크롬 86 릴리스

Google 제시 웹 브라우저 릴리스 크롬 86... 동시에 사용할 수있다. 무료 프로젝트의 안정적인 릴리스 Chromium, Chrome의 기초입니다. 크롬 브라우저 다른 Google 로고 사용, 충돌 발생 시 알림 전송 시스템의 존재, 요청 시 플래시 모듈 로드 기능, 보호된 비디오 콘텐츠(DRM) 재생 모듈, 자동 업데이트 시스템 및 검색 시 전송 RLZ 매개변수. Chrome 87의 다음 릴리스는 17월 XNUMX일로 예정되어 있습니다.

주요 변경 в 크롬 86:

• HTTPS를 통해 로드되었지만 HTTP를 통해 데이터를 전송하는 페이지에서 안전하지 않은 입력 양식 제출에 대한 보호 기능이 추가되었습니다. 이로 인해 MITM 공격 중에 데이터 가로채기 및 스푸핑 위협이 발생합니다. 보호는 세 가지 변경 사항으로 요약됩니다.
  • HTTP를 통해 열린 페이지의 인증 양식 자동 채우기가 오랫동안 비활성화된 것과 유사하게 혼합 입력 양식의 자동 채우기가 비활성화되었습니다. 이전에 비활성화 표시가 HTTPS 또는 HTTP를 통해 양식이 포함된 페이지를 여는 것이었던 경우 이제 양식 처리기로 데이터를 보낼 때 암호화 사용도 고려됩니다. 안전하지 않은 비밀번호를 사용하고 다른 사이트에서 비밀번호를 재사용할 위험이 잠재적인 트래픽 가로채기 위험보다 크기 때문에 혼합 형태의 인증을 위한 비밀번호 관리자는 비활성화되지 않습니다.
  • 혼합 형식으로 입력을 시작하면 완성된 데이터가 암호화되지 않은 통신 채널을 통해 전송되고 있음을 알리는 경고가 표시됩니다.
  • 혼합된 양식을 제출하려고 하면 암호화되지 않은 통신 채널을 통해 데이터를 전송할 때 발생할 수 있는 위험을 알리는 별도의 페이지가 표시됩니다. 이전 버전에서는 주소 표시줄의 자물쇠 표시를 사용하여 혼합 양식을 표시했지만 이 표시는 사용자에게 명확하지 않았으며 관련된 위험을 효과적으로 반영하지 못했습니다.
    

• 블로킹 안전하지 않은 부팅 (암호화 없음) 실행 파일의 안전하지 않은 로딩(zip, iso 등)을 차단하고 안전하지 않은 로딩에 대한 경고를 표시하여 보완됩니다.
  문서(docx, pdf 등). 이미지, 텍스트 및 미디어 파일에 대한 문서 차단 및 경고는 다음 릴리스에서 예상됩니다. 암호화되지 않은 파일을 다운로드하면 MITM 공격 중에 콘텐츠를 교체하여 악의적인 작업을 수행할 수 있기 때문에 차단이 구현됩니다.

