גרסה 79 של Chrome

גוגל מוצג שחרור דפדפן אינטרנט כרום 79... בּוֹ זְמַנִית זמין שחרור יציב של פרויקט חינמי כרום, המשמש כבסיס של Chrome. דפדפן כרום אחר שימוש בלוגו של גוגל, נוכחות מערכת לשליחת הודעות במקרה של קריסה, יכולת הורדת מודול פלאש לפי בקשה, מודולים להפעלת תוכן וידאו מוגן (DRM), מערכת להתקנה אוטומטית של עדכונים ושידור במהלך החיפוש פרמטרים של RLZ. המהדורה הבאה של Chrome 80 מתוכננת ל-4 בפברואר.

העיקרי שינויים в Chrome 79:

• מוּפעָל רכיב בדיקת סיסמאות, שנועד לנתח את עוצמת הסיסמאות שבהן משתמש המשתמש. כאשר מנסים להיכנס לכל אתר בדיקת סיסמאות מבצע בדיקת כניסה וסיסמה מול מסד נתונים של חשבונות שנפגעו עם אזהרה אם מתגלות בעיות (הבדיקה מתבצעת על סמך קידומת hash בצד המשתמש). הבדיקה מתבצעת מול מסד נתונים המכסה למעלה מ-4 מיליארד חשבונות שנפגעו שהופיעו במאגרי מידע של משתמשים שדלפו. אזהרה מוצגת גם כאשר מנסים להשתמש בסיסמאות טריוויאליות כגון "abc123". כדי לשלוט בהכללה של בדיקת סיסמאות, הוטמעה הגדרה מיוחדת בסעיף "סנכרון ושירותי גוגל".
• מוצגת טכנולוגיה חדשה לזיהוי דיוג בזמן אמת. בעבר, האימות בוצע על ידי גישה לרשימות שחורות של גלישה בטוחה שהורדו מקומית, אשר עודכנו בערך אחת ל-30 דקות, מה שהתברר כלא מספיק, למשל, בתנאים של החלפת דומיין תכופה על ידי תוקפים. השיטה החדשה מאפשרת לך לבדוק כתובות אתרים תוך כדי בדיקה עם בדיקה מקדימה מול רשימות הלבנים הכוללות גיבוב של אלפי אתרים פופולריים שהם אמינים. אם האתר הנפתח אינו ברשימה הלבנה, הדפדפן בודק את כתובת האתר בשרת גוגל, ומשדר את 32 הסיביות הראשונות של ה-hash SHA-256 של הקישור, שממנו מנותקים נתונים אישיים אפשריים. לפי גוגל, הגישה החדשה יכולה לשפר את יעילות האזהרות לאתרי פישינג חדשים ב-30%.
• נוספה הגנה יזומה מפני העברת אישורי גוגל וכל סיסמאות המאוחסנות במנהל הסיסמאות דרך דפי פישינג. אם תנסה להזין סיסמה שמורה באתר שבו לא נעשה שימוש בסיסמה זו בדרך כלל, המשתמש יקבל אזהרה על פעולה שעלולה להיות מסוכנת.
• חיבורים המשתמשים ב-TLS 1.0 ו-1.1 מציגים כעת מחוון חיבור לא מאובטח. תמיכה מלאה ב-TLS 1.0 ו-1.1 יושבת ב-Chrome 81, מתוכנן ל-17 במרץ 2020.
• נוספה אפשרות להקפיא כרטיסיות לא פעילות, מה שמאפשר לך לפרוק אוטומטית מכרטיסיות הזיכרון שנמצאות ברקע יותר מ-5 דקות ואינן מבצעות פעולות משמעותיות. ההחלטה לגבי התאמת לשונית מסוימת להקפאה נעשית על סמך היוריסטיות. הפעלת הפונקציה נשלטת באמצעות הדגל "chrome://flags/#proactive-tab-freeze".
• מְאוּבטָח חסימת תוכן מעורב בדפים שנפתחו ב-HTTPS כדי להבטיח שדפים שנפתחים ב-https:// מכילים רק משאבים שנטענו בערוץ תקשורת מאובטח. למרות שהסוגים המסוכנים ביותר של תוכן מעורב, כגון סקריפטים ו-iframes, כבר חסומים כברירת מחדל, עדיין ניתן היה להוריד תמונות, קבצי אודיו וסרטונים דרך http://. אינדיקטור התוכן המעורב שנעשה בו שימוש בעבר עבור תוספות כאלה נמצא כלא יעיל ומטעה את המשתמש, מכיוון שהוא אינו מספק הערכה חד משמעית לגבי אבטחת הדף. לדוגמה, באמצעות זיוף תמונות, תוקף יכול להחליף קובצי Cookie למעקב אחר משתמשים, לנסות לנצל נקודות תורפה במעבדי תמונה, או לבצע זיוף על ידי החלפת המידע המסופק בתמונה. כדי לבטל את הנעילה של רכיבים מעורבים, נוספה הגדרה מיוחדת, אליה ניתן לגשת דרך התפריט המופיע בלחיצה על סמל הנעילה.
• נוספה יכולת ניסיונית לשתף תוכן לוח בין גרסאות שולחן העבודה לנייד של Chrome. במקרים של Chrome מקושר לחשבון אחד, כעת תוכל לגשת לתוכן הלוח של מכשיר אחר, כולל שיתוף הלוח בין מערכות ניידות ושולחנות עבודה. תוכן הלוח מוצפן באמצעות הצפנה מקצה לקצה, המונעת גישה לטקסט בשרתי גוגל. הפונקציה מופעלת באמצעות האפשרויות chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui ו-chrome://flags#sync-clipboard-service.
