크롬 86

Chrome 86의 다음 릴리스와 Chromium의 안정 릴리스가 출시되었습니다.

Chrome 86의 주요 변경 사항:

• HTTPS를 통해 로드되었지만 HTTP를 통해 데이터를 전송하는 페이지에서 입력 양식이 안전하지 않게 제출되는 것을 방지합니다.
• 실행 파일의 안전하지 않은 다운로드(http) 차단은 아카이브(zip, iso 등)의 안전하지 않은 다운로드를 차단하고 문서(docx, pdf 등)의 안전하지 않은 다운로드에 대한 경고를 표시하여 보완됩니다. 이미지, 텍스트 및 미디어 파일에 대한 문서 차단 및 경고는 다음 릴리스에서 예상됩니다. 암호화되지 않은 파일을 다운로드하면 MITM 공격 중에 콘텐츠를 교체하여 악의적인 작업을 수행할 수 있기 때문에 차단이 구현됩니다.
• 기본 상황에 맞는 메뉴에는 "항상 전체 URL 표시" 옵션이 표시됩니다. 이전에는 이 옵션을 활성화하려면 about:flags 페이지에서 설정을 변경해야 했습니다. 전체 URL은 주소 표시줄을 두 번 클릭해도 볼 수 있습니다. Chrome 76부터 기본적으로 주소는 프로토콜과 www 하위 도메인 없이 표시되기 시작했습니다. Chrome 79에서는 이전 동작을 반환하는 설정이 제거되었지만 사용자가 불만을 품은 후 모든 조건에서 전체 URL 숨기기 및 표시를 비활성화하는 옵션을 상황에 맞는 메뉴에 추가하는 새로운 실험적 플래그가 Chrome 83에 추가되었습니다.
  소수의 사용자를 위해 기본적으로 경로 요소 및 쿼리 매개변수 없이 주소 표시줄에 도메인만 표시하는 실험이 시작되었습니다. 예를 들어 "https://example.com/secure-google-sign-in/" "example.com"이 표시됩니다. 제안된 모드는 다음 릴리스 중 하나에서 모든 사용자에게 제공될 것으로 예상됩니다. 이 동작을 비활성화하려면 "항상 전체 URL 표시" 옵션을 사용하고 전체 URL을 보려면 주소 표시줄을 클릭하면 됩니다. 변경의 동기는 URL의 매개변수를 조작하는 피싱으로부터 사용자를 보호하기 위한 것입니다. 공격자는 사용자의 부주의를 이용하여 다른 사이트를 열고 사기 행위를 저지르는 것처럼 보이게 만듭니다(기술적으로 유능한 사용자에게 그러한 대체가 명백한 경우). , 경험이 없는 사람들은 이러한 간단한 조작에 쉽게 빠지게 됩니다.)
• FTP 지원 제거 계획이 갱신되었습니다. Chrome 86에서는 FTP가 기본적으로 약 1%의 사용자에 대해 비활성화되어 있으며 Chrome 87에서는 비활성화 범위가 50%로 증가하지만 "--enable-ftp" 또는 "-를 사용하여 지원을 다시 가져올 수 있습니다. -enable-features=FtpProtocol" 플래그. Chrome 88에서는 FTP 지원이 완전히 비활성화됩니다.
• 데스크톱 시스템용 버전과 유사한 Android 버전에서는 비밀번호 관리자가 손상된 계정 데이터베이스에 대해 저장된 로그인 및 비밀번호를 확인하여 문제가 감지되거나 사소한 비밀번호를 사용하려고 시도하는 경우 경고를 표시합니다. 이번 점검은 유출된 사용자 데이터베이스에 나타난 4억 개 이상의 손상된 계정을 다루는 데이터베이스에 대해 수행됩니다. 개인 정보 보호를 유지하기 위해 해시 접두어는 사용자 측에서 확인되며 비밀번호 자체와 전체 해시는 외부로 전송되지 않습니다.
• '안전 확인' 버튼과 위험 사이트에 대한 강화된 보호 모드(향상된 세이프 브라우징)도 안드로이드 버전으로 이전됐다. "안전 확인" 버튼에는 유출된 비밀번호 사용, 악성 사이트 확인 상태(세이프 브라우징), 제거된 업데이트 존재 여부, 악성 추가 기능 식별 등 발생할 수 있는 보안 문제에 대한 요약이 표시됩니다. 고급 보호 모드는 웹상의 피싱, 악의적인 활동 및 기타 위협으로부터 보호하기 위해 추가 검사를 활성화하며 Google 계정 및 Google 서비스(Gmail, 드라이브 등)에 대한 추가 보호도 포함합니다. 일반 세이프 브라우징 모드에서는 클라이언트 시스템에 주기적으로 로드되는 데이터베이스를 사용하여 로컬에서 검사를 수행하는 경우, 향상된 세이프 브라우징에서는 페이지 및 다운로드에 대한 실시간 정보가 Google 측에서 확인을 위해 전송되므로 신속하게 대응할 수 있습니다. 위협이 식별된 후 즉시 로컬 블랙리스트가 업데이트될 때까지 기다리지 않습니다.
• 사이트 소유자가 비밀번호 변경을 위한 웹 양식의 주소를 지정할 수 있는 표시 파일 ".well-known/change-password"에 대한 지원이 추가되었습니다. 사용자의 자격 증명이 손상된 경우 이제 Chrome은 이 파일의 정보를 기반으로 비밀번호 변경 양식을 사용자에게 즉시 표시합니다.
• 도메인이 다른 사이트와 매우 유사한 사이트를 열 때 표시되는 새로운 '안전 팁' 경고가 구현되었으며 경험적 방법을 통해 스푸핑 가능성이 높다는 것을 보여줍니다(예: google.com 대신 goog0le.com이 열립니다).

