🥇Chrome 86 Verëffentlechung

Google presentéiert Webbrowser Verëffentlechung Chrome 86... Gläichzäiteg verfügbar stabil Verëffentlechung vun engem gratis Projet Chrom, déi als Basis vu Chrome déngt. Chrome Browser anescht d'Benotzung vu Google Logoen, d'Präsenz vun engem System fir Notifikatiounen am Fall vun engem Crash ze schécken, d'Fäegkeet fir e Flash Modul op Ufro erofzelueden, Moduler fir geschützte Videoinhalt (DRM) ze spillen, e System fir automatesch Updates an Iwwerdroung während der Sich z'installéieren RLZ Parameteren. Следующий выпуск Chrome 87 запланирован на 17 ноября.

Haaptstrooss änneren в Bauoffall 86:

Добавлена защита от небезопасной отправки форм ввода на страницах, загруженных по HTTPS, но отправляющих данные по HTTP, что создаёт угрозу перехвата и подмены данных при совершении MITM-атак. Защита сводится к трём изменениям:
- Отключено автозаполнение любых смешанных форм ввода, по аналогии с тем, как уже достаточно давно отключено автозаполнение форм аутентификации на страницах, открываемых по HTTP. Если ранее признаком для отключения служило открытие страницы с формой по HTTPS или HTTP, теперь учитывается и применение шифрования при отправке данных обработчику формы. Работа менеджера паролей для смешанных форм аутентификации не отключена, так как риск от использования ненадёжного пароля и повторного применения паролей на разных сайтах превышает риск потенциального перехвата трафика.
- При начале ввода в смешанных формах обеспечен вывод предупреждения, информирующего пользователя об отправке заполненных данных через незашифрованный канал связи.
- При попытке отправки смешанной формы выводится отдельная страница с уведомлением о потенциальном риске передачи данных через незашифрованный канал связи. В прошлых версиях для индикации смешанных форм использовался индикатор замка в адресной строке, но подобная пометка была не очевидной для пользователей и эффективно не отражала возникающие риски.
blockéieren onsécher Stiwwel (без шифрования) исполняемых файлов дополнено блокировкой небезопасной загрузки архивов (zip, iso и т.п.) и выводом предупреждений при небезопасной загрузке
документов (docx, pdf и т.п.). В следующем выпуске ожидается блокировка документов и вывод предупреждения для изображений, текстовых и мультимедийных файлов. Блокировка реализована, так как загрузка файлов без шифрования может использоваться для совершения вредоносных действий путём подмены содержимого в процессе MITM-атак.
В контекстном меню по умолчанию показана опция «Всегда показывать URL полностью», для включения которой ранее требовалось изменение параметров на странице about:flags. Полный URL также можно просмотреть кликнув два раза на адресной строке. Напомним, что начиная с Chrome 76 по умолчанию адрес стал показываться без протокола и поддомена www. В Chrome 79 была удалена настройка по возвращению старого поведения, но после недовольства пользователей в Chrome 83 был добавлен новый экспериментальный флаг, добавляющий в контекстное меню пункт для отключения скрытия и показа полного URL в любых условиях.
Для небольшого процента пользователей запущен en Experiment Op der отображению по умолчанию в адресной строке только домена, без элементов пути и параметров запроса. Например, вместо «https://example.com/secure-google-sign-in/» будет показано «example.com». Доведение предложенного режима до всех пользователей ожидается в одном из следующих выпусков. Для отключения указанного поведения можно использовать опцию «Всегда показывать URL полностью», а для просмотра всего URL можно кликнуть на адресной строке. В качестве мотива изменения указывается желание защитить пользователей от фишинга, манипулирующего параметрами в URL — злоумышленники пользуются невнимательностью пользователей для создания видимости открытия другого сайта и совершения мошеннических действий (если для технически грамотного пользователя подобные подмены бросаются в глаза, то неискушённые обыватели легко покупаются на подобные простые манипуляции).
Возобновлена Initiativ по удалению поддержки FTP. В Chrome 86 FTP отключён по умолчанию примерно для 1% пользователей, а в Chrome 87 охват отключения будет увеличен до 50%, но поддержку можно будет вернуть при помощи флага «—enable-ftp» или «—enable-features=FtpProtocol». В Chrome 88 поддержка FTP будет полностью отключена.
В версии для Android по аналогии с версией для настольных систем в менеджере паролей реализована проверка сохранённых логинов и паролей по базе скомпрометированных учётных записей с выводом предупреждения в случае выявления проблем или попытке использования тривиальных паролей. Проверка выполняется по базе, охватывающей более 4 миллиардов скомпрометированных аккаунтов, фигурировавших в утечках пользовательских баз. Для сохранения приватности applizéiert сверка хэш-префикса на стороне пользователя, а сами пароли и их полные хэши не передаются во вне.