• בשורת הכתובת ברגעים מסוימים (לדוגמה, בעת שמירת סיסמה) כאשר סנכרון הפרופיל כבוי, בנוסף לאוואטר, מוצג שם חשבון Google הנוכחי כך שהמשתמש יוכל לזהות במדויק את החשבון הפעיל הנוכחי.
• מופעל עבור 1% מהמשתמשים לתמוך "DNS over HTTPS" (DoH, DNS over HTTPS). הניסוי כולל רק משתמשים שהגדרות המערכת שלהם כבר ציינו ספקי DNS שתומכים ב-DoH. לדוגמה, אם למשתמש יש DNS 8.8.8.8 שצוין בהגדרות המערכת, שירות DoH של Google ("https://dns.google.com/dns-query") יופעל בכרום; אם ה-DNS הוא 1.1.1.1. XNUMX, ולאחר מכן שירות DoH Cloudflare ("https://cloudflare-dns.com/dns-query") וכו'. כדי לקבוע אם DoH מופעל, ההגדרה "chrome://flags/#dns-over-https" מסופקת. שלושה מצבי הפעלה נתמכים: מאובטח, אוטומטי וכבוי. במצב "מאבטח", המארחים נקבעים רק על סמך ערכי מאובטחים שנשמרו בעבר במטמון (המתקבלים באמצעות חיבור מאובטח) ובקשות באמצעות DoH; חזרה ל-DNS רגיל אינה מוחלת. במצב "אוטומטי", אם DoH והמטמון המאובטח אינם זמינים, ניתן לאחזר נתונים מהמטמון הלא מאובטח ולגשת אליהם דרך DNS מסורתי. במצב "כבוי", המטמון המשותף נבדק תחילה ואם אין נתונים, הבקשה נשלחת דרך ה-DNS של המערכת.
• נוסף ניסיוני לתמוך שמירה במטמון של תוכן מעובד בעת החלפת עמודים באמצעות כפתורי קדימה ואחורה, מה שיכול לצמצם משמעותית את העיכובים במהלך סוג זה של ניווט עקב שמירה מלאה במטמון של כל העמוד, שאינו מצריך עיבוד מחדש וטעינה של משאבים. האופטימיזציה בולטת במיוחד בגרסה למכשירים ניידים, בה עליית הביצועים במהלך הניווט מגיעה ל-19%. המצב מופעל באמצעות האפשרות "chrome://flags#back-forward-cache".
• נמחק הגדרת "chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains", שאפשרה להחזיר את תצוגת הפרוטוקול בשורת הכתובת (כעת כל הקישורים מוצגים תמיד ללא https :// ו-http:// /, וגם ללא "www.").
• Builds עבור Windows כוללים ארגז חול של שירות השמעת אודיו. כדי לקבוע אם הבידוד מופעל, מוצע המאפיין AudioSandboxEnabled.
• כלי ניהול מרכזי לארגונים כוללים את היכולת להגדיר כללים השולטים בכמה זיכרון מופע דפדפן יכול לצרוך לפני פריקת כרטיסיות רקע. הזיכרון ששוחרר לאחר פריקת כרטיסייה הופך זמין לשימוש, ותוכן הכרטיסייה נטען שוב בעת המעבר אליה.
• לינוקס משתמשת במעבד אימות אישורים מובנה, המחליף את מערכת ה-NSS שהייתה בעבר. במקרה זה, המעבד המובנה ממשיך להשתמש בחנות NSS במהלך האימות, אך מטיל דרישות מחמירות יותר בעת עיבוד תעודות מקודדות שגויות ומאושרות בנפרד (כל התעודות חייבות להיות מאושרות על ידי רשות אישורים).
• בגרסה לפלטפורמת אנדרואיד הוסיף היכולת להקצות סמלים מסתגלים ליישומי אינטרנט מותקנים הפועלים במצב Progressive Web Apps (PWA). אייקונים מסתגלים יכולים להתאים את עצמם לממשק בו משתמש יצרן המכשיר, למשל, להיות עגולים, מרובעים או עם פינות חלקות.
• נוסף API מכשיר WebXR, המספק גישה לרכיבים ליצירת מציאות מדומה ורבודה. ה-API מאפשר לך לאחד עבודה עם סוגים שונים של מכשירים, מאוזניות נייחות של מציאות מדומה כמו Oculus Rift, HTC Vive ו-Windows Mixed Reality, ועד לפתרונות המבוססים על מכשירים ניידים כמו Google Daydream View ו-Samsung Gear VR. יישומים שבהם ה-API החדש עשוי להיות ישים כוללים תוכניות לצפייה בווידאו במצב 360°, מערכות להמחשת מרחב תלת מימדי, יצירת בתי קולנוע וירטואליים להצגת וידאו, עריכת ניסויים ביצירת ממשקי תלת מימד לחנויות וגלריות;
  