  * 뒤로 앞으로 캐시에 대한 지원이 구현되어 "뒤로" 및 "앞으로" 버튼을 사용하거나 현재 사이트에서 이전에 본 페이지를 탐색할 때 즉시 탐색이 가능합니다. 캐시는 chrome://flags/#back-forward-cache 설정을 사용하여 활성화됩니다.

• 범위를 벗어난 창에 대한 CPU 리소스 소비를 최적화합니다. Chrome은 브라우저 창이 다른 창과 겹치는지 확인하고 겹치는 영역에 픽셀을 그리는 것을 방지합니다. 이 최적화는 Chrome 84 및 85에서 소수의 사용자에 대해 활성화되었으며 이제 모든 곳에서 활성화됩니다. 이전 릴리스에 비해 가상화 시스템과의 비호환성으로 인해 빈 페이지가 나타나던 문제도 해결되었습니다.
• 배경 탭에 대한 리소스 트리밍이 증가했습니다. 이러한 탭은 더 이상 CPU 리소스의 1% 이상을 소비할 수 없으며 분당 한 번만 활성화할 수 있습니다. 백그라운드에서 XNUMX분이 지나면 멀티미디어 콘텐츠를 재생하거나 녹음하는 탭을 제외하고 탭이 정지됩니다.
• User-Agent HTTP 헤더 통합 작업이 재개되었습니다. 새 버전에서는 User-Agent를 대체하기 위해 개발된 User-Agent Client Hints 메커니즘에 대한 지원이 모든 사용자에 대해 활성화됩니다. 새로운 메커니즘에는 서버의 요청 후에만 특정 브라우저 및 시스템 매개변수(버전, 플랫폼 등)에 대한 데이터를 선택적으로 반환하고 사용자에게 해당 정보를 사이트 소유자에게 선택적으로 제공할 수 있는 기회를 제공하는 것이 포함됩니다. User-Agent Client Hints를 사용하는 경우 명시적인 요청 없이는 기본적으로 식별자가 전송되지 않으므로 수동적 식별이 불가능합니다(기본적으로 브라우저 이름만 표시됨).
  업데이트가 있다는 표시와 업데이트를 설치하려면 브라우저를 다시 시작해야 한다는 표시가 변경되었습니다. 이제 계정 아바타 필드에 색상이 지정된 화살표 대신 "업데이트"가 나타납니다.
• 포괄적인 용어를 사용하도록 브라우저를 변환하는 작업이 수행되었습니다. 정책 이름에서 "화이트리스트" 및 "블랙리스트"라는 단어가 "허용 목록" 및 "차단 목록"으로 대체되었습니다. 이미 추가된 정책은 계속 작동하지만 더 이상 사용되지 않는다는 경고가 표시됩니다. 코드 및 파일 이름에서 "블랙리스트"에 대한 참조가 "블록리스트"로 대체되었습니다. 사용자에게 표시되는 '블랙리스트' 및 '화이트리스트'에 대한 참조는 2019년 초에 대체되었습니다.
  'chrome://flags/#edit-passwords-in-settings' 플래그를 사용하여 활성화된 저장된 비밀번호를 편집하는 실험적 기능을 추가했습니다.
• 기본 파일 시스템 API는 안정적이고 공개적으로 사용 가능한 API 범주로 이전되어 로컬 파일 시스템의 파일과 상호 작용하는 웹 응용 프로그램을 만들 수 있습니다. 예를 들어, 브라우저 기반 통합 개발 환경, 텍스트, 이미지 및 비디오 편집기에서는 새로운 API가 필요할 수 있습니다. 파일을 직접 쓰고 읽을 수 있거나 대화 상자를 사용하여 파일을 열고 저장하고 디렉터리 내용을 탐색하려면 응용 프로그램에서 사용자에게 특별한 확인을 요청합니다.
• 포커스 변경 표시기를 표시할지 여부를 결정할 때 브라우저가 사용하는 것과 동일한 경험적 방법을 사용하는 CSS 선택기 ":focus-visible"을 추가했습니다(키보드 단축키를 사용하여 포커스를 버튼으로 이동하면 표시기가 나타나지만 마우스로 클릭하면 표시기가 나타납니다). , 그렇지 않습니다). 이전에 사용 가능한 CSS 선택기 ":focus"는 항상 포커스를 강조 표시합니다. 또한 "빠른 초점 강조" 옵션이 설정에 추가되었습니다. 활성화되면 추가 초점 표시가 활성 요소 옆에 표시됩니다. 이는 페이지에서 초점의 시각적 강조를 위한 스타일 요소가 비활성화된 경우에도 계속 표시됩니다. CSS.
