כרום 86

המהדורה הבאה של Chrome 86 והמהדורה היציבה של Chromium שוחררו.

שינויים מרכזיים ב-Chrome 86:

• הגנה מפני הגשה לא בטוחה של טפסי קלט בדפים שנטענו באמצעות HTTPS אך שולחים נתונים באמצעות HTTP.
• חסימת הורדות לא בטוחות (http) של קבצי הפעלה משלימה על ידי חסימת הורדות לא בטוחות של ארכיונים (zip, iso וכו') והצגת אזהרות על הורדה לא בטוחה של מסמכים (docx, pdf וכו'). חסימת מסמכים ואזהרות עבור תמונות, טקסט וקובצי מדיה צפויות במהדורה הבאה. החסימה מיושמת מכיוון שהורדת קבצים ללא הצפנה יכולה לשמש לביצוע פעולות זדוניות על ידי החלפת התוכן במהלך התקפות MITM.
• תפריט ההקשר המוגדר כברירת מחדל מציג את האפשרות "הצג תמיד כתובת URL מלאה", שבעבר נדרשה לשנות את ההגדרות בדף about:flags כדי להפעיל. ניתן לראות את כתובת האתר המלאה גם על ידי לחיצה כפולה על שורת הכתובת. נזכיר לך שהחל מ-Chrome 76, כברירת מחדל הכתובת החלה להופיע ללא הפרוטוקול ותת-הדומיין www. ב-Chrome 79 הוסרה ההגדרה להחזרת ההתנהגות הישנה, ​​אך לאחר חוסר שביעות רצון של המשתמש, נוסף דגל ניסיוני חדש ב-Chrome 83 שמוסיף אפשרות לתפריט ההקשר להשבית הסתרה והצגה של כתובת האתר המלאה בכל התנאים.
  עבור אחוז קטן מהמשתמשים, הושק ניסוי להציג רק את הדומיין בשורת הכתובת כברירת מחדל, ללא רכיבי נתיב ופרמטרים של שאילתה. לדוגמה, במקום "https://example.com/secure-google-sign-in/" "example.com" יוצג. המצב המוצע צפוי להיות מובא לכל המשתמשים באחת המהדורות הבאות. כדי להשבית התנהגות זו, אתה יכול להשתמש באפשרות "הצג תמיד כתובת URL מלאה", וכדי להציג את כתובת האתר כולה, תוכל ללחוץ על שורת הכתובת. המניע לשינוי הוא הרצון להגן על המשתמשים מפני פישינג שמתמרן פרמטרים בכתובת ה-URL - התוקפים מנצלים את חוסר תשומת הלב של המשתמשים כדי ליצור מראית עין של פתיחת אתר אחר וביצוע פעולות הונאה (אם החלפות כאלה ברורות למשתמש בעל יכולת טכנית , אז אנשים חסרי ניסיון נופלים בקלות למניפולציה פשוטה כזו).
• היוזמה להסרת תמיכת FTP חודשה. ב-Chrome 86, FTP מושבת כברירת מחדל עבור כ-1% מהמשתמשים, וב-Chrome 87 היקף ההשבתה יוגדל ל-50%, אך ניתן להחזיר את התמיכה באמצעות "--enable-ftp" או "- דגל -enable-features=FtpProtocol". ב-Chrome 88, תמיכת FTP תושבת לחלוטין.
• בגרסה לאנדרואיד, בדומה לגרסה למערכות שולחניות, מנהל הסיסמאות מיישם בדיקה של כניסות וסיסמאות שמורות מול מסד נתונים של חשבונות שנפגעו, תוך הצגת אזהרה אם מתגלות בעיות או נעשה ניסיון להשתמש בסיסמאות טריוויאליות. הבדיקה מתבצעת מול מסד נתונים המכסה למעלה מ-4 מיליארד חשבונות שנפגעו שהופיעו במאגרי מידע של משתמשים שדלפו. כדי לשמור על פרטיות, קידומת ה-hash מאומתת בצד המשתמש, והסיסמאות עצמן וה-hash המלא שלהן אינן מועברות חיצונית.
• גם כפתור "בדיקת בטיחות" ומצב ההגנה המוגבר מפני אתרים מסוכנים (Enhanced Safe Browsing) הועברו לגרסת אנדרואיד. כפתור "בדיקת בטיחות" מציג סיכום של בעיות אבטחה אפשריות, כמו שימוש בסיסמאות שנפגעו, סטטוס בדיקת אתרים זדוניים (גלישה בטוחה), נוכחות של עדכונים שלא הותקנו וזיהוי תוספות זדוניות. מצב הגנה מתקדם מפעיל בדיקות נוספות להגנה מפני פישינג, פעילות זדונית ואיומים אחרים באינטרנט, וכולל גם הגנה נוספת לחשבון הגוגל שלך ולשירותי גוגל (Gmail, Drive וכו'). אם במצב גלישה בטוחה הרגיל מבוצעות בדיקות מקומיות באמצעות מסד נתונים הנטען מעת לעת למערכת של הלקוח, אזי בגלישה בטוחה משופרת נשלח מידע על דפים והורדות בזמן אמת לאימות בצד גוגל, מה שמאפשר להגיב במהירות איומים מיד לאחר זיהוים, מבלי לחכות עד שהרשימה השחורה המקומית תתעדכן.
• נוספה תמיכה בקובץ המחוונים ".well-known/change-password", שבאמצעותו בעלי האתר יכולים לציין את כתובת טופס האינטרנט לשינוי הסיסמה. אם האישורים של משתמש נפגעים, Chrome יבקש מיד מהמשתמש טופס שינוי סיסמה על סמך המידע בקובץ זה.
• אזהרת "טיפ בטיחות" חדשה הוטמעה, המוצגת בעת פתיחת אתרים שהדומיין שלהם דומה מאוד לאתר אחר והיוריסטיקה מראה שיש סבירות גבוהה לזיוף (לדוגמה, goog0le.com נפתח במקום google.com).