• במצב ניסויים של Origin (תכונות ניסוי הדורשות נפרדות הַפעָלָה) הוצעו כמה ממשקי API חדשים. ניסיון של Origin מרמז על היכולת לעבוד עם ה-API שצוין מיישומים שהורדו מ-localhost או 127.0.0.1, או לאחר רישום וקבלת אסימון מיוחד שתקף לזמן מוגבל עבור אתר ספציפי.
  • עבור כל רכיבי ה-HTML, מוצעת התכונה "rendersubtree", מה שמבטיח שהתצוגה של רכיב ה-DOM קבועה. הגדרת התכונה ל"בלתי נראה" תמנע את עיבוד או בדיקה של תוכן האלמנט, מה שמאפשר עיבוד אופטימלי. כאשר הוא מוגדר ל"הפעלה", הדפדפן יסיר את התכונה הבלתי נראה, יעבד את התוכן ויהפוך אותו לגלוי.
  • נוספה אפשרות API נעילת השכמה מבוסס על מנגנון ה-Promise, המספק דרך בטוחה יותר לשלוט בהשבתת מסכי הנעילה האוטומטית והחלפת התקנים למצבי חיסכון בחשמל.
• הטמיע את היכולת להשתמש בתכונה פוקוס אוטומטי עבור כל רכיבי HTML ו-SVG שיכולים להיות בעלי מיקוד קלט.
• לתמונות וסרטונים מְאוּבטָח חשב את יחס הגובה-רוחב על סמך תכונות Width או Height, שבאמצעותן ניתן לקבוע את גודל התמונה באמצעות CSS בשלב בו התמונה עדיין לא נטענה (פותר את הבעיה בבנייה מחדש של העמוד לאחר טעינת התמונות).
• נוסף מאפיין CSS גודל גופן אופטי, אשר קובע אוטומטית את גודל הגופן המשתנה בקואורדינטות אופטיות "אופס", אם הגופן תומך בהם. המצב מאפשר לך לבחור את צורת הגליף האופטימלית עבור גודל מוגדר, לדוגמה, השתמש בגליפים מנוגדים יותר עבור כותרות.
• נוסף מאפיין CSS סוג רשימה, המאפשר לך להשתמש בסמלים כלשהם במקום בנקודות ברשימות, לדוגמה, "-", "+", "★" ו-"▸".
• אם אי אפשר להפעיל את Worklet.addModule(), מוחזר כעת אובייקט עם מידע מפורט על אופי השגיאה, מה שמאפשר לך להעריך בצורה מדויקת יותר את הסיבה לשגיאה (בעיות בחיבור לרשת, תחביר שגוי וכו' .).
• הפסיק לעבד רכיבי בעת העברתם בין מסמכים. בעת העברה בין מסמכים, ביצוע אירועי "שגיאה" ו"טעינה" הקשורים לסקריפט מושבתת גם היא.
• במנוע JavaScript V8 נערך אופטימיזציה של טיפול בשינויים בייצוג של שדות באובייקטים, וכתוצאה מכך ביצוע קוד AngularJS בחבילת הבדיקות Speedometer פועל מהר יותר ב-4%.
  