• 몇 가지 새로운 API가 Origin Trials 모드에 추가되었습니다(별도의 활성화가 필요한 실험 기능). Origin 평가판은 localhost 또는 127.0.0.1에서 다운로드한 애플리케이션에서 또는 특정 사이트에 대해 제한된 시간 동안 유효한 특수 토큰을 등록 및 수신한 후 지정된 API로 작업할 수 있는 기능을 의미합니다.
• HID 장치(휴먼 인터페이스 장치, 키보드, 마우스, 게임패드, 터치패드)에 대한 하위 수준 액세스를 위한 WebHID API를 사용하면 JavaScript로 HID 장치 작업 논리를 구현하여 존재하지 않고도 희귀한 HID 장치 작업을 구성할 수 있습니다. 시스템의 특정 드라이버. 우선, 새로운 API는 게임패드에 대한 지원을 제공하는 것을 목표로 합니다.
• 화면 정보 API는 창 배치 API를 확장하여 다중 화면 구성을 지원합니다. window.screen과 달리 새로운 API를 사용하면 현재 화면에 국한되지 않고 다중 모니터 시스템의 전체 화면 공간에서 창 배치를 조작할 수 있습니다.
• 메타 태그 배터리 절약을 통해 사이트는 전력 소비를 줄이고 CPU 로드를 최적화하기 위해 모드를 활성화해야 함을 브라우저에 알릴 수 있습니다.
• COOP 보고 API는 실제 제한을 적용하지 않고 COEP(Cross-Origin-Embedder-Policy) 및 COOP(Cross-Origin-Opener-Policy) 격리 모드의 잠재적 위반을 보고합니다.
• Credential Management API는 수행 중인 결제 거래에 대한 추가 확인을 제공하는 새로운 유형의 자격 증명인 PaymentCredential을 제공합니다. 은행과 같은 신뢰 당사자는 추가 보안 결제 확인을 위해 판매자가 요청할 수 있는 공개 키인 PublicKeyCredential을 생성할 수 있습니다.
• 스타일러스*의 기울기를 결정하기 위한 PointerEvents API에는 고각(스타일러스와 화면 사이의 각도) 및 방위각(X축과 화면의 스타일러스 투영 사이의 각도)에 대한 지원이 추가되었습니다. TiltX 및 TiltY 각도(스타일러스의 평면과 축 중 하나, Y 및 Z축의 평면 사이의 각도). 고도/방위각과 TiltX/TiltY 간의 변환 기능도 추가되었습니다.
• 프로토콜 핸들러에서 계산할 때 URL의 공백 인코딩을 변경했습니다. navigator.registerProtocolHandler() 메서드는 이제 공백을 "+" 대신 "%20"으로 대체하여 Firefox와 같은 다른 브라우저와의 동작을 통합합니다.
• 의사 요소 "::marker"가 CSS에 추가되어 블록 목록에 대한 숫자와 점의 색상, 크기, 모양 및 유형을 사용자 정의할 수 있습니다. 그리고 .
• iframe용 샌드박스 격리 메커니즘과 유사하지만 더 보편적인 문서 액세스 규칙을 설정할 수 있는 Document-Policy HTTP 헤더에 대한 지원이 추가되었습니다. 예를 들어 문서 정책을 통해 품질이 낮은 이미지 사용을 제한하고, 느린 JavaScript API를 비활성화하고, iframe, 이미지 및 스크립트 로드 규칙을 구성하고, 전체 문서 크기 및 트래픽을 제한하고, 페이지 다시 그리기로 이어지는 방법을 금지하고, Scroll-To-Text 기능을 비활성화하십시오.
• 요소에 'display' CSS 속성을 통해 설정된 'inline-grid', 'grid', 'inline-flex' 및 'flex' 매개변수에 대한 지원이 추가되었습니다.
• 상위 노드의 모든 하위 노드를 다른 DOM 노드로 바꾸는 ParentNode.replaceChildren() 메서드를 추가했습니다. 이전에는 node.removeChild()와 node.append() 또는 node.innerHTML과 node.append()의 조합을 사용하여 노드를 교체할 수 있었습니다.
• RegisterProtocolHandler()를 사용하여 재정의할 수 있는 URL 구성표의 범위가 확장되었습니다. 체계 목록에는 cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns 및 ssb와 같은 분산 프로토콜이 포함되어 있으며, 이를 통해 리소스에 대한 액세스를 제공하는 사이트나 게이트웨이에 관계없이 요소에 대한 링크를 정의할 수 있습니다.
