultu za otprilike 1% korisnika, a u Chrome 87 opseg onemogućavanja bit će povećan na 50%, no podršku će biti moguće vratiti pomoću zastavice „—enable-ftp“ ili „—enable-features=FtpProtocol“. U Chrome 88 podrška za FTP bit će potpuno onemogućena.

U verziji za Android, analogno verziji za desktop sustave, u menadžeru lozinki implementirana je provjera pohranjenih prijava i lozinki prema bazi kompromitiranih računa s prikazivanjem upozorenja u slučaju otkrivanja problema ili pokušaja korištenja trivijalnih lozinki. Provjera se vrši prema bazi koja obuhvaća više od 4 milijarde kompromitiranih računa koji su se našli u curenjima korisničkih baza. Za očuvanje privatnosti se koristi verifikacija hash-prefiksa na strani korisnika, a same lozinke i njihovi potpuni hash-ovi se ne šalju van.

Također je uvedena verzija za Android prenijete gumb «Provjera sigurnosti» i prošireni režim zaštite od opasnih web stranica. Gumb «Provjera sigurnosti» prikazuje sažetak mogućih problema sa sigurnošću, kao što su korištenje kompromitiranih lozinki, stanje provjere zlonamjernih web stranica, prisutnost neinstaliranih ažuriranja i otkrivanje zlonamjernih dodataka. Prošireni režim zaštite aktivira dodatne provjere za zaštitu od phishinga, zlonamjerne aktivnosti i drugih prijetnji na webu, a uključuje i dodatnu zaštitu za Google račun i Google usluge (Gmail, Drive itd.). Dok se u normalnom režimu provjere sigurnosti odvijaju lokalno prema periodički preuzimanju bazi podataka na klijentskom sustavu, u proširenom režimu zaštite informacije o stranicama i preuzimanjima u stvarnom vremenu šalju se za provjeru Googleu, što omogućava brzo reagiranje na prijetnje odmah nakon njihovog otkrivanja, bez čekanja na ažuriranje lokalne crne liste.

Dodana podrška za datoteku-indikator «.well-known/change-password», pomoću koje vlasnici web stranica mogu navesti adresu web obrasca za promjenu lozinke. U slučaju otkrivanja kompromitiranih korisničkih podataka, Chrome će sada odmah ponuditi korisniku obrazac za promjenu lozinke, temeljen na informacijama iz ove datoteke.

Implementirano je novo upozorenje „Safety Tip“ koje se prikazuje prilikom otvaranja web stranica čiji su domeni vrlo slični drugim sajtovima, a heuristika ukazuje na veliku vjerojatnost prevara (npr. otvoren je goog0le.com umjesto google.com).

Implementirano podrška za predmemoriju povratka (Back-forward cache), koja omogućava trenutačan prijelaz pri korištenju gumbova «Natrag» i «Naprijed» ili pri navigaciji na ranije pregledane stranice trenutne web stranice. Predmemorija se aktivira postavkom chrome://flags/#back-forward-cache.

Optimizirano je korištenje resursa CPU prozorima
izvan vidokruga. Chrome provjerava preklapaju li prozori preglednika s drugim prozorima i isključuje iscrtavanje piksela u područjima preklapanja. Spomenuta optimizacija bila je uključena za mali postotak korisnika u Chrome 84 i 85, a sada je aktivirana svugdje. U usporedbi s prethodnim izdanjima uklonjena je i nesukladnost s virtualizacijskim sustavima, zbog koje su se prikazivale prazne bijele stranice.

Ojačano je ograničenje resursa za pozadinske kartice. Takve kartice sada ne mogu potrošiti više od 1% CPU resursa i mogu se aktivirati najviše jednom u minuti. Nakon pet minuta boravka u pozadini, kartice se zamrzavaju, osim kartica na kojima se reprodukuje multimedijski sadržaj ili se snima.

Obnovljen je rad na unifikaciji HTTP zaglavlja User-Agent. U novoj verziji podrška za mehanizam User-Agent Client Hints aktivirana je za sve korisnike., razvijajući se kao zamjena za User-Agent. Novi mehanizam podrazumijeva selektivnu isporuku podataka o specifičnim parametrima preglednika i sustava (verzija, platforma itd.) samo na zahtjev servera, dajući korisnicima mogućnost da selektivno pružaju takve informacije vlasnicima web stranica. Pri korištenju User-Agent Client Hints identifikator se ne šalje prema defaultu bez izričitog zahtjeva, što onemogućuje pasivnu identifikaciju (prema defaultu se navodi samo naziv preglednika).

Promijenjena je indikacija dostupnosti ažuriranja i potrebe za ponovnim pokretanjem preglednika radi njegove instalacije. Umjesto obojene strelice u polju profila računa, sada se prikazuje natpis „Update“.

