Chrome 86

Iznācis jauns Chrome 86 izlaišanas, kā arī stabilā Chromium versija.

Galvenās izmaiņas Chrome 86:

• aizsardzība pret nedrošu ievades formu sūtīšanu no lapām, kas ielaistas pa HTTPS, bet sūta datus pa HTTP.
• Nedrošas lejupielādes (http) bloķēšana ir papildināta ar nedrošas arhīvu (zip, iso u.c.) lejupielādes bloķēšanu un brīdinājumu par nedrošas dokumentu (docx, pdf u.c.) lejupielādi. Nākamajā izlaidumā tiek gaidīta dokumentu bloķēšana un brīdinājuma izdošana attēliem, teksta un multivides failiem. Bloķēšana ir īstenota, jo nešifrētu failu lejupielāde var tikt izmantota ļaunprātīgu darbību veikšanai, aizstājot saturu MITM uzbrukumu procesā.
• Noklusējošajā konteksta izvēlnē tiek rādīta opcija "Vienmēr rādīt URL pilnībā", kuras ieslēgšanai iepriekš bija nepieciešamas izmaiņas iestatījumos lapā about:flags. Pilnu URL var arī apskatīt, divreiz noklikšķinot uz adreses joslas. Atgādinām, ka sākot ar Chrome 76, noklusējoši adrese sākusi rādīties bez protokola un apakšdomēna www. Chrome 79 tika noņemta iestatījumu atgriežšana vecajā uzvedībā, bet pēc lietotāju neapmierinātības Chrome 83 tika pievienots jauns eksperimentālais iestatījums, kas pievieno konteksta izvēlnē punktu, lai atslēgtu slēpšanu un rādītu pilnu URL jebkuros apstākļos.
  Nelielam lietotāju procentam ir uzsākts eksperimenta režīms, kurā adreses joslā noklusējoši tiek rādīts tikai domēns, bez ceļa un vaicājumu parametriem. Piemēram, vietā "https://example.com/secure-google-sign-in/" tiks attēlots "example.com". Ierosinātā režīma ieviešana visiem lietotājiem tiek gaidīta vienā no nākamajiem izlaidumiem. Lai atspējotu minēto uzvedību, var izmantot opciju "Vienmēr rādīt URL pilnībā", bet, lai redzētu visu URL, var noklikšķināt uz adreses joslas. Kā pārmaiņu motivācija ir norādīta vēlme aizsargāt lietotājus no phishing, kas manipulē ar parametriem URL — ļaunprātīgas personas izmanto lietotāju neuzmanību, lai radītu ilūziju par citu vietņu atvēršanu un izdarītu krāpšanas darbības (ja tehniski prasmīgam lietotājam šādas aizstāšanas ir uzreiz pamanāmas, tad neizglītotiem cilvēkiem ir viegli iekrist šādās vienkāršās manipulācijās).
• Tika uzsākta iniciatīva, lai atceltu FTP atbalstu. Chrome 86 FTP ir noklusēti izslēgts aptuveni 1% lietotāju, bet Chrome 87 izslēgšanas apjoms tiks palielināts līdz 50%, taču atbalstu būs iespējams atjaunot, izmantojot karogu "—enable-ftp" vai "—enable-features=FtpProtocol". Chrome 88 FTP atbalsts tiks pilnībā atslēgts.
• Android versijā, līdzīgi kā galddatoru versijā, paroles pārvaldnieks ir ieguvis funkcionalitāti, kas pārbauda saglabātos lietotāja vārdu un parolju drošību, salīdzinot ar kompromitētu kontu datubāzi un sniedzot brīdinājumus problēmu gadījumā vai mēģinot izmantot acīmredzamas paroles. Pārbaude notiek datubāzē, kas aptver vairāk nekā 4 miljardus kompromitētu kontu, kuri tika pamanīti lietotāju datu noplūdēs. Lai saglabātu privātumu, tiek izmantota hash-prefiksa salīdzināšana lietotāja pusē, un pašas paroles un pilni hash dati netiek sūtīti ārpusē.