• 기본 상황에 맞는 메뉴에는 "항상 전체 URL 표시" 옵션이 표시되는데, 이전에는 활성화하려면 about:flags 페이지에서 설정을 변경해야 했습니다. 전체 URL은 주소 표시줄을 두 번 클릭해도 볼 수 있습니다. 부터 시작해서 기억해보자 크롬 76 기본적으로 주소는 프로토콜과 www 하위 도메인 없이 표시되기 시작했습니다. 안에 크롬 79 이전 동작을 반환하는 설정이 제거되었지만 사용자가 불만을 품은 후 크롬 83 어떤 조건에서도 전체 URL을 숨기거나 표시하지 않도록 상황에 맞는 메뉴에 옵션을 추가하는 새로운 실험적 플래그가 추가되었습니다.
• 소수의 사용자를 대상으로 출시됨 실험 에 표시하다 기본적으로 주소 표시줄에는 경로 요소와 쿼리 매개변수 없이 도메인만 포함됩니다. 예를 들어 "https://example.com/secure-google-sign-in/" 대신 "example.com"이 표시됩니다. 제안된 모드는 다음 릴리스 중 하나에서 모든 사용자에게 제공될 것으로 예상됩니다. 이 동작을 비활성화하려면 "항상 전체 URL 표시" 옵션을 사용하고 전체 URL을 보려면 주소 표시줄을 클릭하면 됩니다. 변경의 동기는 URL의 매개변수를 조작하는 피싱으로부터 사용자를 보호하기 위한 것입니다. 공격자는 사용자의 부주의를 이용하여 다른 사이트를 열고 사기 행위를 저지르는 것처럼 보이게 만듭니다(기술적으로 유능한 사용자에게 그러한 대체가 명백한 경우). , 경험이 없는 사람들은 이러한 간단한 조작에 쉽게 빠지게 됩니다.)
• 재개됨 이니셔티브 FTP 지원을 제거합니다. Chrome 86에서는 FTP가 기본적으로 약 1%의 사용자에 대해 비활성화되어 있으며 Chrome 87에서는 비활성화 범위가 50%로 증가하지만 "--enable-ftp" 또는 "-를 사용하여 지원을 다시 가져올 수 있습니다. -enable-features=FtpProtocol" 플래그. Chrome 88에서는 FTP 지원이 완전히 비활성화됩니다.
• 데스크톱 시스템용 버전과 유사한 Android 버전에서는 비밀번호 관리자가 손상된 계정 데이터베이스에 대해 저장된 로그인 및 비밀번호를 확인하여 문제가 감지되거나 사소한 비밀번호를 사용하려고 시도하는 경우 경고를 표시합니다. 이번 점검은 유출된 사용자 데이터베이스에 나타난 4억 개 이상의 손상된 계정을 다루는 데이터베이스에 대해 수행됩니다. 프라이버시를 유지하기 위해 적용된 해시 접두사는 사용자 측에서 확인되며 비밀번호 자체와 전체 해시는 외부로 전송되지 않습니다.
• 안드로이드 버전에서도 사용 가능 이월 '안전 확인' 버튼과 위험 사이트에 대한 강화된 보호 모드(향상된 세이프 브라우징)를 제공합니다. "안전 확인" 버튼에는 유출된 비밀번호 사용, 악성 사이트 확인 상태(세이프 브라우징), 제거된 업데이트 존재 여부, 악성 추가 기능 식별 등 발생할 수 있는 보안 문제에 대한 요약이 표시됩니다. 고급 보호 모드는 웹상의 피싱, 악의적인 활동 및 기타 위협으로부터 보호하기 위해 추가 검사를 활성화하며 Google 계정 및 Google 서비스(Gmail, 드라이브 등)에 대한 추가 보호도 포함합니다. 일반 세이프 브라우징 모드에서는 클라이언트 시스템에 주기적으로 로드되는 데이터베이스를 사용하여 로컬에서 검사를 수행하는 경우, 향상된 세이프 브라우징에서는 페이지 및 다운로드에 대한 실시간 정보가 Google 측에서 확인을 위해 전송되므로 신속하게 대응할 수 있습니다. 위협이 식별된 후 즉시 로컬 블랙리스트가 업데이트될 때까지 기다리지 않습니다.
• 추가됨 사이트 소유자가 비밀번호 변경을 위한 웹 양식의 주소를 지정할 수 있는 ".well-known/change-password" 표시 파일을 지원합니다. 사용자의 자격 증명이 손상된 경우 이제 Chrome은 이 파일의 정보를 기반으로 비밀번호 변경 양식을 사용자에게 즉시 표시합니다.
• 도메인이 다른 사이트와 매우 유사한 사이트를 열 때 표시되는 새로운 '안전 팁' 경고가 구현되었으며 경험적 방법을 통해 스푸핑 가능성이 높다는 것을 보여줍니다(예: google.com 대신 goog0le.com이 열립니다).
• 구현 "뒤로" 및 "앞으로" 버튼을 사용하거나 현재 사이트에서 이전에 본 페이지를 탐색할 때 즉시 탐색을 제공하는 뒤로 앞으로 캐시를 지원합니다. 캐시는 chrome://flags/#back-forward-cache 설정을 사용하여 활성화됩니다.
• Windows별 CPU 리소스 소비 최적화가 수행되었습니다.
  범위를 벗어났습니다. Chrome은 브라우저 창이 다른 창과 겹치는지 확인하고 겹치는 영역에 픽셀을 그리는 것을 방지합니다. 이 최적화는 Chrome 84 및 85에서 소수의 사용자에 대해 활성화되었으며 이제 모든 곳에서 활성화됩니다. 이전 릴리스에 비해 가상화 시스템과의 비호환성으로 인해 빈 페이지가 나타나던 문제도 해결되었습니다.

