🥇Chrome 86 | ProHoster

Megjelent a Chrome 86 új verziója és a Chromium stabil kiadása.

A Chrome 86 főbb változásai:

védelmet nyújt a nem biztonságos űrlapok HTTPS-en keresztüli beküldésével, míg az adatok HTTP-n keresztül kerülnek elküldésre.
A nem biztonságos (http) végrehajtható fájlok letöltésének blokkolása kiegészült az archívumok (zip, iso stb.) nem biztonságos letöltésének blokkolásával, és figyelmeztetések megjelenítésével a nem biztonságos dokumentumok (docx, pdf stb.) letöltésénél. A következő kiadásban a dokumentumok blokkolása és figyelmeztetések megjelenítése várható képek, szöveges és multimédiás fájlok esetén. A blokkolás azért került bevezetésre, mert a titkosítás nélküli fájlok letöltése rosszindulatú cselekedetek megvalósítására használható a MITM-támadások során.
Az alapértelmezett helyi menüben az 'URL mindig teljesen megjelenítve' opció jelenik meg, amelyet korábban az about:flags oldal paramétereinek megváltoztatásával lehetett aktiválni. A teljes URL-t dupla kattintással is megtekintheti a címsorban. Emlékeztetünk, hogy a Chrome 76-tól kezdve az alapértelmezés szerint a cím protokoll és a www aldomain nélkül jelenik meg. A Chrome 79-ben eltávolították a beállítást a régi viselkedés visszaállításához, de a felhasználók elégedetlensége miatt a Chrome 83-ban új kísérleti flaget vezettek be, amely lehetőséget ad a rejtett URL-ek megjelenítésének kikapcsolására és a teljes URL megjelenítésére bármilyen körülmények között.
A felhasználók kis százaléka számára kísérleten belül az alapértelmezett címsor szöveg csak a domént jeleníti meg, az útvonal és a kérdéses paraméterek elemei nélkül. Például a "https://example.com/secure-google-sign-in/" helyett az 'example.com' fog megjelenni. A javasolt mód teljes körű bevezetése a felhasználók számára a következő kiadások egyikében várható. A megadott viselkedés letiltásához használhatja az 'URL mindig teljesen megjelenítve' opciót, a teljes URL megtekintéséhez pedig kattintson a címsorra. A módosítás hátterében az a szándék áll, hogy megvédjék a felhasználókat a phishingtől, amely a URL paramétereivel manipulálva próbálja megölni a figyelmet — a rosszindulatú szereplők a felhasználók figyelmetlenségét kihasználva próbálnak látszólag más webhelyet nyitni és csalási cselekvéseket végrehajtani (míg a technikai tudással rendelkező felhasználók számára az ilyen átverések szembetűnőek, a tapasztalatlan felhasználók könnyen áldozatul esnek ezeknek az egyszerű manipulációknak).
A FTP támogatás eltávolítására irányuló kezdeményezés újraindult. A Chrome 86-ban a FTP alapértelmezés szerint le van tiltva körülbelül 1% felhasználónál, míg a Chrome 87-ben a letiltás terjedelme 50%-ra nő, de a támogatást vissza lehet állítani a "—enable-ftp" vagy a "—enable-features=FtpProtocol" kapcsolóval. A Chrome 88-ban a FTP támogatása teljesen le lesz tiltva.
Az Android verzióban, a desktop verzióhoz hasonlóan, a jelszókezelőnél megvalósították a mentett bejelentkezések és jelszavak ellenőrzését a kompromittált fiókok adatbázisával, figyelmeztetés megjelenítésével, ha problémát észlelnek vagy triviális jelszavak használatát próbálják meg. Az ellenőrzés egy olyan adatbázison történik, amely több mint 4 milliárd kompromittált fiókot fed le, amelyek felhasználói adatbázisok szivárgásaiban szerepeltek. A magánélet védelme érdekében zajlik a hash-prepend ellenőrzés a felhasználó oldalán, a jelszavakat és azok teljes hash-eit pedig nem küldik ki.
Az Android verzióba átkerült a "Biztonsági ellenőrzés" (Safety check) gomb is, valamint a veszélyes webhelyek elleni kibővített védelmi mód (Enhanced Safe Browsing). A "Safety check" gomb összegzést mutat a biztonsági problémákról, mint a kompromittált jelszavak használata, a káros weboldalak ellenőrzésének állapota (Safe Browsing), a telepítetlen frissítések jelenlétére és a káros bővítmények felfedezésére. A kibővített védelem további ellenőrzéseket aktivál a phishing, a káros tevékenységek és más webes fenyegetések ellen, emellett további védelmet nyújt a Google-fiókhoz és a Google szolgáltatásokhoz (Gmail, Drive stb.). Míg a normál Safe Browsing mód ellenőrzései a rendszerre időszakosan letöltött helyi adatbázison végeződnek, a Enhanced Safe Browsing esetében a weboldalak információját és letöltéseket valós időben a Google oldalán ellenőrzik, lehetővé téve, hogy azonnal reagáljanak a fenyegetésekre, miután észlelték őket, anélkül, hogy meg kellene várni, amíg a helyi feketelista frissül.