  * הוטמעה תמיכה במטמון אחורה קדימה, המספקת ניווט מיידי בעת שימוש בכפתורי "הקודם" ו"קדימה" או בעת ניווט בדפים שנצפו בעבר באתר הנוכחי. המטמון מופעל באמצעות ההגדרה chrome://flags/#back-forward-cache.

• אופטימיזציה של צריכת משאבי ה-CPU עבור חלונות מחוץ לתחום. Chrome בודק אם חלון הדפדפן חופף על ידי חלונות אחרים ומונע ציור פיקסלים באזורי חפיפה. אופטימיזציה זו הופעלה עבור אחוז קטן מהמשתמשים ב-Chrome 84 ו-85 וכעת היא מופעלת בכל מקום. בהשוואה למהדורות קודמות, נפתרה גם אי התאמה למערכות וירטואליזציה שגרמה להופעת דפים לבנים ריקים.
• חיתוך משאבים מוגבר עבור כרטיסיות רקע. כרטיסיות כאלה כבר לא יכולות לצרוך יותר מ-1% ממשאבי המעבד וניתן להפעיל אותן לא יותר מפעם אחת בדקה. לאחר חמש דקות של הימצאות ברקע, כרטיסיות מוקפאות, למעט כרטיסיות שמנגנות תוכן מולטימדיה או הקלטה.
• העבודה על איחוד כותרת HTTP של User-Agent התחדשה. בגרסה החדשה מופעלת תמיכה במנגנון User-Agent Client Hints, שפותח כתחליף ל-User-Agent, עבור כל המשתמשים. המנגנון החדש כרוך בהחזרה סלקטיבית של נתונים לגבי פרמטרים ספציפיים של דפדפן ומערכת (גרסה, פלטפורמה וכו') רק לאחר בקשה של השרת ומתן אפשרות למשתמשים לספק מידע כזה באופן סלקטיבי לבעלי האתר. בעת שימוש ב-User-Agent Client Hints, המזהה אינו מועבר כברירת מחדל ללא בקשה מפורשת, מה שהופך את הזיהוי הפסיבי לבלתי אפשרי (כברירת מחדל, רק שם הדפדפן מצוין).
  האינדיקציה לקיומו של עדכון והצורך להפעיל מחדש את הדפדפן כדי להתקין אותו שונתה. במקום חץ צבעוני, "עדכון" מופיע כעת בשדה הדמות של החשבון.
• בוצעה עבודה להמרת הדפדפן לשימוש בטרמינולוגיה כוללנית. בשמות מדיניות, המילים "רשימה לבנה" ו"רשימה שחורה" הוחלפו ב"רשימת היתרים" ו"רשימת חסימה" (מדיניות שכבר נוספה תמשיך לפעול, אך היא תציג אזהרה על ביטול משימוש). בקוד ובשמות קבצים, ההפניות ל"רשימה שחורה" הוחלפו ב"רשימת חסימה". הפניות גלויות למשתמש ל"רשימה שחורה" ו"רשימה לבנה" הוחלפו בתחילת 2019.
  נוספה יכולת ניסיונית לעריכת סיסמאות שמורות, שהופעלה באמצעות הדגל "chrome://flags/#edit-passwords-in-settings".
• ה-Native File System API הועבר לקטגוריה של API יציב וזמין לציבור, המאפשר לך ליצור יישומי אינטרנט המקיימים אינטראקציה עם קבצים במערכת הקבצים המקומית. לדוגמה, ה-API החדש עשוי להיות מבוקש בסביבות פיתוח משולבות מבוססות דפדפן, עורכי טקסט, תמונות ווידאו. כדי להיות מסוגל לכתוב ולקרוא קבצים ישירות או להשתמש בדיאלוגים לפתיחה ולשמירה של קבצים, כמו גם כדי לנווט בין התוכן של ספריות, האפליקציה מבקשת מהמשתמש אישור מיוחד.
• נוסף בורר CSS ":focus-visible", שמשתמש באותה היוריסטיקה שבה משתמש הדפדפן כאשר הוא מחליט אם להציג את מחוון שינוי המיקוד (בעת העברת מיקוד ללחצן באמצעות קיצורי מקלדת, המחוון מופיע, אך בלחיצה עם העכבר , זה לא). בורר ה-CSS הזמין בעבר ":focus" תמיד מדגיש את המיקוד. בנוסף, נוספה להגדרות אפשרות "הדגשת מיקוד מהיר", כאשר מופעלת, יוצג מחוון מיקוד נוסף לצד אלמנטים פעילים, אשר נשאר גלוי גם אם אלמנטים בסגנון להדגשה ויזואלית של מיקוד מושבתים בעמוד באמצעות CSS.