Obavljen je rad na prevodu preglednika ka korištenju inkluzivne terminologije. U nazivima politika riječi 'whitelist' i 'blacklist' zamijenjene su s 'allowlist' i 'blocklist' (već dodane politike će i dalje raditi, ali za njih će se prikazivati upozorenje o prebacivanju u kategoriju zastarjelih). U kodu i nazivima datoteka pominjanja 'blacklist' zamijenjena su s 'blocklist'.
Vidljiva pomena 'blacklist' i 'whitelist' su zamijenjena još početkom 2019. godine.

Dodana je eksperimentalna mogućnost uređivanja sačuvanih lozinki, aktivirajući je pomoću oznake „chrome://flags/#edit-passwords-in-settings”.

Preveden u kategoriju stabilnih i javnih API-a Native File System, omogućavajući kreiranje web-aplikacija koje interaguju s datotekama u lokalnom FS-u. Na primjer, novi API bi mogao biti od koristi u pokrenutim preglednicima integriranim razvojnim okruženjima, uređivačima teksta, slika i video zapisa. Da bi ste dobili mogućnost direktnog pisanja i čitanja datoteka ili korištenja dijaloga za otvaranje i spremanje datoteka, kao i za navigaciju kroz sadržaj direktorija, aplikacija traži od korisnika posebnu potvrdu.

Dodati CSS-selektor ':focus-visible', koji koristi istu heuristiku koja se koristi u pregledniku pri donošenju odluke o prikazivanju indikatora promjene fokusa (pri premještanju fokusa na gumb uz kombinacije tipkovnice indikator se pojavljuje, dok prilikom klika mišem — ne). Ranije dostupni CSS-selektor ':focus' uvijek osvjetljava fokus.
Pored toga, u postavke je dodana opcija 'Quick Focus Highlight', pri aktivaciji koje će se pored aktivnih elemenata prikazivati dodatni indikator fokusa, koji ostaje vidljiv čak i kada su na stranici putem CSS-a onemogućeni elementi stila za vizualno isticanje fokusa.

U režimu Origin Trials (eksperimentalne mogućnosti koje zahtijevaju zasebnu aktivaciju) dodano je nekoliko novih API-ja. Origin Trial podrazumijeva mogućnost rada s navedenim API-jima iz aplikacija učitanih s localhosta ili 127.0.0.1, ili nakon prolaska registracije i dobivanja specijalnog tokena koji djeluje ograničeno vrijeme za određenu stranicu.

API WebHID za niskorazinski pristup HID uređajima (Human interface device, tipkovnice, miševi, gamepadi, dodirne ploče), koji omogućuju implementaciju logike rada s HID uređajem u JavaScriptu za upravljanje rijetkim HID uređajima bez potrebe za specifičnim drajverima u sustavu.
Prije svega, novi API je usmjeren na pružanje podrške gamepadima.
API Informacija o ekranu, proširuje mogućnosti API-a za postavljanje prozora podrškom za konfiguracije s više ekrana. Za razliku od window.screen, novi API omogućuje manipulaciju postavljanjem prozora u zajedničkom ekranom prostoru višemonitorskih sustava, ne ograničavajući se na trenutni ekran.
Meta oznaka battery-savings, putem koje web stranica može obavijestiti preglednik o potrebi aktiviranja režima smanjenja potrošnje energije i optimizacije opterećenja CPU-a.
API COOP Izvještavanje za obavještavanje o mogućim kršenjima režima izolacije Cross-Origin-Embedder-Policy (COEP) i Cross-Origin-Opener-Policy (COOP), bez primjene stvarnih ograničenja.
U API-ju Upravljanje vjerodajnicama predlaže novi tip vjerodajnica PaymentCredential, koji osigurava dodatnu potvrdu prilikom obavljanja platne transakcije. Strana koja provjerava, npr. banka, može generirati javni ključ PublicKeyCredential, koji trgovac može zatražiti za dodatnu sigurnu potvrdu plaćanja.

U API-ju PointerEvents za određivanje nagiba stylusa dodana je podrška za kutove visine (kut između stylusa i ekrana) i azimuta (kut između osi X i projekcije stylusa na ekran), umjesto kutova TiltX i TiltY (kutovi između ravnine stylusa i jedne od osi i ravnine osi Y i Z). Također su dodane funkcije za pretvorbu između visine/azimuta i TiltX/TiltY.

Promijenjeno je kodiranje razmaka u URL-ima, pri njihovom izračunavanju u handlerima protokola — metoda navigator.registerProtocolHandler() sada zamjenjuje razmake s "" umjesto "+", čime se unificira ponašanje s drugim preglednicima, poput Firefoxa.