• Android versijā ir ieviesta arī "Drošības pārbaudes" (Safety check) poga un uzlabotais aizsardzības režīms pret bīstamām vietnēm (Enhanced Safe Browsing). "Safety check" poga parāda kopsavilkumu par iespējamiem drošības jautājumiem, piemēram, par kompromitētu parolju izmantošanu, kaitīgu vietņu stāvokli (Safe Browsing), nepārbaudītu atjauninājumu esamību un kaitīgu papildinājumu identificēšanu. Uzlabotais aizsardzības režīms aktivizē papildu pārbaudes, lai pasargātu no pikšķerēšanas, kaitīgas darbības un citām tīmekļa draudēm, kā arī ietver papildu aizsardzību Google kontam un Google pakalpojumiem (Gmail, Drive utt.). Ja parastajā Safe Browsing režīmā pārbaudes tiek veiktas lokāli, izmantojot periodiski lejupielādētu datu bāzi uz klienta ierīces, tad Enhanced Safe Browsing reāllaikā sūta informāciju par lapām un lejupielādēm pārbaudei uz Google, ļaujot ātri reaģēt uz draudiem tūlīt pēc to identificēšanas, negaidot lokālā melnā saraksta atjaunināšanu.
• Ir pievienota atbalsta funkcija failam-indikatoram ".well-known/change-password", ar kura palīdzību tīmekļa vietņu īpašnieki var norādīt adresi uz parolju maiņas veidlapu. Ja tiek konstatēta lietotāja datu kompromitācija, Chrome tagad nekavējoties piedāvās lietotājam parolju maiņas veidlapu, kas noteikta, pamatojoties uz informāciju no šī faila.
• Ieviesta jauna «Safety Tip» brīdinājuma izsniegšana, kas tiek parādīta, atverot vietnes, kuru domēns ļoti atgādina citu vietni un heuristika norāda uz lielu krāpšanas risku (piemēram, atverot goog0le.com vietā google.com).

  * Ieviesta atpakaļ un uz priekšu kešatmiņas (Back-forward cache) atbalsts, kas nodrošina tūlītēju pāreju, izmantojot «Atpakaļ» un «Uz priekšu» pogas vai navigējot pa iepriekšējām apmeklētajām lapām pašreizējā vietnē. Kešatmiņu iespējams aktivizēt, izmantojot iestatījumu chrome://flags/#back-forward-cache.
• Optimizēta CPU resursu patēriņš logiem, kas nav redzami. Chrome pārbauda, vai pārlūka logs nav pārklāts ar citiem logiem un izslēdz pikseļu attēlošanu pārklājumos. Norādītā optimizācija tika iekļauta nelielam procentam lietotāju Chrome 84 un 85 versijā, bet tagad tiek aktivizēta visiem. Salīdzinājumā ar iepriekšējiem laidieniem ir novērsta savietojamības problēma ar virtualizācijas sistēmām, dēļ kuras tika rādītas tukšas baltas lapas.
• Pastiprināta resursu ierobežošana fona cilnēm. Šādas cilnes tagad nevar patērēt vairāk par 1% CPU resursu un var tikt aktivizētas ne biežāk kā reizi minūtē. Pēc piecām minūtēm fona cilnes tiek sasalstītas, izņemot cilnes, kurās tiek atskaņota multimediju saturs vai tiek veikta ierakstīšana.
• Tika atsākta darba standardizēšana HTTP galvenes User-Agent jomā. Jaunajā versijā visiem lietotājiem ir aktīvs atbalsts User-Agent Client Hints mehānismam, kas tiek attīstīts kā User-Agent aizvietotājs. Jaunais mehānisms paredz, ka dati par konkrētajiem pārlūka un sistēmas parametriem (versija, platforma utt.) tiek sniegti tikai pēc servera pieprasījuma, piešķirot lietotājiem iespēju selektīvi nodot šādu informāciju vietņu īpašniekiem. Izmantojot User-Agent Client Hints, identifikators pēc noklusējuma netiek nosūtīts bez skaidra pieprasījuma, kas novērš pasīvas identifikācijas iespējamību (pēc noklusējuma tiek norādīts tikai pārlūka nosaukums).
  Izmainīta atjauninājuma un nepieciešamības pārrestartēt pārlūku rādīšana, lai to uzstādītu. Vietā krāsainās bultiņas konta avatara laukā tagad tiek rādīts uzraksts «Update».
• Tika veikta pāreja uz iekļaujošu terminoloģiju pārlūkā. Politikas nosaukumos vārdi "whitelist" un "blacklist" ir aizstāti ar "allowlist" un "blocklist" (jau pievienotās politikas turpinās darboties, taču tām tiks rādīts brīdinājums par pāreju uz novecojušām). Kodu un failu nosaukumos atsauces uz "blacklist" ir aizstātas ar "blocklist". Lietotājam redzamās atsauces uz "blacklist" un "whitelist" tika aizstātas jau 2019. gada sākumā.
