A Google vállalat webböngésző kiadása . Egyszerre stabil kiadás egy nyílt projekt alapja , amely a Chrome alapjául szolgál. A Chrome böngésző a Google logóinak használatával, a leállás esetén küldött értesítési rendszerével, a Flash modul kérés szerinti betöltésével, a védett videóanyagok (DRM) lejátszásához szükséges modulokkal, az automatikus frissítések telepítési rendszerével és a keresés során történő átvitelével A Chrome 87 megjelenése november 17-re van kiszabva.
:
- Megérkezett a védelme a nem biztonságos űrlapok HTTPS oldalon történő beküldésével szemben, amelyek HTTP-n küldik el az adatokat, ezáltal fenyegetést jelentenek az adatok lehallgatására és megváltoztatására MITM-támadások során. A védelem három változtatásból áll.
- Minden vegyes űrlap automatikus kitöltése letiltva van, hasonlóan ahhoz, ahogyan már régóta le van tiltva az autentikációs űrlapok automatikus kitöltése a HTTP-n megnyitott oldalakon. Korábban a letiltást az űrlap HTTPS vagy HTTP protokollal való megnyitása jelezte, most azonban figyelembe veszik a titkosítást is az űrlap adatkezelőhöz való elküldésének során. A jelszókezelő működése a vegyes autentikálási űrlapoknál nem lett letiltva, mivel a megbízhatatlan jelszó használatának kockázata és a jelszavak különböző webhelyeken való újrahasználata meghaladja a potenciális adatforgalom lehallgatásának kockázatát.
- A vegyes űrlapokban történő beírás megkezdésekor figyelmeztető üzenet jelenik meg, amely tájékoztatja a felhasználót az adatainak titkosítatlan csatornán történő elküldéséről.
- Vegyes űrlap elküldésének megkísérlésekor egy külön oldalon figyelmeztetés jelenik meg a titkosítatlan csatornán történő adatátvitel potenciális kockázatáról. A korábbi verziókban a vegyes űrlapok jelzésére a címsorban található lakat ikon használatára került sor, de ez a megjelölés nem volt egyértelmű a felhasználók számára, és hatékonyan nem tükrözte a felmerülő kockázatokat.
- Blokkolás (titkosítás nélkül) végrehajtott fájlok blokkolása kiegészült a nem biztonságos archívumok (zip, iso stb.) letöltésének blokkolásával és figyelmeztetések megjelenítésével a nem biztonságos letöltéseknél.
dokumentumok (docx, pdf stb.) esetén. A következő verzióban várhatóan a dokumentumok blokkolása és figyelmeztetés megjelenítése vár ránk képek, szöveges és multimédiás fájlok esetén. A blokkolás megvalósult, mivel a titkosítás nélküli fájlok letöltése rosszindulatú tevékenységekre használható fel a tartalom módosítása során MITM-támadások által. - A kontextus menüben alapértelmezetten megjelenik a „URL teljes megjelenítése” lehetőség, amelyhez korábban a about:flags oldalon kellett változtatásokat végrehajtani. A teljes URL-t a címsorra való dupla kattintással is megtekinthetjük. Ne feledjük, hogy a alapértelmezett cím megjelenése a protokoll és a www aldomain nélkül történt. eltávolították a régi viselkedést visszaállító beállítást, de a felhasználók elégedetlensége után hozzáadtak egy új kísérleti zászlót, amely egy lehetőséget ad a helyi menüben a teljes URL elrejtésének és megjelenítésének letiltására bármilyen körülmények között.
- Egy kis százalékú felhasználó számára indult el hogy alapértelmezés szerint csak a domain a címsorban, az útvonal és a lekérdezési paraméterek elemei nélkül. Például a „https://example.com/secure-google-sign-in/” helyett „example.com” fog megjelenni. A javasolt mód eljuttatása minden felhasználóhoz az egyik következő kiadásban várható. A megadott viselkedés letiltásához használható az „URL teljes megjelenítése mindig” opció, az egész URL megtekintéséhez pedig rákattinthatunk a címsorra. A változás motivációja a felhasználók adathalászattal szembeni védelme, amely manipulálja a URL paramétereit – a támadók a felhasználók figyelmetlenségét kihasználva látszólag más oldal megnyitását és csaló tevékenységeket hajtanak végre (míg a technikailag jártas felhasználók számára az ilyen hamisítások könnyen észlelhetők, a tapasztalatlan átlagemberek könnyen áldozatául esnek ezeknek az egyszerű manipulációknak).