Hozzáadták a ".well-known/change-password" fájl támogatását, amellyel a weboldalak tulajdonosai megadhatják a jelszóváltoztatás webes űrlapjának címét. Ha a felhasználói adatok kompromittálva vannak, a Chrome mostantól azonnal felajánlja a felhasználónak a jelszó megváltoztatására szolgáló űrlapot, amelyet az e fájlból származó információk alapján határoznak meg.
Megvalósult egy új figyelmeztetés, a «Safety Tip» megjelenítése, amely akkor aktiválódik, amikor olyan weboldalakat nyitunk meg, amelyek domainje nagyon hasonlít egy másik weboldalra, és a heurisztika azt mutatja, hogy nagy a valószínűsége a hamisítványnak (például nyitva van a goog0le.com a google.com helyett).
* Megvalósult a visszalépési cache (Back-forward cache) támogatása, amely azonnali visszalépést biztosít a «Vissza» és a «Tovább» gombok használatakor, vagy a korábban megtekintett oldalak böngészésekor. A cache a chrome://flags/#back-forward-cache beállítással aktiválható.
A CPU erőforrás-felhasználás optimalizálása a láthatáson kívüli ablakok esetében. A Chrome ellenőrzi, hogy a böngésző ablaka nem takar-e el más ablakokat, és kizárja a pixelek kirajzolását a takarás alatt lévő területekből. A megadott optimalizálás korlátozott számú felhasználónál aktiválva volt a Chrome 84 és 85-ös verziójában, most viszont mindenkinél érvényesült. A korábbi verziókhoz képest megszüntették a virtualizációs rendszerekkel való inkompatibilitást, amely miatt üres fehér oldalak jelentek meg.
Megszigorodott a háttérfülek erőforrásainak korlátozása. Az ilyen fülek mostantól nem fogyaszthatnak több mint 1% CPU erőforrást, és egy alkalommal legfeljebb egy percenként aktiválódhatnak. Öt percnyi háttérben tartózkodás után a fülek befagyasztódnak, kivéve azokat, ahol multimédiás tartalom játszódik le vagy felvétel történik.
Újból megkezdődött a User-Agent HTTP-header egységesítésének munkálata. Az új verzióban minden felhasználó számára aktiválva lett a User-Agent Client Hints mechanizmus támogatása, amely a User-Agent helyettesítésére fejlődik. Az új mechanizmus szelektív adatátadást biztosít a böngésző és a rendszer konkrét paramétereiről (verzió, platform stb.) csak a szerver kérésére, és lehetőséget ad a felhasználóknak, hogy szelektíven nyújtsanak ilyen információt a weboldal tulajdonosainak. A User-Agent Client Hints használata esetén az azonosító alapértelmezés szerint nem kerül átadásra kifejezett kérés nélkül, megakadályozva ezzel a passzív azonosítást (alapértelmezés szerint csak a böngésző neve szerepel).
Megváltozott a frissítés jelzésének módja és a böngésző újraindításának szükségessége a telepítéséhez. A fiók avatárjában megjelenő színes nyílvessző helyett most a «Frissítés» felirat jelenik meg.
A munka elvégezve a böngésző inkluzív terminológia alkalmazására történő fordításával. A politikák neveiben a "whitelist" és "blacklist" szavakat "allowlist" és "blocklist" szavakkal helyettesítették (a már hozzáadott politikák továbbra is működnek, de figyelmeztetés jelenik meg, hogy az elavult kategóriába kerültek). A kódban és a fájlnevekben a "blacklist" említések "blocklist"-ra lettek cserélve. A felhasználók számára látható "blacklist" és "whitelist" említések már 2019 elején lecserélésre kerültek.
Hozzáadva egy kísérleti lehetőség a mentett jelszavak szerkesztésére, amely a "chrome://flags/#edit-passwords-in-settings" zászló használatával aktiválható.
A Native File System API stabil és nyilvános változatra került át, amely lehetővé teszi a webalkalmazások számára, hogy interakcióba lépjenek a fájlokkal a helyi fájlrendszeren. Például az új API hasznos lehet a böngészőben futó integrált fejlesztői környezetekben, szövegszerkesztőkben, képszerkesztőkben és videószerkesztőkben. A fájlok közvetlen írásához és olvasásához, vagy a fájlok megnyitására és mentésére szolgáló párbeszédpanelek használatához, valamint a könyvtárak tartalmának navigálásához a alkalmazás különleges megerősítést kér a felhasználótól.