В версию для Android также iwwerdroen кнопка «Проверка безопасности» (Safety check) и расширенный режим защиты от опасных сайтов (Enhanced Safe Browsing). Кнопка «Safety check» показывает сводку о возможных проблемах с безопасностью, таких как использование скомпрометированных паролей, состояние проверки вредоносных сайтов (Safe Browsing), наличие неустановленных обновлений и выявление вредоносных дополнений. Расширенный режим защиты активирует дополнительные проверки для защиты от фишинга, вредоносной активности и прочих угроз в Web, а также включает дополнительную защиту для учётной записи в Google и сервисов Google (Gmail, Drive и т.п.). Если в обычном режиме Safe Browsing проверки выполняются локально по периодически загружаемой на систему клиента БД, то в Enhanced Safe Browsing информация о страницах и загрузках в режиме реального времени отправляется для проверки на стороне Google, что позволяет оперативно реагировать на угрозы сразу после их выявления, не дожидаясь пока обновится локальный чёрный список.
Dobäigesat поддержка файла-индикатора «.well-known/change-password», при помощи которого владельцы сайтов могут указать адрес web-формы для смены пароля. В случае выявления компрометации учётных данных пользователя Chrome теперь сразу предложит пользователю форму для изменения пароля, определённую на основе информации из данного файла.
Eng nei "Sécherheets Tipp" Warnung gouf implementéiert, ugewisen wann Dir Siten opmaacht, deenen hir Domain ganz ähnlech mat enger anerer Säit ass an d'Heuristik weist datt et eng héich Wahrscheinlechkeet vu Spoofing gëtt (zum Beispill, goog0le.com gëtt opgemaach anstatt google.com).
Ëmgesat поддержка кэша перехода (Back-forward cache), обеспечивающего мгновенный переход при использовании кнопок «Назад» и «Вперёд» или при навигации по ранее просмотренным страницам текущего сайта. Кэш включается при помощи настройки chrome://flags/#back-forward-cache.
Проведена оптимизация потребления ресурсов CPU окнами
вне области видимости. Chrome проверяет не перекрывается ли окно браузера другими окнами и исключает отрисовку пикселей в областях перекрытия. Указанная оптимизация была включена для небольшого процента пользователей в Chrome 84 и 85, а теперь активирована повсеместно. По сравнению с прошлыми выпусками также устранена несовместимость с системами виртуализации, из-за которой показывались пустые белые страницы.
Méi Ressource Trimmen fir Hannergrond Tabs. Esou Tabs kënnen net méi wéi 1% vun CPU Ressourcen konsuméieren a kënnen net méi wéi eemol pro Minutt aktivéiert ginn. No fënnef Minutten am Hannergrond sinn Tabs gefruer, mat Ausnam vun Tabs déi Multimedia Inhalt spillen oder ophuelen.
Возобновлена работа по Unificatioun HTTP-заголовка User-Agent. В новой версии для всех пользователей активирована поддержка механизма Benotzer-Agent Client Hiweiser, развиваемого в качестве замены User-Agent. Новый механизм подразумевает выборочную отдачу данных о конкретных параметрах браузера и системы (версия, платформа и т.д.) только после запроса сервером и дающий пользователям возможность выборочно предоставлять подобную информацию владельцам сайтов. При использовании User-Agent Client Hints идентификатор не передаётся по умолчанию без явного запроса, что делает невозможным проведение пассивной идентификации (по умолчанию указывается только название браузера).
D'Indikatioun vun der Präsenz vun engem Update an de Besoin fir de Browser nei ze starten fir se z'installéieren ass geännert ginn. Amplaz vun engem faarwege Pfeil, erschéngt "Update" elo am Kont Avatar Feld.
Проведена работа по переводу браузера на применение инклюзивной терминологии. В именах политик слова «whitelist» и «blacklist» заменены на «allowlist» и «blocklist» (уже добавленные политики продолжат работать, но для них будет выводиться предупреждение о переводе в разряд устаревших). В Code и именах файлов упоминания «blacklist» заменены на «blocklist».
Видимые пользователю упоминания «blacklist» и «whitelist» были заменены ещё в начале 2019 года.
Eng experimentell Fäegkeet bäigefüügt fir gespäichert Passwierder z'änneren, aktivéiert mam Fändel "chrome://flags/#edit-passwords-in-settings".
Переведён в разряд стабильных и общедоступных API Native Dateisystem, позволяющий создавать web-приложения, взаимодействующие с файлами в локальной ФС. Например, новый API может быть востребован в запускаемых в браузере интегрированных средах разработки, редакторах текста, изображений и видео. Для получения возможности прямой записи и чтения файлов или использования диалогов для открытия и сохранения файлов, а также для навигации по содержимому каталогов, приложение запрашивает у пользователя специальное подтверждение.
Добавлен CSS-селектор «: konzentréieren-siichtbar«, который использует ту же эвристику, что используется браузером при принятии решения о показе индикатора смены фокуса (при перемещении фокуса на кнопку клавиатурными комбинациями индикатор появляется, а при клике мышью — нет). Ранее доступный CSS-селектор «:focus» всегда подсвечивает фокус.
Кроме того, в настройки добавлена опция «Quick Focus Highlight», при включении которой рядом с активными элементами будет показываться дополнительный индикатор фокуса, который остаётся видимым даже если на странице через CSS отключены элементы стиля для визуального выделения фокуса.
Verschidde nei APIe goufen an den Origin Trials Modus bäigefüügt (experimentell Funktiounen déi separat Aktivéierung erfuerderen). Origin Trial implizéiert d'Fäegkeet fir mat der spezifizéierter API ze schaffen aus Uwendungen, déi vum localhost oder 127.0.0.1 erofgeluede ginn, oder nodeems Dir e speziellen Token registréiert an kritt hutt, dee fir eng limitéiert Zäit fir e spezifesche Site gëlteg ass.
