גרסה 84 של Chrome

גוגל מוצג שחרור דפדפן אינטרנט כרום 84... בּוֹ זְמַנִית זמין שחרור יציב של פרויקט חינמי כרום, המשמש כבסיס של Chrome. דפדפן כרום אחר שימוש בלוגו של גוגל, נוכחות מערכת לשליחת הודעות במקרה של קריסה, יכולת הורדת מודול פלאש לפי בקשה, מודולים להפעלת תוכן וידאו מוגן (DRM), מערכת להתקנה אוטומטית של עדכונים ושידור במהלך החיפוש פרמטרים של RLZ. המהדורה הבאה של Chrome 85 מתוכננת ל-25 באוגוסט.

העיקרי שינויים в Chrome 84:

• נָכֶה תמיכה בפרוטוקולי TLS 1.0 ו-TLS 1.1. כדי לגשת לאתרים דרך ערוץ תקשורת מאובטח, השרת חייב לספק תמיכה ב-TLS 1.2 לפחות, אחרת הדפדפן יציג כעת שגיאה. לפי גוגל, נכון לעכשיו כ-0.5% מההורדות של דפי אינטרנט ממשיכות להתבצע באמצעות גרסאות מיושנות של TLS. ההשבתה בוצעה בהתאם המלצות IETF (כוח משימה להנדסת אינטרנט). הסיבה לדחיית TLS 1.0/1.1 היא היעדר תמיכה בצפנים מודרניים (למשל, ECDHE ו-AEAD) והדרישה לתמוך בצפנים ישנים, שאמינותם מוטלת בספק בשלב הנוכחי של התפתחות טכנולוגיית המחשוב (למשל , נדרשת תמיכה עבור TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, MD5 ו-SHA-1). ההגדרה המאפשרת חזרה ל-TLS 1.0/1.1 תישמר עד ינואר 2021.
• חסימה מסופקת אתחול לא בטוח (ללא הצפנה) של קבצי הפעלה ונוספו אזהרות בעת טעינת ארכיונים בצורה לא בטוחה. בעתיד, מתוכנן להפסיק בהדרגה את התמיכה בהעלאת קבצים ללא הצפנה. החסימה מיושמת מכיוון שהורדת קבצים ללא הצפנה יכולה לשמש לביצוע פעולות זדוניות על ידי החלפת התוכן במהלך התקפות MITM.
• נוסף תמיכה ראשונית מזהה רמזים ללקוח, שפותח כחלופה לכותרת User-Agent. מנגנון ה- Client Hints מציע סדרה של כותרות "Sec-CH-UA-*" כתחליף ל-User-Agent, המאפשר לך לארגן מסירה סלקטיבית של נתונים לגבי פרמטרים ספציפיים של דפדפן ומערכת (גרסה, פלטפורמה וכו') בלבד לאחר בקשה של השרת. המשתמש מקבל את ההזדמנות לקבוע אילו פרמטרים מקובלים למסירה ולספק מידע כזה באופן סלקטיבי לבעלי האתר. בעת שימוש ב-Client Hints, המזהה אינו מועבר כברירת מחדל ללא בקשה מפורשת, מה שהופך זיהוי פסיבי לבלתי אפשרי (כברירת מחדל, רק שם הדפדפן מצוין). לעבוד על איחוד משתמש-סוכן נִדחֶה עד שנה הבאה.
• נמשך הַפעָלָה
  מחמירים יותר הגבלות העברת קובצי Cookie בין אתרים, אשר הייתה בוטל עקב COVID-19. עבור בקשות שאינן HTTPS, העיבוד של קובצי Cookie של צד שלישי המוגדרים בעת גישה לאתרים שאינם הדומיין של הדף הנוכחי אסור. עוגיות כאלה משמשות למעקב אחר תנועות משתמשים בין אתרים בקוד של רשתות פרסום, ווידג'טים של רשתות חברתיות ומערכות ניתוח אינטרנט.

  נזכיר שכדי לשלוט בהעברת העוגיות, נעשה שימוש בתכונת SameSite המצוינת בכותרת Set-Cookie, אשר כברירת מחדל תוגדר לערך "SameSite=Lax", המגביל את שליחת העוגיות עבור בקשות משנה חוצות אתרים , כגון בקשת תמונה או טעינת תוכן דרך iframe מאתר אחר. אתרים יכולים לעקוף את התנהגות ברירת המחדל של SameSite על ידי הגדרה מפורשת של הגדרת Cookie ל- SameSite=None. יתרה מכך, ניתן להגדיר את הערך SameSite=None for Cookie רק במצב מאובטח (תקף לחיבורים דרך HTTPS). השינוי יתבצע בשלבים, יתחיל באחוז קטן של משתמשים ולאחר מכן ירחיב בהדרגה את טווח ההגעה שלו.