• 배경 탭에 대한 리소스 트리밍이 증가했습니다. 이러한 탭은 더 이상 CPU 리소스의 1% 이상을 소비할 수 없으며 분당 한 번만 활성화할 수 있습니다. 백그라운드에서 XNUMX분이 지나면 멀티미디어 콘텐츠를 재생하거나 녹음하는 탭을 제외하고 탭이 정지됩니다.
• 그 일을 수행하다 통일 HTTP 헤더 사용자 에이전트. 새 버전에서는 모든 사용자에 대해 메커니즘 지원이 활성화됩니다. 사용자 에이전트 클라이언트 힌트, User-Agent를 대체하기 위해 개발되었습니다. 새로운 메커니즘에는 서버의 요청 후에만 특정 브라우저 및 시스템 매개변수(버전, 플랫폼 등)에 대한 데이터를 선택적으로 반환하고 사용자에게 해당 정보를 사이트 소유자에게 선택적으로 제공할 수 있는 기회를 제공하는 작업이 포함됩니다. User-Agent Client Hints를 사용하는 경우 명시적인 요청 없이는 기본적으로 식별자가 전송되지 않으므로 수동적 식별이 불가능합니다(기본적으로 브라우저 이름만 표시됨).
• 업데이트가 있다는 표시와 업데이트를 설치하려면 브라우저를 다시 시작해야 한다는 표시가 변경되었습니다. 이제 계정 아바타 필드에 색상이 지정된 화살표 대신 "업데이트"가 나타납니다.
  

• 포괄적인 용어를 사용하도록 브라우저를 변환하는 작업이 수행되었습니다. 정책 이름에서 "화이트리스트" 및 "블랙리스트"라는 단어가 "허용 목록" 및 "차단 목록"으로 대체되었습니다. 이미 추가된 정책은 계속 작동하지만 더 이상 사용되지 않는다는 경고가 표시됩니다. 안에 암호 и 파일 이름 "블랙리스트"에 대한 참조가 "차단 목록"으로 대체되었습니다.
  사용자에게 표시되는 '블랙리스트' 및 '화이트리스트'에 대한 참조는 2019년 초에 대체되었습니다.

• 'chrome://flags/#edit-passwords-in-settings' 플래그를 사용하여 활성화된 저장된 비밀번호를 편집하는 실험적 기능을 추가했습니다.
• 안정적인 공개 API로 변환 네이티브 파일 시스템를 사용하면 로컬 파일 시스템의 파일과 상호 작용하는 웹 애플리케이션을 만들 수 있습니다. 예를 들어, 브라우저 기반 통합 개발 환경, 텍스트, 이미지 및 비디오 편집기에서는 새로운 API가 필요할 수 있습니다. 파일을 직접 쓰고 읽을 수 있거나 대화 상자를 사용하여 파일을 열고 저장하고 디렉터리 내용을 탐색하려면 응용 프로그램에서 사용자에게 특별한 확인을 요청합니다.
  

• CSS 선택기 추가됨 ":초점-보임"는 브라우저가 포커스 변경 표시기를 표시할지 여부를 결정할 때 사용하는 것과 동일한 경험적 방법을 사용합니다(키보드 단축키를 사용하여 포커스를 버튼으로 이동하면 표시기가 나타나지만 마우스로 클릭하면 표시되지 않음). 이전에 사용 가능한 CSS 선택기 ":focus"는 항상 포커스를 강조 표시합니다.
  또한 "빠른 초점 강조" 옵션이 설정에 추가되었습니다. 활성화되면 추가 초점 표시가 활성 요소 옆에 표시됩니다. 이는 시각적으로 초점을 강조하는 스타일 요소가 CSS를 통해 페이지에서 비활성화된 경우에도 계속 표시됩니다. .