- Megújították az FTP támogatásának eltávolítását. A Chrome 86-ban az FTP alapértelmezés szerint le van tiltva körülbelül 1% felhasználó számára, a Chrome 87-ben a letiltott felhasználók aránya 50%-ra nő, de a támogatás visszaállítható a „--enable-ftp” vagy „--enable-features=FtpProtocol” kapcsolók segítségével. A Chrome 88-ban az FTP támogatása teljesen le lesz tiltva.
- Az Android verzióban, hasonlóan az asztali rendszerhez, a jelszókezelő a mentett bejelentkezések és jelszavak ellenőrzését valósítja meg egy kompromittált fiókok adatbázisa alapján, amely figyelmeztetést ad, ha problémákat vagy triviális jelszavak használatát észleli. Az ellenőrzés egy több mint 4 milliárd kompromittált fiókot tartalmazó adatbázis alapján történik, amely felhasználói adatok szivárgása során bukkant fel. A magánélet megőrzése érdekében a hármas hash-ellenőrzés a felhasználó oldalán történik, és a jelszavak és a teljes hash-ek nem kerülnek külső terjedésre.
- Az Android verzióba is A „Biztonsági ellenőrzés” gomb (Safety check) és a veszélyes webhelyek elleni kiterjesztett védelem (Enhanced Safe Browsing) segít a biztonsági problémák átláthatóságában. A „Safety check” gomb összegzést ad a biztonsági problémákról, mint például a kompromittált jelszavak használata, a Safe Browsing állapota, a nem telepített frissítések jelenléte és a rosszindulatú kiegészítések észlelése. A kiterjesztett védelem aktiválása további ellenőrzéseket indít el a phishing, rosszindulatú tevékenységek és egyéb webes fenyegetések védelme érdekében, valamint extra védelmet nyújt a Google-fiókhoz és a Google-szolgáltatásokhoz (Gmail, Drive stb.). Míg a szokásos Safe Browsing módban az ellenőrzések helyben, a kliensrendszerre időszakonként frissített adatbázisból zajlanak, a kiterjesztett Safe Browsing esetén az oldalakról és letöltésekről szóló információkat valós időben a Google-hoz küldik ellenőrzésre, lehetővé téve a fenyegetések gyors reagálását a felderítés után, anélkül, hogy meg kellene várni a helyi fekete lista frissítését.
- A .well-known/change-password fájl támogatása, amellyel a weboldalak tulajdonosai megadhatják a jelszóváltoztatáshoz szükséges űrlap címét. A felhasználói adatok kompromittálása esetén a Chrome most azonnal felajánlja a felhasználónak a jelszócserét a fájlban megadott információk alapján.
- Megvalósult egy új figyelmeztetés, a «Safety Tip» megjelenítése, amely akkor aktiválódik, amikor olyan weboldalakat nyitunk meg, amelyek domainje nagyon hasonlít egy másik weboldalra, és a heurisztika azt mutatja, hogy nagy a valószínűsége a hamisítványnak (például nyitva van a goog0le.com a google.com helyett).
- A visszatérő háttere (Back-forward cache) támogatása, amely azonnali visszajelzést biztosít a „Vissza” és „Előre” gombok használatával, vagy a korábban megtekintett oldalak navigálásakor. A gyorsítótár a chrome://flags/#back-forward-cache beállítással aktiválható.