• נוסף יישום ניסיוני חוסם מודעות עתיר משאבים, שניתן להפעיל באמצעות ההגדרה "chrome://flags/#enable-heavy-ad-intervention". החוסם מאפשר לך להשבית אוטומטית את בלוקי הפרסום של iframe לאחר חריגה מספי התנועה והעומס של המעבד. החסימה תופעל אם השרשור הראשי צרך יותר מ-60 שניות מזמן מעבד בסך הכל או 15 שניות במרווח של 30 שניות (צורך 50% מהמשאבים במשך יותר מ-30 שניות), וכן כאשר יותר מ-4MB של נתונים הורד דרך הרשת.

  החסימה תפעל רק אם, לפני חריגה מהמגבלות, המשתמש לא קיים אינטראקציה עם יחידת הפרסום (לדוגמה, לא לחץ עליה), אשר, בהתחשב בהגבלות התעבורה, יאפשר הפעלה אוטומטית של גדולות יש לחסום סרטונים בפרסום מבלי שהמשתמש יפעיל הפעלה מפורשת. הצעדים המוצעים יחסכו משתמשים מפרסום עם הטמעת קוד לא יעילה או פעילות טפילית מכוונת (לדוגמה, כרייה). לפי הסטטיסטיקה של גוגל, פרסום שעומד בקריטריוני החסימה מהווה רק 0.30% מכלל יחידות הפרסום, אך יחד עם זאת, תוספות פרסום כאלה צורכות 28% ממשאבי המעבד ו-27% מהתנועה מהיקף הפרסום הכולל.

• נעשתה עבודה לצמצום צריכת משאבי המעבד כאשר חלון הדפדפן אינו בשדה הראייה של המשתמש. Chrome בודק כעת אם חלון הדפדפן חופף על ידי חלונות אחרים ומונע ציור פיקסלים באזורי חפיפה. התכונה החדשה תושק בהדרגה: אופטימיזציה תופעל באופן סלקטיבי עבור משתמשים מסוימים ב-Chrome 84, ולאחרים ב-Chrome 85.
• ההגנה מופעלת כברירת מחדל הודעות מעצבנות, למשל, ספאם עם בקשות לקבל הודעות דחיפה. מאחר שבקשות מסוג זה קוטעות את עבודת המשתמש ומסיחות את תשומת הלב מפעולות בדיאלוג אישור, במקום תיבת דו-שיח נפרדת בשורת הכתובת, תוצג הנחית מידע שאינה מצריכה פעולה מהמשתמש עם אזהרה כי בקשת ההרשאות חסומה , אשר ממוזער אוטומטית לכדי מחוון עם תמונה של פעמון עם חוצה. בלחיצה על המחוון, תוכל להפעיל או לדחות את ההרשאה המבוקשת בכל זמן נוח.
  

• בחירת המשתמש נזכרת בעת פתיחת מטפלים לפרוטוקולים חיצוניים - המשתמש יכול לבחור "לאפשר תמיד לאתר זה" עבור מטפל ספציפי והדפדפן יזכור החלטה זו ביחס לאתר הנוכחי.
• נוספה הגנה מפני שינוי הגדרות משתמש ללא הסכמה מפורשת. אם התוסף משנה את מנוע החיפוש או הדף המוגדר כברירת מחדל עבור כרטיסייה חדשה, הדפדפן יציג כעת דו-שיח המבקש ממך לאשר את הפעולה שצוינה או לבטל את השינוי.
• נמשך הטמעת הגנה מפני טעינת תוכן מולטימדיה מעורב (כאשר משאבים נטענים בדף HTTPS באמצעות פרוטוקול http://). בדפים שנפתחו באמצעות HTTPS, קישורי "http://" יוחלפו כעת אוטומטית ב-"https://" בבלוקים המשויכים לטעינת תמונות (סקריפטים ואי-פריים הוחלפו בעבר, צפויה החלפה אוטומטית של משאבי אודיו ווידאו ב המהדורה הבאה). אם תמונה אינה זמינה דרך https, הורדתה חסומה (ניתן לסמן ידנית את החסימה דרך התפריט הנגיש דרך סמל המנעול בשורת הכתובת).
• נוספה תמיכה ב-API OTP אינטרנט (פותח כ-SMS Receiver API), המאפשר לארגן את הזנת סיסמה חד פעמית בדף אינטרנט לאחר קבלת הודעת SMS עם קוד אישור שנמסר לסמארטפון האנדרואיד של המשתמש עליו פועל הדפדפן. אישור SMS, למשל, יכול לשמש לאימות מספר הטלפון שצוין על ידי המשתמש במהלך ההרשמה. אם בעבר המשתמש היה צריך לפתוח את אפליקציית ה-SMS, להעתיק ממנו את הקוד ללוח, לחזור לדפדפן ולהדביק את הקוד הזה, אז ה-API החדש מאפשר להפוך את התהליך הזה לאוטומטי ולצמצם אותו בנגיעה אחת.
• API הורחב אנימציות אינטרנט
  כדי לשלוט בהשמעה של אנימציית אינטרנט. המהדורה החדשה מוסיפה תמיכה בפעולות קומפוזיציה, ומאפשרת לך לשלוט על אופן שילוב האפקטים ולספק מטפלים חדשים שנקראים כאשר מתרחשים אירועי החלפת תוכן. ה-Web Animations API תומך כעת ב-Promise כדי להגדיר את הסדר שבו מוצגות אנימציות ולשלוט טוב יותר כיצד אנימציות מתקשרות עם תכונות אפליקציות אחרות.