- API WebHID для низкоуровневого доступа к HID-устройствам (Human interface device, клавиатуры, мыши, геймпады, сенсорные панели), позволяющим реализовать логику работы с HID-устройством на JavaScript для организации работы с редкими HID-устройствами без наличия в системе специфичных драйверов.
  Прежде всего новый API нацелен на предоставление поддержки геймпадов.
- API Screen Information, расширяет возможности API Window Placement поддержкой конфигураций с несколькими экранами. В отличие от window.screen новый API позволяет манипулировать размещением окна в общем экранном пространстве многомониторнных систем, не ограничиваясь текущим экраном.
- Мета-тег battery-savings, при помощи которого сайт может информировать браузер о необходимости активации режимов снижения энергопотребления и оптимизации нагрузки на CPU.
- API COOP Reporting для информирования о потенциальных нарушениях режимов изоляции Cross-Origin-Embedder-Politik (COEP) an Cross-Origin-Opener-Politik (COOP), без применения фактических ограничений.
- An der API Umeldungsinformatioun Management предложен новый тип учётных данных PaymentCredential, обеспечивающий дополнительное подтверждение совершаемой платёжной операции. Проверяющая сторона, например, банк, имеет возможность сгенерировать открытый ключ PublicKeyCredential, который может быть запрошен продавцом для дополнительного безопасного подтверждения платежа.
An der API PointerEvents для определения наклона стилуса добавлена поддержка углов высоты (угол между стилусом и экраном) и азимута (угол между осью X и проекцией стилуса на экран), вместо углов TiltX и TiltY (углы между плоскостью из стилуса и одной из осей и плоскостью из осей Y и Z). Также добавлены функции преобразования между высотой/азимутом и TiltX/TiltY.
Verännert d'Kodéierung vum Raum an URLen beim Berechnung vu Protokollhanteren - d'Method navigator.registerProtocolHandler() ersetzt elo Plazen mat "%20" amplaz "+", wat d'Verhalen mat anere Browser wéi Firefox vereenegt.
В CSS добавлен псевдо-элемент «:: markéiert«, позволяющий настроить цвет, размер, форму и тип чисел и точек для перечислений в блоках <ul> и <ol>.
Zousätzlech HTTP Header Ënnerstëtzung Document-Policy, erlaabt задать правила доступа к документам, похожие на механизм sandbox-изоляции для iframe, но более универсальный. Например, через Document-Policy можно ограничить использование некачественных изображений, отключить медленные JavaScript API настроить правила загрузки iframe, изображений и скриптов, ограничить общий размер документа и трафик, запретить методы, приводящие к перерисовке страницы, отключить функцию Scroll-zu-Text.
В элемент <fieldset> добавлена поддержка параметров ‘inline-grid’, ‘grid’, ‘inline-flex’ и ‘flex’, задаваемых через CSS-свойство ‘display’.
Zousätzlech Method ParentNode.replaceChildren() для замены всех дочерних элементов родительского узла на другой DOM-узел. Ранее для замены узлов можно было использовать комбинацию из методов node.removeChild() и node.append() или node.innerHTML и node.append().
Erweidert спектр схем URL, допустимых для переопределения при помощи registerProtocolHandler(). В список схем включены децентрализованные протоколы cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns и ssb, что позволяет определять ссылки на элементы независимо от сайта или шлюза, предоставляющего доступ к ресурсу.
An der API Asynchronous Clipboard добавлена поддержка формата text/html для копирования и вставки HTML через буфер обмена (при записи и чтения в буфер обмена выполняется чистка опасных конструкций HTML). Изменение, например, позволяет организовать в web-редакторах вставку и копирование отформатированного текста с изображениями и ссылками.
В WebRTC dobäi возможность подключения собственных обработчиков данных, вызываемых на стадиях кодирования или декодирования WebRTC MediaStreamTrack. Например, указанную возможность можно использовать для добавления поддержки сквозного шифрования данных, передаваемых через промежуточные серверы.
В JavaScript-движке V8 на 75% beschleunegt реализация Number.prototype.toString. В асинхронные классы добавлено свойство .name с пустым значением. Удалён метод Atomics.wake, который в своё время был переименован в Atomics.notify для соответствия спецификации ECMA-262. Открыт код инструментария fuzzing-тестирования JS-Fuzzer.
В задействованном в прошлом выпуске начальном (baseline) компиляторе Liftoff для WebAssembly включена возможность использования векторных инструкций SIMD для ускорения вычислений. Судя по тестам, оптимизация позволила ускорить прохождения некоторых тестов в 2.8 раз. Другая оптимизация позволила значительно ускорить вызов из WebAssembly импортированных функций JavaScript.
Erweidert инструменты для web-разработчиков: В панель Media добавлены сведения о проигрывателях, применяемых для воспроизведения видео на странице, включая данные о событиях, логи, значения свойств и параметры декодирования кадров (например, можно определить причины потери кадров и проблем при взаимодействии из JavaScript).