- A CPU erőforrás-használat optimalizálása zajlik az ablakok
láthatóságán kívül. A Chrome ellenőrzi, hogy a böngésző ablaka nem fed-e le más ablakokat, így kizárja a pixelek rajzolását a fedett területeken. Ezt az optimalizálást a Chrome 84 és 85 korai verzióiban csak a felhasználók kis százalékánál aktíválták, most viszont mindenhol elérhetővé vált. A korábbi verziókhoz képest eltávolították a virtualizációs rendszerekkel való inkompatibilitást is, ami miatt üres fehér oldalak jelentek meg. - Megszigorodott a háttérfülek erőforrásainak korlátozása. Az ilyen fülek mostantól nem fogyaszthatnak több mint 1% CPU erőforrást, és egy alkalommal legfeljebb egy percenként aktiválódhatnak. Öt percnyi háttérben tartózkodás után a fülek befagyasztódnak, kivéve azokat, ahol multimédiás tartalom játszódik le vagy felvétel történik.
- Újraindult a a User-Agent HTTP-fejléc. Az új verzióban minden felhasználónak aktiválva lett a , amely a User-Agent helyettesítésére lett kifejlesztve. Az új mechanizmus azt jelenti, hogy a böngésző és a rendszer (verzió, platform, stb.) konkrét jellemzőiről csak akkor ad adatokat, ha azt a szerver kéri, lehetőséget adva a felhasználóknak, hogy szelektíven megosszák ezt az információt a weboldaltulajdonosokkal. A User-Agent Client Hints használata esetén az azonosító alapértelmezés szerint nem kerül továbbításra, ha ezt kifejezetten nem kérik, így lehetetlenné téve a passzív azonosítást (alapértelmezés szerint csak a böngésző neve jelenik meg).
- Megváltozott a frissítés jelzésének módja és a böngésző újraindításának szükségessége a telepítéséhez. A fiók avatárjában megjelenő színes nyílvessző helyett most a «Frissítés» felirat jelenik meg.
- Elvégezték a böngésző átállását az inkluzív terminológia használatára. A politikák neveiben a 'whitelist' és 'blacklist' kifejezéseket 'allowlist' és 'blocklist' kifejezésekre cserélték (a már hozzáadott politikák továbbra is működni fognak, de figyelmeztetés fog megjelenni, hogy elavult kategóriába sorolják őket). A és a 'blacklist' említéseket 'blocklist' kifejezésekre cserélték.
A felhasználó számára látható 'blacklist' és 'whitelist' említéseket 2019 elején már lecserélték. - Hozzáadva egy kísérleti lehetőség a mentett jelszavak szerkesztésére, amely a "chrome://flags/#edit-passwords-in-settings" zászló használatával aktiválható.
- Stabil és nyilvános API-ra lett átfordítva. , amely lehetővé teszi a webalkalmazások számára, hogy interakcióba lépjenek a fájlokkal a helyi fájlrendszerben. Például az új API hasznos lehet böngészőben futó integrált fejlesztői környezetekben, szövegszerkesztőkben, képszerkesztőkben és videószerkesztőkben. A fájlok közvetlen írásához és olvasásához, vagy fájlok megnyitásához és mentéséhez szükséges párbeszédpanelek használatához, valamint a könyvtárak tartalmának böngészéséhez a alkalmazás külön engedélyt kér a felhasználótól.
- Új CSS-szelektor került hozzáadásra: '', amely azt a heuristikát alkalmazza, amelyet a böngésző a fókuszváltoztatás jelzésének megjelenítésére használ (amikor a fókuszt billentyűkombinációkkal mozgatják, a jelző megjelenik, de egérkattintáskor nem). A korábban elérhető CSS-szelektor, a ':focus', mindig kiemeli a fókuszt.
Továbbá a beállításokhoz hozzáadva lett a 'Quick Focus Highlight' opció, amelynek aktiválása esetén a aktív elemek mellett további fókuszjelző jelenik meg, amely látható marad, még akkor is, ha a CSS-en keresztül le vannak tiltva a fókusz vizuális kiemeléséhez szükséges stíluselemek. - Az Origin Trials módban (kísérleti lehetőségek, amelyek külön aktiválást igényelnek) számos új API került hozzáadásra. Az Origin Trial lehetőséget ad az adott API használatára olyan alkalmazásokból, amelyeket a localhost vagy a 127.0.0.1-től töltöttek be, vagy a regisztráció és a különleges token megszerzése után, amely korlátozott ideig érvényes egy adott webhelyre.