• מספר ממשקי API חדשים נוספו למצב נסיונות Origin (תכונות ניסוי הדורשות הפעלה נפרדת). ניסיון של Origin מרמז על היכולת לעבוד עם ה-API שצוין מיישומים שהורדו מ-localhost או 127.0.0.1, או לאחר רישום וקבלת אסימון מיוחד שתקף לזמן מוגבל עבור אתר ספציפי.
  • API חנות עוגיות עבור גישת Service Worker לעוגיות HTTP, המשמשות כחלופה אסינכרונית לשימוש ב-document.cookie.
  • API זיהוי סרק כדי לזהות חוסר פעילות משתמש, מה שמאפשר לך לזהות את השעה שבה המשתמש אינו מקיים אינטראקציה עם המקלדת/עכבר, שומר המסך פועל, המסך נעול או מתבצעת עבודה על צג אחר. יידוע האפליקציה על חוסר פעילות מתבצע באמצעות שליחת הודעה לאחר הגעה לסף חוסר פעילות מוגדר.
  • משטר בידוד מקור, מאפשר למפתח להשתמש בבידוד מלא יותר של עיבוד תוכן בתהליך נפרד ביחס למקור (מקור - דומיין + יציאה + פרוטוקול), במקום לאתר, במחיר של הפסקת תמיכה בכמה תכונות מדור קודם, כגון סינכרוני ביצוע סקריפטים באמצעות document.domain וקריאה ל-postMessage() לפרסום הודעות למופעי WebAssembly.Module. במילים אחרות, Origin Isolation מאפשר לך לארגן הפרדה בין תהליכים שונים בהתבסס על תחום המשאב, ולא על בסיס האתר עם כל ההכללות החיצוניות בדפים.
  • API WebAssembly SIMD לשימוש בהוראות SIMD וקטוריות ביישומים בפורמט WebAssembly. כדי להבטיח עצמאות פלטפורמה, הוא מציע סוג חדש של 128 סיביות שיכול לייצג סוגים שונים של נתונים ארוזים, וכמה פעולות וקטוריות בסיסיות לעיבוד נתונים ארוזים. SIMD מאפשר לך להגדיל את הפרודוקטיביות על ידי מקביל לעיבוד נתונים ויהיה שימושי בעת קומפילציה של קוד מקורי לתוך WebAssembly. כדי להפעיל תמיכת SIMD, אתה יכול להשתמש בהגדרה "chrome://flags/#enable-webassembly-simd".
• מיוצב ומופץ כעת מחוץ ל- Origin Trials
  API אינדקס תוכן, המספק מטא נתונים לגבי תוכן שנשמר בעבר על ידי יישומי אינטרנט הפועלים במצב Progressive Web Apps (PWS). האפליקציה יכולה לשמור נתונים שונים בצד הדפדפן, כולל תמונות, סרטונים ומאמרים, וכאשר החיבור לרשת אבד, להשתמש בו באמצעות ממשקי ה-Cache Storage ו-IndexedDB. API של אינדקס תוכן מאפשר להוסיף, למצוא ולמחוק משאבים כאלה. בדפדפן, ממשק API זה כבר משמש לרשימת דפים ונתוני מולטימדיה הזמינים לצפייה לא מקוונת.