Hozzáadva a ":focus-visible" CSS-szelektor, amely ugyanazt a heuristikát használja, mint amellyel a böngésző döntést hoz a fókuszváltás jelzőjének megjelenítéséről (a fókusz billentyűzet kombinációkkal történő mozgatásakor a jelző megjelenik, míg az egérkattintásakor nem). A korábban elérhető ":focus" CSS-szelektor mindig kiemeli a fókuszt. Továbbá a beállításokhoz hozzá lett adva a "Quick Focus Highlight" opció, amelynek bekapcsolásakor az aktív elemek mellett egy további fókuszjelző jelenik meg, amely akkor is látható marad, ha a CSS-ben le vannak tiltva a fókusz vizuális kiemelésére szolgáló stíluselemek.
Az Origin Trials módban (kísérleti lehetőségek, amelyek külön aktiválást igényelnek) számos új API került hozzáadásra. Az Origin Trial lehetőséget ad az adott API használatára olyan alkalmazásokból, amelyeket a localhost vagy a 127.0.0.1-től töltöttek be, vagy a regisztráció és a különleges token megszerzése után, amely korlátozott ideig érvényes egy adott webhelyre.
API WebHID az alacsony szintű hozzáféréshez HID-eszközökhöz (Human Interface Device, billentyűzetek, egerek, játékkonzolok, érintőpanelek), amelyek lehetővé teszik a HID-eszközök JavaScript használatával történő működésének logikájának megvalósítását, hogy ritka HID-eszközökkel működjön anélkül, hogy a rendszerben specifikus illesztőprogramok lennének. Először is, az új API célja, hogy támogatást nyújtson a játékkonzoloknak.
Az API Screen Information kiterjeszti az API Window Placement lehetőségeit több képernyős konfigurációk támogatásával. A window.screen-től eltérően az új API lehetővé teszi az ablakok elhelyezésének manipulálását a többmonitoros rendszerek általános képernyőterében, nem korlátozva a jelenlegi képernyőre.
A battery-savings meta-tag, amellyel a webhely tájékoztathatja a böngészőt az energiatakarékos üzemmódok és a CPU terhelésének optimalizálásának aktiválásának szükségességéről.
Az API COOP Reporting a Cross-Origin-Embedder-Policy (COEP) és a Cross-Origin-Opener-Policy (COOP) izolációs módok esetleges megsértéseinek bejelentésére szolgál, tényleges korlátozások alkalmazása nélkül.
Az API Credential Management egy új típusú PaymentCredential hitelesítő adatot kínál, amely kiegészítő megerősítést biztosít a végrehajtott pénzügyi tranzakciókhoz. A hitelesítő fél, például a bank, képes generálni egy nyilvános kulcsot PublicKeyCredential, amelyet a kereskedő kérhet a tranzakció további biztonságos megerősítésére.
Az API PointerEvents a stylus dőlésszögének meghatározásához hozzáadta a magassági (a stylus és a képernyő közötti szög) és az azimutális (a X tengely és a stylus képernyőre vetített képe közötti szög) támogatását, a TiltX és TiltY szögek helyett (a stylus síkjának és az egyik tengelynek, valamint a Y és Z tengelyek síkjának közötti szög). A magasság/azimut és a TiltX/TiltY közötti átvitel funkciói is hozzá lettek adva.
A URL-ban szereplő szóköz kódolása megváltozott, így a navigator.registerProtocolHandler() metódus most a szóközöket «»-ra cseréli a «+» helyett, ezzel egységesítve a viselkedést más böngészőkkel, például a Firefox-szal.
A CSS-hez hozzáadódott a "::marker" pszeudoelem, amely lehetővé teszi a szín, méret, forma és számok, valamint pontok típusának testreszabását a
Work has begun to replace the QUIC protocol implementation with the variant developed in the IETF specification, instead of the Google variant of QUIC.
Az új verzióban a hibajavításokon és újdonságokon kívül 35 sebezhetőséget is megszüntettek. Sok sebezhetőséget automatizált tesztelések során, az AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer és AFL eszközökkel fedeztek fel. Az egyik sebezhetőséget (CVE-2020-15967, a Google Payments-szel való interakciót megvalósító kódban felszabadított memória területre való hivatkozás) kritikusnak jelölték, azaz lehetővé teszi a böngésző összes védelmi szintjének megkerülését és kód végrehajtását a rendszerben a sandbox környezeten kívül. A Google 71500 dollár összegű 27 prémiumot fizetett ki a sebezhetőségek felfedezésére indított pénzdíj program keretében a jelenlegi kiadásra (egy prémium $15000, három prémium $7500, öt prémium $5000, kettő $3000, egy $200 és két prémium $500). A 13 prémium mértéke még nem lett meghatározva.
Forrás: Opennet.ru
Forrás: linux.org.ru