• 클립보드를 통해 HTML을 복사하고 붙여넣기 위해 비동기 클립보드 API에 text/html 형식에 대한 지원이 추가되었습니다(클립보드에 쓰고 읽을 때 위험한 HTML 구성이 정리됨). 예를 들어, 이러한 변경을 통해 웹 편집기에서 이미지 및 링크가 포함된 서식 있는 텍스트의 삽입 및 복사를 구성할 수 있습니다.
• WebRTC는 WebRTC MediaStreamTrack의 인코딩 또는 디코딩 단계에서 호출되는 자체 데이터 핸들러를 연결하는 기능을 추가했습니다. 예를 들어, 이 기능을 사용하여 중간 서버를 통해 전송되는 데이터의 종단 간 암호화에 대한 지원을 추가할 수 있습니다.
  V8 JavaScript 엔진에서는 Number.prototype.toString 구현이 75% 가속화되었습니다. 값이 비어 있는 비동기 클래스에 .name 속성을 추가했습니다. Atomics.wake 메서드는 제거되었으며, 한때 ECMA-262 사양을 준수하기 위해 Atomics.notify로 이름이 바뀌었습니다. 퍼징 테스트 도구인 JS-Fuzzer의 코드가 공개되었습니다.
• 마지막 릴리스에 출시된 WebAssembly용 Liftoff 기준 컴파일러에는 SIMD 벡터 지침을 사용하여 계산 속도를 높이는 기능이 포함되어 있습니다. 테스트 결과에 따르면 최적화를 통해 일부 테스트 속도를 2.8배 높일 수 있었습니다. 또 다른 최적화를 통해 WebAssembly에서 가져온 JavaScript 함수를 호출하는 속도가 훨씬 빨라졌습니다.
• 웹 개발자를 위한 도구가 확장되었습니다. 미디어 패널에는 이벤트 데이터, 로그, 속성 값 및 프레임 디코딩 매개변수를 포함하여 페이지에서 비디오를 재생하는 데 사용되는 플레이어에 대한 정보가 추가되었습니다. JavaScript의 손실 및 상호 작용 문제).
• 요소 패널의 컨텍스트 메뉴에 선택한 요소의 스크린샷을 생성하는 기능이 추가되었습니다(예: 목차나 표의 스크린샷을 생성할 수 있음).
• 웹 콘솔에서는 문제 경고 패널이 일반 메시지로 대체되었으며, 타사 쿠키 문제는 기본적으로 문제 탭에 숨겨져 있으며 특수 확인란을 통해 활성화됩니다.
• 렌더링 탭에는 "로컬 글꼴 비활성화" 버튼이 추가되어 로컬 글꼴이 없는지 시뮬레이션할 수 있으며, 센서 탭에서는 이제 사용자 비활성을 시뮬레이션할 수 있습니다(유휴 감지 API를 사용하는 애플리케이션의 경우).
• 응용 프로그램 패널은 COEP 및 COOP를 사용한 Cross-Origin 격리에 대한 정보를 포함하여 각 iframe, 열린 창 및 팝업에 대한 자세한 정보를 제공합니다.

QUIC 프로토콜의 구현은 Google 버전의 QUIC 대신 IETF 사양에서 개발된 버전으로 대체되기 시작했습니다.
혁신과 버그 수정 외에도 새 버전에서는 35개의 취약점이 제거되었습니다. AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer 및 AFL 도구를 사용한 자동화된 테스트의 결과로 많은 취약점이 식별되었습니다. 한 가지 취약점(CVE-2020-15967, Google Payments와 상호작용하기 위한 코드의 해제된 메모리에 대한 액세스)은 심각한 것으로 표시됩니다. 모든 수준의 브라우저 보호를 우회하고 샌드박스 환경 외부의 시스템에서 코드를 실행할 수 있습니다. 현재 릴리스의 취약점을 발견한 대가로 현금 보상을 지급하는 프로그램의 일환으로 Google은 27달러 상당의 71500개 상을 지급했습니다(15000개 $7500 상, 5000개 $3000 상, 200개 $500 상, 13개 $XNUMX 상, XNUMX개 $XNUMX 상, XNUMX개 $XNUMX 상). XNUMX개 보상의 규모는 아직 결정되지 않았습니다.

에서 가져온 Opennet.ru

출처 : linux.org.ru