U CSS je dodan pseudo-element „::marker«, koji omogućuje prilagodbu boje, veličine, oblika i tipa brojeva i točaka za nabrajanja unutar blokova

Dodana je podrška za HTTP zaglavlje Document-Policy, koji omogućuje postavljanje pravila pristupa dokumentima, slična mehanizmu sandbox-izolacije za iframe, ali univerzalnija. Na primjer, preko Document-Policy moguće je ograničiti korištenje nekvalitetnih slika, onemogućiti spore JavaScript API-e, postaviti pravila učitavanja iframe, slika i skripti, ograničiti ukupnu veličinu dokumenta i prometa, zabraniti metode koje uzrokuju ponovni iscrtavanje stranice, onemogućiti funkciju Scroll-To-Text.
U element
dodana podrška za ‘inline-grid’, ‘grid’, ‘inline-flex’ i ‘flex’ postavljene putem CSS svojstva ‘display’.
Dodana metoda ParentNode.replaceChildren() za zamjenu svih podređenih elemenata roditeljskog čvora s drugim DOM čvorom. Ranije se za zamjenu čvorova mogla koristiti kombinacija metoda node.removeChild() i node.append() ili node.innerHTML i node.append().
Proširen spektri URL shema koji su dopušteni za prepisivanje pomoću registerProtocolHandler(). U popisu shema uključeni su decentralizirani protokoli cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns i ssb, što omogućuje definiranje linkova na elemente neovisno o web stranici ili pristupnom poslužitelju koji pruža resurs.
U API-ju Asinkroni međuspremnik dodana podrška za format text/html za kopiranje i lijepljenje HTML-a preko međuspremnika (prilikom pisanja i čitanja u međuspremnik provodi se čišćenje opasnih HTML struktura). Ova promjena omogućava web uređivačima da organiziraju kopiranje i lijepljenje formatiranog teksta s slikama i linkovima.
U WebRTC dodana mogućnost povezivanja vlastitih obrađivača podataka, pozivanih u fazama kodiranja ili dekodiranja WebRTC MediaStreamTrack. Na primjer, navedena mogućnost može se koristiti za dodavanje podrške za end-to-end enkripciju podataka koji se prenose putem posredničkih poslužitelja.
U JavaScript motoru V8 porast od 75% ubrzao implementacija Number.prototype.toString. U asinkrone klase dodano je svojstvo .name s praznom vrijednošću. Metod Atomics.wake je uklonjen, koji je u svoje vrijeme preimenovan u Atomics.notify radi usklađivanja sa specifikacijom ECMA-262. Otvoren je kod alata za fuzzing testiranje. JS-Fuzzer.
U prethodno korištenom početnom (baseline) kompajleru Liftoff za WebAssembly dodana je mogućnost korištenja vektorskih instrukcija SIMD za ubrzavanje proračuna. Prema testovima, optimizacija je omogućila ubrzanje prolaska nekih testova 2.8 puta. Druga optimizacija značajno je ubrzala pozive iz WebAssembly u uvezene JavaScript funkcije.
Prošireno Alati za web razvoj: U Media panelu dodane su informacije o igračima koji se koriste za reprodukciju video sadržaja na stranici, uključujući podatke o događajima, logovima, vrijednostima svojstava i parametrima dekodiranja okvira (na primjer, moguće je utvrditi uzroke gubitka okvira i problema s interakcijom iz JavaScript-a).
U kontekstnom izborniku panela Elements dodana je mogućnost stvaranja snimaka ekrana odabranog elementa (na primjer, možete napraviti snimak ekrana sadrža ili tablice).
U web konzoli panel s upozorenjem na probleme zamijenjen je običnom porukom, a problemi sa vanjskim kolačićima skriveni su prema zadanim postavkama na kartici Issues i uključuju se posebnim potvrdnim okvirom.
Na kartici Renderiranje dodano je dugme 'Onemogući lokalne fontove', koje omogućava simulaciju nedostatka lokalnih fontova, a na kartici Senzori dostupna je opcija za simulaciju neaktivnosti korisnika (za aplikacije koje koriste API Idle Detection).
U panelu Application pružene su detaljne informacije o svakom iframe-u, otvorenom prozoru i pop-up prozorima, uključujući podatke o izolaciji Cross-Origin pomoću COEP i COOP.
Započela je zamjena implementacije protokola QUIC na verziju koju razvija IETF specifikacija, umjesto Google-ove verzije QUIC.

Pored novih značajki i ispravki grešaka, nova verzija uklanja 35 ranjivostiMnoge od ranjivosti identificirane su kroz automatizirano testiranje alatima AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Jedna ranjivost (CVE-2020-15967, pristup oslobođenom području memorije u kodu za interakciju s Google Payments) označena je kao kritična, tj. omogućuje zaobilaženje svih razina zaštite preglednika i izvršavanje koda u sustavu izvan sandbox okruženja. U okviru programa isplate novčanih nagrada za otkrivanje ranjivosti za trenutnu verziju, kompanija Google isplatila je 27 nagrada u ukupnom iznosu od 71500 dolara (jedna nagrada od 15000 dolara, tri nagrade od 7500 dolara, pet nagrada od 5000 dolara, dvije od 3000 dolara, jedna od 200 dolara i dvije nagrade od 500 dolara). Iznos 13 nagrada još nije određen.

Izvor: opennet.ru

Izdanje Chrome 86