• מספר ממשקי API חדשים נוספו למצב נסיונות Origin (תכונות ניסוי הדורשות הפעלה נפרדת). ניסיון של Origin מרמז על היכולת לעבוד עם ה-API שצוין מיישומים שהורדו מ-localhost או 127.0.0.1, או לאחר רישום וקבלת אסימון מיוחד שתקף לזמן מוגבל עבור אתר ספציפי.
• WebHID API לגישה ברמה נמוכה למכשירי HID (התקני ממשק אנושי, מקלדות, עכברים, משטחי משחק, משטחי מגע), המאפשר לך ליישם את ההיגיון של עבודה עם מכשיר HID ב-JavaScript כדי לארגן עבודה עם מכשירי HID נדירים ללא נוכחות של מנהלי התקנים ספציפיים במערכת. קודם כל, ה-API החדש נועד לספק תמיכה עבור משטחי משחק.
• Screen Information API, מרחיב את ה-Window Placement API לתמיכה בתצורות מרובות מסכים. בניגוד ל-window.screen, ה-API החדש מאפשר לך לתפעל את מיקום החלון במרחב המסך הכולל של מערכות מרובות צגים, מבלי להיות מוגבל למסך הנוכחי.
• מטא תג חיסכון בסוללה, בעזרתו האתר יכול ליידע את הדפדפן על הצורך בהפעלת מצבים כדי להפחית את צריכת החשמל ולייעל את עומס המעבד.
• COOP Reporting API לדווח על הפרות אפשריות של מצבי בידוד Cross-Origin-Embedder-Policy (COEP) ו-Cross-Origin-Opener-Policy (COOP), מבלי להחיל הגבלות ממשיות.
• ה-API לניהול אישורים מציע סוג חדש של אישורים, PaymentCredential, המספק אישור נוסף על ביצוע עסקת התשלום. לגורם סומך, כגון בנק, יש את היכולת ליצור מפתח ציבורי, PublicKeyCredential, אותו יכול הסוחר לבקש לאישור תשלום מאובטח נוסף.
• ה-PointerEvents API לקביעת הטיית החרט* הוסיף תמיכה בזוויות הגבהה (הזווית בין החרט למסך) ובאזימוט (הזווית בין ציר ה-X והקרנת החרט על המסך), במקום זוויות TiltX ו- TiltY (הזוויות בין המישור מהעט לאחד הצירים והמישור מצירי Y ו-Z). נוספו גם פונקציות המרה בין גובה/אזימוט ו- TiltX/TiltY.
• שינה את קידוד הרווח בכתובות URL בעת חישובו במטפלי פרוטוקולים - השיטה navigator.registerProtocolHandler() מחליפה כעת רווחים ב-"%20" במקום ב-"+", מה שמאחד את ההתנהגות עם דפדפנים אחרים כגון Firefox.
• פסאודו-אלמנט "::marker" נוסף ל-CSS, המאפשר לך להתאים אישית את הצבע, הגודל, הצורה והסוג של מספרים ונקודות עבור רישומים בבלוקים ו .
• נוספה תמיכה בכותרת ה-HTTP של Document-Policy, המאפשרת להגדיר כללים לגישה למסמכים, בדומה למנגנון בידוד ארגז החול עבור iframes, אך אוניברסלי יותר. לדוגמה, באמצעות Document-Policy תוכל להגביל את השימוש בתמונות באיכות נמוכה, להשבית ממשקי API איטיים של JavaScript, להגדיר כללים לטעינת iframes, תמונות וסקריפטים, להגביל את גודל המסמך והתעבורה הכוללים, לאסור שיטות שמובילות לציור מחדש של עמודים, וכן השבת את פונקציית הגלילה לטקסט.
• לאלמנט הוסיפה תמיכה בפרמטרים 'inline-grid', 'grid', 'inline-flex' ו-'flex' שנקבעו באמצעות מאפיין ה-CSS 'display'.
• נוספה שיטת ParentNode.replaceChildren() להחלפת כל הילדים של צומת אב בצומת DOM אחר. בעבר, אתה יכול להשתמש בשילוב של node.removeChild() ו-node.append() או node.innerHTML ו-node.append() כדי להחליף צמתים.