- alacsony szintű hozzáférés HID-eszközökhöz (Human interface device, billentyűzetek, egerek, játékkontrollerek, érintőpanelek), amelyek lehetővé teszik a HID-eszközzel való munka logikájának megvalósítását JavaScriptben, ritka HID-eszközök kezelésére, specifikus illesztőprogramok nélkül a rendszeren.
Elsősorban az új API célja, hogy támogatást nyújtson a játékkontrollerekhez. - , kibővíti az API Ablak Elhelyezés lehetőségeit, hogy támogassa a több képernyős konfigurációkat. A window.screen-től eltérően az új API lehetővé teszi az ablak elhelyezésének manipulálását a többmonitoros rendszerek összes képernyőjének közös terében, anélkül, hogy a jelenlegi képernyőre korlátozódna.
- Meta-tag , amely lehetővé teszi, hogy a weboldal tájékoztassa a böngészőt az energiatakarékos módok aktiválásának szükségességéről és a CPU terhelés optimalizálásáról.
- API a potenciális elszigeteltségi módok megsértésének jelentésére. (COEP) és (COOP), anélkül, hogy tényleges korlátozásokat alkalmaznának.
- API javasolt egy új típusú hitelesítő adat, , amely további megerősítést biztosít a végrehajtott tranzakciókhoz. Az ellenőrző fél, például egy bank, képes generálni egy nyilvános kulcsot (PublicKeyCredential), amelyet a kereskedő kérhet a tranzakció biztonságosabb megerősítése érdekében.
- alacsony szintű hozzáférés HID-eszközökhöz (Human interface device, billentyűzetek, egerek, játékkontrollerek, érintőpanelek), amelyek lehetővé teszik a HID-eszközzel való munka logikájának megvalósítását JavaScriptben, ritka HID-eszközök kezelésére, specifikus illesztőprogramok nélkül a rendszeren.
- API a stylus dőlésszögének meghatározásához hozzáadva a magassági szög (szög a stylus és a képernyő között) és az azimut (szög az X tengely és a stylus képernyőn való vetülete között), a TiltX és TiltY szögek helyett (szögek a stylus síkja és az egyik tengely, valamint az Y és Z síkjának síkja között). Ezenkívül funkciókat adtak a magasság/azimut és TiltX/TiltY közötti átváltáshoz.
- A URL-ben szereplő szóköz kódolása változott, a protokollkezelőkben történő kiszámításakor — a navigator.registerProtocolHandler() metódus most a szóközöket «»-ra cseréli a «+» helyett, ami egységesíti a viselkedést más böngészőkkel, mint például a Firefox.
- A CSS-ben hozzáadták a „«” pseudo-elemet, amely lehetővé teszi a számok és pontok színének, méretének, formájának és típusának testreszabását a
- és
- blokkokban.
- HTTP-fejlécek támogatása hozzáadva, , dokumentumokhoz való hozzáférési szabályok, amelyek hasonlítanak az iframe sandbox-izolációs mechanizmusára, de univerzálisabbak. Például a Document-Policy révén korlátozható a gyenge minőségű képek használata, letiltható a lassú JavaScript API, beállíthatók az iframe, képek és szkriptek betöltési szabályai, korlátozható a dokumentum és a forgalom teljes mérete, tilthatók a weboldal újrarajzolásához vezető módszerek, letiltható a funkció .
- Elem támogatás került bevezetésre az ‘inline-grid’, ‘grid’, ‘inline-flex’ és ‘flex’ paraméterekhez, amelyeket a CSS ‘display’ tulajdonsága határoz meg.
- Hozzáadva a módszert a szülőcsomópont összes gyermeke helyettesítésére egy másik DOM-csomópontra. Korábban a csomópontok cseréjére a node.removeChild() és a node.append() vagy a node.innerHTML és a node.append() kombinációja volt használható.