• 몇 가지 새로운 API가 Origin Trials 모드에 추가되었습니다(별도의 활성화가 필요한 실험 기능). Origin 평가판은 localhost 또는 127.0.0.1에서 다운로드한 애플리케이션에서 또는 특정 사이트에 대해 제한된 시간 동안 유효한 특수 토큰을 등록 및 수신한 후 지정된 API로 작업할 수 있는 기능을 의미합니다.
  • WebHID API HID 장치(휴먼 인터페이스 장치, 키보드, 마우스, 게임 패드, 터치 패널)에 대한 하위 수준 액세스를 위해 JavaScript로 HID 장치 작업 논리를 구현하여 특정 드라이버 없이 희귀한 HID 장치 작업을 구성할 수 있습니다. 시스템에서.
    우선, 새로운 API는 게임패드에 대한 지원을 제공하는 것을 목표로 합니다.

  • API 화면 정보, 다중 화면 구성을 지원하도록 Window Placement API를 확장합니다. window.screen과 달리 새로운 API를 사용하면 현재 화면에 국한되지 않고 다중 모니터 시스템의 전체 화면 공간에서 창 배치를 조작할 수 있습니다.
  • 메타 태그 배터리 절약, 이를 통해 사이트는 전력 소비를 줄이고 CPU 로드를 최적화하기 위해 모드를 활성화해야 함을 브라우저에 알릴 수 있습니다.
  • API COOP 보고 격리 규정 위반 가능성을 신고하기 위해 교차 출처 삽입 정책 (COEP) 및 교차 출처 개방자 정책 (COOP), 실제 제한 사항을 적용하지 않습니다.
  • API에서 자격 증명 관리 새로운 유형의 자격 증명이 제안되었습니다. 결제 자격증명, 수행 중인 결제 거래에 대한 추가 확인을 제공합니다. 은행과 같은 신뢰 당사자는 추가 보안 결제 확인을 위해 판매자가 요청할 수 있는 공개 키인 PublicKeyCredential을 생성할 수 있습니다.
• API에서 포인터이벤트 스타일러스의 기울기를 결정하기 위해 TiltX 및 스타일러스 대신 높이 각도(스타일러스와 화면 사이의 각도) 및 방위각(X축과 화면의 스타일러스 투영 사이의 각도)에 대한 지원이 추가되었습니다. TiltY 각도(스타일러스의 평면과 축 중 하나, Y 및 Y축 Z의 평면 사이의 각도). 고도/방위각과 TiltX/TiltY 간의 변환 기능도 추가되었습니다.
• 프로토콜 핸들러에서 계산할 때 URL의 공백 인코딩을 변경했습니다. navigator.registerProtocolHandler() 메서드는 이제 공백을 "+" 대신 "%20"으로 대체하여 Firefox와 같은 다른 브라우저와의 동작을 통합합니다.
• CSS 의사 요소 "를 추가했습니다.::채점자"를 사용하면 블록 목록에 대한 숫자와 포인트의 색상, 크기, 모양 및 유형을 사용자 정의할 수 있습니다. 그리고 .
• HTTP 헤더 지원이 추가되었습니다. 문서 정책, 허용 세트 iframe용 샌드박스 격리 메커니즘과 유사하지만 더 보편적인 문서 액세스 규칙입니다. 예를 들어 문서 정책을 통해 저품질 이미지 사용 제한, 느린 JavaScript API 비활성화, iframe, 이미지 및 스크립트 로드 규칙 구성, 전체 문서 크기 및 트래픽 제한, 페이지 다시 그리기로 이어지는 방법 금지, 비활성화 등을 수행할 수 있습니다. 함수 스크롤-텍스트.
• 요소에 'display' CSS 속성을 통해 설정된 'inline-grid', 'grid', 'inline-flex' 및 'flex' 매개변수에 대한 지원이 추가되었습니다.
• 추가된 방법 ParentNode.replaceChildren() 상위 노드의 모든 하위 노드를 다른 DOM 노드로 대체합니다. 이전에는 node.removeChild()와 node.append() 또는 node.innerHTML과 node.append()의 조합을 사용하여 노드를 교체할 수 있었습니다.
• 퍼지는 RegisterProtocolHandler()를 사용하여 재정의할 수 있는 URL 구성표의 범위. 체계 목록에는 cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns 및 ssb와 같은 분산 프로토콜이 포함되어 있으며, 이를 통해 리소스에 대한 액세스를 제공하는 사이트나 게이트웨이에 관계없이 요소에 대한 링크를 정의할 수 있습니다.
• API에서 비동기 클립보드 클립보드를 통해 HTML을 복사하고 붙여넣기 위한 text/html 형식에 대한 지원이 추가되었습니다(클립보드에 쓰거나 읽을 때 위험한 HTML 구성이 정리됩니다). 예를 들어, 이러한 변경을 통해 웹 편집기에서 이미지 및 링크가 포함된 서식 있는 텍스트의 삽입 및 복사를 구성할 수 있습니다.
• WebRTC에서 추가 WebRTC MediaStreamTrack의 인코딩 또는 디코딩 단계에서 호출되는 자체 데이터 핸들러를 연결하는 기능. 예를 들어, 이 기능을 사용하여 중간 서버를 통해 전송되는 데이터의 종단 간 암호화에 대한 지원을 추가할 수 있습니다.
• JavaScript 엔진 V8에서 75% 가속 Number.prototype.toString 구현. 값이 비어 있는 비동기 클래스에 .name 속성을 추가했습니다. Atomics.wake 메서드는 제거되었으며, 한때 ECMA-262 사양을 준수하기 위해 Atomics.notify로 이름이 바뀌었습니다. 퍼징 테스트 툴킷 코드 공개 JS-퍼저.
• 마지막 릴리스에서 출시된 WebAssembly용 Liftoff 기본 컴파일러에는 벡터 지침을 사용하는 기능이 포함되어 있습니다. 심드 계산 속도를 높이기 위해. 테스트 결과에 따르면 최적화를 통해 일부 테스트 속도를 2.8배 높일 수 있었습니다. 또 다른 최적화를 통해 WebAssembly에서 가져온 JavaScript 함수를 호출하는 속도가 훨씬 빨라졌습니다.
• 퍼지는 웹 개발자를 위한 도구: 미디어 패널에는 이벤트 데이터, 로그, 속성 값 및 프레임 디코딩 매개 변수를 포함하여 페이지에서 비디오를 재생하는 데 사용되는 플레이어에 대한 정보가 추가되었습니다(예: 프레임 손실 및 상호 작용 문제의 원인을 확인할 수 있음) 자바스크립트에서).
  