• טווח סכימות כתובת האתר שניתן לעקוף באמצעות registerProtocolHandler() הורחב. רשימת הסכימות כוללת את הפרוטוקולים המבוזרים cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns ו-ssb, המאפשרים לך להגדיר קישורים לאלמנטים ללא קשר לאתר או לשער המספק גישה למשאב.
• נוספה תמיכה בפורמט טקסט/html ל-API ה-Asynchronous Clipboard להעתקה והדבקה של HTML דרך הלוח (קונסטרוקציות HTML מסוכנות מתנקות בעת כתיבה וקריאה ללוח). השינוי, למשל, מאפשר לך לארגן את ההכנסה וההעתקה של טקסט מעוצב עם תמונות וקישורים בעורכי אינטרנט.
• WebRTC הוסיפה את היכולת לחבר מטפלי נתונים משלה, הנקראים בשלבי הקידוד או הפענוח של WebRTC MediaStreamTrack. לדוגמה, ניתן להשתמש ביכולת זו כדי להוסיף תמיכה בהצפנה מקצה לקצה של נתונים המועברים דרך שרתי ביניים.
  במנוע V8 JavaScript, היישום של Number.prototype.toString הואץ ב-75%. מאפיין .name נוסף למחלקות אסינכרוניות עם ערך ריק. שיטת Atomics.wake הוסרה, ששמה שונה בעבר ל-Atomics.notify כדי להתאים למפרט ECMA-262. הקוד של כלי הבדיקה המעורפל JS-Fuzzer פתוח.
• מהדר הבסיס של Liftoff עבור WebAssembly שפורסם במהדורה האחרונה כולל את היכולת להשתמש בהוראות וקטור SIMD כדי להאיץ את החישובים. אם לשפוט לפי הבדיקות, האופטימיזציה אפשרה לזרז חלק מהבדיקות פי 2.8. אופטימיזציה נוספת עשתה את זה הרבה יותר מהיר לקרוא לפונקציות JavaScript מיובאות מ-WebAssembly.
• הכלים למפתחי אתרים הורחבו: חלונית המדיה הוסיפה מידע על הנגנים המשמשים להפעלת וידאו בדף, כולל נתוני אירועים, יומנים, ערכי מאפיינים ופרמטרים של פענוח פריימים (לדוגמה, אתה יכול לקבוע את הגורמים למסגרת אובדן ובעיות אינטראקציה מ-JavaScript).
• בתפריט ההקשר של החלונית Elements, נוספה היכולת ליצור צילומי מסך של הרכיב הנבחר (לדוגמה, ניתן ליצור צילום מסך של תוכן העניינים או הטבלה).
• במסוף האינטרנט, חלונית אזהרת הבעיה הוחלפה בהודעה רגילה, ובעיות בקובצי Cookie של צד שלישי מוסתרות כברירת מחדל בלשונית 'בעיות' ומופעלות עם תיבת סימון מיוחדת.
• בלשונית Rendering, נוסף כפתור "השבת גופנים מקומיים", המאפשר לדמות היעדר גופנים מקומיים, ובכרטיסייה חיישנים ניתן כעת לדמות חוסר פעילות משתמש (עבור אפליקציות המשתמשות ב-Idle Detection API).
• חלונית היישומים מספקת מידע מפורט על כל iframe, חלון פתוח וחלון קופץ, כולל מידע על בידוד Cross-Origin באמצעות COEP ו-COOP.

היישום של פרוטוקול QUIC החל להיות מוחלף בגרסה שפותחה במפרט IETF, במקום בגרסת גוגל של QUIC.
בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 35 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות באמצעות הכלים AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ו-AFL. פגיעות אחת (CVE-2020-15967, גישה לזיכרון משוחרר בקוד לאינטראקציה עם Google Payments) מסומנת כקריטית, כלומר. מאפשר לך לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. כחלק מהתוכנית לתגמול כספי על גילוי נקודות תורפה עבור המהדורה הנוכחית, גוגל שילמה 27 פרסים בשווי $71500 (פרס אחד של $15000, שלושה פרסים של $7500, חמישה פרסים של $5000, שני פרסים של $3000, פרס אחד של $200 ושני פרסים של $500). גודלם של 13 תגמולים טרם נקבע.

נלקח מ Opennet.ru

מקור: linux.org.ru