- URL-sémák spektruma, amelyek felülbírálhatók a registerProtocolHandler() segítségével. A sémák közé tartoznak a decentralizált protokollok, mint a cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns és ssb, amelyek lehetővé teszik a hivatkozások meghatározását az elemekhez függetlenül attól, hogy melyik webhely vagy átjáró biztosítja a hozzáférést az erőforráshoz.
- API támogatás került bevezetésre a text/html formátum számára, amely lehetővé teszi a HTML másolását és beillesztését a vágólapon (a vágólapra írás és olvasás során a veszélyes HTML struktúrák tisztítása megtörténik). Ez a módosítás például lehetővé teszi a webes szerkesztők számára, hogy formázott szöveget, képeket és linkeket másoljanak és illesszenek be.
- A WebRTC-ben a saját adatkezelők csatlakoztatásának lehetősége, amelyeket a WebRTC MediaStreamTrack kódolási vagy dekódolási szakaszaiban hívnak meg. Például a megadott lehetőség használható az adatátvitel végpontok közötti titkosításának hozzáadására.
- A V8 JavaScript motorban 75%-kal valósult meg a Number.prototype.toString. Az aszinkron osztályokhoz hozzáadva lett a .name tulajdonság, amely kezdetben üres értékű. Az Atomics.wake metódus eltávolításra került, amelyet egy időben Atomics.notify-ra nevezték át az ECMA-262 specifikációnak megfelelően. Megnyílt a fuzzing tesztelési eszközök kódja .
- A WebAssembly-hez készített korábbi kiadásban használt kezdeti (baseline) fordítóba bevezetésre került a vektoralapú utasítások használatának lehetősége a számítások felgyorsítására. A tesztek alapján az optimalizálás lehetővé tette, hogy egyes teszteket 2,8-szor gyorsabban teljesítsenek. Egy másik optimalizálás jelentősen felgyorsította a WebAssembly-ből importált JavaScript-funkciók hívását.
- eszközök webfejlesztőknek: A Media panelhez hozzáadták a videóoldalon használt lejátszókkal kapcsolatos információkat, beleértve az események, naplók, tulajdonságok értékeit és a képkódolási paramétereket (például meg lehet határozni a képkiesés és a JavaScript interakciójának problémáinak okait).
Az Elements panel kontextusmenüjéhez hozzáadták a kiválasztott elem képernyőképének létrehozásának lehetőségét (például létrehozhat egy képernyőképet a tartalomjegyzékről vagy a táblázatról).
A webkonzolon a problémák figyelmeztető panelját általános üzenetekre cserélték, és a harmadik fél Cookie-kal kapcsolatos problémák alapértelmezés szerint rejtve vannak az Issues fül alatt, külön jelölőnégyzet segítségével aktiválhatók.
The Rendering tab has added a 'Disable local fonts' button to simulate the absence of local fonts, and the Sensors tab now allows simulating user inactivity (for applications using the Idle Detection API).
Az Application panel részletes információkat nyújt minden iframe, megnyitott ablak és pop-up esetén, beleértve a Cross-Origin izolációjával kapcsolatos adatokat COEP és COOP által.
- a protokollimplementáció cseréje az IETF-specifikációban fejlesztett változatra, a Google-féle QUIC helyett.
Az új verzió újításai és hibajavításai mellett . Sok sebezhetőséget automatizált tesztelési eszközökkel fedeztek fel, , , , és . Az egyik sebezhetőség (CVE-2020-15967, a memóriaterület felszabadítása utáni hozzáférés a Google Payments-el való interakciós kódban) kritikusnak számít, azaz lehetővé teszi a böngésző minden védelmi szintjének megkerülését és kód végrehajtását a rendszerben a sandbox környezeten kívül. A Google a sebezhetőségek felfedezéséért járó pénzbeli jutalmak programjában 27 díjat ítélt meg a jelenlegi kiadásra összesen 71 500 dollár értékben (egy díj 15 000 dollár, három díj 7 500 dollár, öt díj 5 000 dollár, két díj 3 000 dollár, egy díj 200 dollár és két díj 500 dollár). A 13 díj mérete még nem lett meghatározva.
Forrás: opennet.ru