• V8 גם מייעל את העיבוד של מגטרים המוגדרים בממשקי API מובנים, כגון Node.nodeType ו-Node.nodeName, בהיעדר מטפל IC (מטמון מוטבע). השינוי הפחית את זמן הריצה של IC בכ-12% בעת הפעלת מבחני Backbone ו-jQuery מחבילת Speedometer.
  

• התוצאות של מנגנון ה-OSR (הנקרא on-stack replacement) נשמרות במטמון, אשר מחליף קוד אופטימלי במהלך ביצוע הפונקציה (מאפשר לך להתחיל להשתמש בקוד אופטימלי עבור פונקציות ארוכות טווח מבלי לחכות שהן יפעלו שוב). מטמון OSR מאפשר להשתמש בתוצאות האופטימיזציה בעת הפעלה מחדש של הפונקציה, ללא צורך לעבור אופטימיזציה מחדש.
  בחלק מהבדיקות, השינוי העלה את ביצועי השיא ב-5-18%.
  

• שינויים בכלים למפתחי אתרים:
  הופיע מצב ניפוי באגים כדי לקבוע את הסיבות לחסימת בקשה או שליחת קובץ Cookie.
  
  • בבלוק עם רשימת ה-Cookie, נוספה היכולת להציג במהירות את הערך של ה-Cookie שנבחר על ידי לחיצה על שורה ספציפית.
    

  • נוספה היכולת לדמות הגדרות שונות עבור שאילתות מדיה מעדיף-צבעים ומעדיפים תנועה מופחתת (לדוגמה, כדי לבדוק את התנהגות הדף עם ערכת נושא של מערכת כהה או עם אפקטים מונפשים מושבתים).
    

  • העיצוב של לשונית הכיסוי עבר מודרניזציה, ומאפשר לך להעריך את הקוד בשימוש ולא בשימוש. נוספה היכולת לסנן מידע לפי סוגו (JavaScript, CSS). מידע על שימוש בקוד נוסף גם בעת הצגת טקסט המקור.
    

  • נוספה את היכולת לנפות באגים בסיבות לבקשת משאב רשת מסוים לאחר הקלטת פעילות הרשת (ניתן לראות עקבות של קריאת קוד JavaScript שהובילה לטעינת המשאב).
    

  • נוספה ההגדרה "הגדרות > העדפות > מקורות > הזחה ברירת מחדל" כדי לקבוע את סוג ההזחה (2/4/8 רווחים או טאבים) בקוד המוצג בחלוניות המסוף והמקורות.

בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 51 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות באמצעות הכלים AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer ו-AFL. שתי בעיות (CVE-2019-13725, גישה לזיכרון שכבר משוחרר בקוד לתמיכה ב-Bluetooth, ו-CVE-2019-13726, הצפה בערימה במנהל הסיסמאות) מסומנות כקריטיות, כלומר. לאפשר לך לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. זו הפעם הראשונה ששתי בעיות קריטיות זוהו באותו מחזור פיתוח בכרום. הפגיעות הראשונה נמצאה על ידי חוקרים ממעבדת האבטחה Tencent Keen ו הפגין בתחרות גביע טיאנפו, והשני נמצא על ידי סרגיי גלזונוב מ-Google Project Zero.

כחלק מתוכנית התגמול במזומן לגילוי נקודות תורפה עבור המהדורה הנוכחית, גוגל שילמה 37 פרסים בשווי $80000 (פרס אחד של $20000, פרס אחד של $10000, שני פרסים של $7500, ארבעה פרסים של $5000, פרס אחד של $3000, שני פרסים של $2000 ושמונה $1000. פרסים של $500). גודלם של 15 התגמולים טרם נקבע.

מקור: OpenNet.ru