  요소 패널의 컨텍스트 메뉴에 선택한 요소의 스크린샷을 생성하는 기능이 추가되었습니다(예: 목차나 표의 스크린샷을 생성할 수 있음).

  

  웹 콘솔에서는 문제 경고 패널이 일반 메시지로 대체되었으며, 타사 쿠키 문제는 기본적으로 문제 탭에 숨겨져 있으며 특수 확인란을 통해 활성화됩니다.

  

  렌더링 탭에는 "로컬 글꼴 비활성화" 버튼이 추가되어 로컬 글꼴이 없는지 시뮬레이션할 수 있으며, 센서 탭에서는 이제 사용자 비활성을 시뮬레이션할 수 있습니다(유휴 감지 API를 사용하는 애플리케이션의 경우).
  

  

  응용 프로그램 패널은 COEP 및 COOP를 사용한 Cross-Origin 격리에 대한 정보를 포함하여 각 iframe, 열린 창 및 팝업에 대한 자세한 정보를 제공합니다.
  

  

• 시작 프로토콜 구현 교체 QUIC Google QUIC 옵션이 아닌 IETF 사양에서 개발된 옵션으로 변경되었습니다.

혁신 및 버그 수정 외에도 새 버전은 다음을 제거합니다. 35개의 취약점. 많은 취약점이 자동화된 테스트 도구의 결과로 식별되었습니다. 주소세니타이저, 메모리세니타이저, 제어 흐름 무결성, LibFuzzer и AFL. 한 가지 취약점(CVE-2020-15967, Google Payments와 상호작용하기 위한 코드의 해제된 메모리에 대한 액세스)은 심각한 것으로 표시됩니다. 모든 수준의 브라우저 보호를 우회하고 샌드박스 환경 외부의 시스템에서 코드를 실행할 수 있습니다. 현재 릴리스의 취약점을 발견한 대가로 현금 보상을 지급하는 프로그램의 일환으로 Google은 27달러 상당의 71500개 상을 지급했습니다(15000개 $7500 상, 5000개 $3000 상, 200개 $500 상, 13개 $XNUMX 상, XNUMX개 $XNUMX 상, XNUMX개 $XNUMX 상). XNUMX개 보상의 규모는 아직 결정되지 않았습니다.

출처 : opennet.ru