В контекстном меню панели Elements добавлена возможность создания скриншотов выбранного элемента (например, можно создать скриншот оглавления или таблицы).

В web-консоли панель с предупреждением о проблемах заменена на обычное сообщение, а проблемы со сторонними Cookie скрыты по умолчанию во вкладке Issues и включаются специальным флажком.

An der Rendering-Tab ass e "Lokale Schrëften auszeschalten" Knäppchen bäigefüügt, wat Iech erlaabt d'Feele vu lokalen Schrëften ze simuléieren, an op der Tab Sensors kënnt Dir elo d'Benotzerinaktivitéit simuléieren (fir Uwendungen déi d'Idle Detection API benotzen).

В панели Application предоставлена детальная информация о каждом iframe, открытом окне и pop-up-ах, включая данные об изоляции Cross-Origin при помощи COEP и COOP.
Ugefaangen замена реализации протокола QUIC на вариант, развиваемый в спецификации IETF, вместо Google-варианта QUIC.

Zousätzlech zu Innovatiounen a Bugfixes eliminéiert déi nei Versioun 35 Schwachstelle. Vill vun de Schwachstelle goufen als Resultat vun automatiséierten Tester mat Tools identifizéiert Adress Sanitizer, Memory Sanitizer, Kontroll Flow Integritéit, Lib Fuzzer и AFL. Одна уязвимость (CVE-2020-15967, обращение к освобождённой области памяти в коде для взаимодействия с Google Payments) помечена как критическая, т.е. позволяет обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила 27 премий на сумму 71500 долларов США (одна премия $15000, три премии $7500, пять премий $5000, две $3000, одна $200 и две премии $500). Размер 13 вознаграждений пока не определён.

Source: opennet.ru

Chrome 86 Verëffentlechung

Setzt e Commentaire annuléieren reply