• גרסת ה-API התייצבה נעילת השכמה מבוסס על מנגנון ה-Promise, המספק דרך בטוחה יותר לשלוט בהשבתת מסכי הנעילה האוטומטית והחלפת התקנים למצבי חיסכון בחשמל.
• בגרסה לפלטפורמת אנדרואיד הוסיף תמיכה בקיצורי יישומים, המאפשרת לך לספק גישה מהירה לפעולות טיפוסיות פופולריות באפליקציה. כדי ליצור קיצורי דרך, פשוט הוסף אלמנטים למניפסט יישום האינטרנט בפורמט PWA (Progressive Web Apps).
  

• Web Worker רשאי להשתמש ב-API ReportingObserver, המאפשר לך להגדיר מטפל להפקת דוח, הנקרא בעת גישה ליכולות מיושנות. ניתן לשמור את הדוח שנוצר, לשלוח לשרת או לעבד אותו באמצעות סקריפט JavaScript לפי שיקול דעתו של המשתמש.
• API עודכן שנה גודל Observer, המאפשר לחבר מטפל אליו יישלחו הודעות על שינויים בגודל האלמנטים שצוינו בעמוד. שלושה מאפיינים חדשים נוספו ל-ResizeObserverEntry: contentBoxSize, borderBoxSize ו-devicePixelContentBoxSize כדי לספק מידע מפורט יותר, שהוחזר כמערך של אובייקטים של ResizeObserverSize.
• מילת מפתח נוספה "לחזור» כדי לאפס את סגנון האלמנט לערך ברירת המחדל שלו.
• הסרה את הקידומת של מאפייני ה-CSS "-webkit-appearance" ו-"-webkit-ruby-position", הזמינים כעת בתור "המראה"ו"תנוחת אודם".
• ב-JavaScript מוטמע תמיכה בסימון שיטות ומאפיינים של מחלקה כפרטיים, ולאחר מכן הגישה אליהם תהיה פתוחה רק בתוך המחלקה (בעבר רק שדות יכלו להיות פרטיים). כדי לסמן שיטות ומאפיינים פרטיים: ציין לפני שם השדה יש ​​סימן "#".
• ב-JavaScript הוסיף לתמוך חוליות חלשות (התייחסות חלשה) לאובייקטי JavaScript המאפשרים לשמור הפניה לאובייקט, אך לא חוסמים את אוסף האשפה מלמחוק את האובייקט המשויך. כמו כן, נוספה תמיכה בפיינליסטים, מה שמאפשר להגדיר מטפל שייקרא לאחר השלמת איסוף האשפה של האובייקט שצוין.
• השקת האפליקציות ב-WebAssembly הואצה, הודות ליישום במהדר Liftoff הראשוני (הבסיסי) הוראות אטומיות и פעולות זיכרון אצווה. כלים לאיתור באגים ב-WebAssembly שופרו, ביצועי איתור באגים שופרו באופן משמעותי בעת שימוש בנקודות עצירה (בעבר השתמשו במתורגמן לאיפוי באגים, ועכשיו במהדר Liftoff).
• בכלים למפתחי אתרים pphttps://developers.google.com/web/updates/2020/05/devtools הפאנל לניתוח ביצועים עודכן. נוסף מידע כללי על המדד TBT (זמן חסימה כולל), מראה כמה זמן נראה שהדף זמין, אך למעשה אינו זמין (כלומר, הדף כבר עיבוד, אך ביצוע השרשור הראשי עדיין חסום והזנת נתונים אינה אפשרית). נוסף קטע חוויה חדש לניתוח מדדים CLS (Cumulative Layout Shift), המשקף את היציבות החזותית של התוכן. חלונית הבדיקה של סגנונות CSS מספקת תצוגה מקדימה של תמונות שצוינו דרך המאפיין "תמונת רקע".

בנוסף לחידושים ותיקוני באגים, הגרסה החדשה מבטלת 38 נקודות תורפה. רבות מהחולשות זוהו כתוצאה מבדיקות אוטומטיות עם כלים AddressSnitizer, MemorySnitizer, שליטה בשלמות הזרימה, LibFuzzer и AFL. בעיה אחת (CVE-2020-6510, גלישת מאגר במטפל ברקע אחזור) מסומנת כקריטית, כלומר. מאפשר לך לעקוף את כל רמות ההגנה על הדפדפן ולהפעיל קוד במערכת מחוץ לסביבת ארגז החול. כחלק מהתוכנית לתשלום פרסים במזומן על גילוי פגיעויות במהדורה הנוכחית, גוגל שילמה 26 פרסים בשווי $21500 (שני פרסים של $5000, שני פרסים של $3000, פרס אחד של $2000, שני פרסים של $1000 ושלושה פרסים של $500). גודלם של 16 התגמולים טרם נקבע.

מקור: OpenNet.ru