  Pievienota eksperimentāla iespēja rediģēt saglabātos parolas, kas aktivizējama ar karogu "chrome://flags/#edit-passwords-in-settings".
• Stabilās un publiskās API Native File System versijā ir ieviests, ļaujot veidot tīmekļa lietojumprogrammas, kas mijiedarbojas ar failiem lokālā failu sistēmā. Piemēram, jaunais API var tikt pieprasīts integrētās izstrādes vidēs, teksta, attēlu un video redaktoros, kas tiek palaisti pārlūkā. Lai iegūtu iespēju tieši rakstīt un lasīt failus vai izmantot dialogus failu atvēršanai un saglabāšanai, kā arī pārlūkot katalogu saturu, lietojumprogramma pieprasa lietotājam īpašu apstiprinājumu.
• Pievienots CSS selektors ":focus-visible", kas izmanto to pašu heuristiku, ko pārlūks izšķir, pieņemot lēmumu par fokusa rādītāja rādīšanu (pārvietojot fokusēšanu uz pogu ar tastatūras kombinācijām, rādītājs parādās, bet, noklikšķinot ar peli, - nē). Iepriekš pieejamais CSS selektors ":focus" vienmēr izgaismo fokusu. Turklāt iestatījumos ir pievienota opcija "Quick Focus Highlight", kuras aktivizēšanas gadījumā blakus aktīvajiem elementiem tiks parādīts papildu fokusa indikators, kas paliek redzams, pat ja lapā caur CSS ir izslēgti stila elementi fokusa vizuālai izcelšanai.
• Origin Trials režīmā (eksperimentālās iespējas, kas prasa atsevišķu aktivāciju) pievienoti vairāki jauni API. Origin Trial nozīmē iespēju strādāt ar norādīto API no lietotnēm, kas ielādētas no localhost vai 127.0.0.1, vai pēc reģistrācijas un īpaša tokena saņemšanas, kas darbojas ierobežotu laiku konkrētai vietnei.
• API WebHID zemas līmeņa piekļuvei HID ierīcēm (Human Interface Device, tastatūras, pele, spēļu kontrolleri, skārienpaneļi), ļaujot izstrādāt loģiku, kas strādā ar HID ierīci JavaScript, organizējot darbu ar retām HID ierīcēm bez specifiskiem draiveriem sistēmā. Pirmkārt, jaunais API ir vērsts uz spēļu kontrolieru atbalsta nodrošināšanu.
• API ekrāna informācija paplašina API loga novietošanas iespējas, atbalstot konfigurācijas ar vairākiem ekrāniem. Atšķirībā no window.screen, jaunais API ļauj manipulēt ar loga novietojumu kopējā ekrāna telpā vairāku monitoru sistēmās, neaprobežojoties ar pašreizējo ekrānu.
• Meta tags battery-savings ļauj vietnei informēt pārlūkprogrammu par nepieciešamību aktivizēt enerģijas taupīšanas režīmus un optimizēt CPU slodzi.
• API COOP ziņošanai par potenciālajiem pārkāpumiem Cross-Origin-Embedder-Policy (COEP) un Cross-Origin-Opener-Policy (COOP) izolācijas režīmu, neizmantojot reālus ierobežojumus.
• API Credential Management piedāvā jaunu kredencialu veidu PaymentCredential, kas nodrošina papildu apstiprināšanu veicamai maksājuma operācijai. Pārbaudes puse, piemēram, banka, var ģenerēt publisko atslēgu PublicKeyCredential, ko var pieprasīt pārdevējs, lai papildu droši apstiprinātu maksājumu.
• API PointerEvents ir pievienota atbalsts stilusa slīpumam*, iekļaujot augstuma leņķus (leņķis starp stilusu un ekrānu) un azimuta leņķus (leņķis starp X asi un stilusa projekciju uz ekrāna), vietā TiltX un TiltY leņķiem (leņķi starp stilusa plakni un vienu no asinīm, kā arī Y-Z plakni). Tāpat ir pievienotas funkcijas augstuma/azimuta un TiltX/TiltY pārveidošanai.
• URL atšķirību kodējums ir mainīts, kad to aprēķina protokola apstrādātājos — metode navigator.registerProtocolHandler() tagad aizvieto atstarpes ar „” vietā „+”, tādējādi saskaņojot uzvedību ar citiem pārlūkiem, piemēram, Firefox.
• CSS ir pievienots pseidoelements "::marker", kas ļauj iestatīt krāsu, izmēru, formu un tipa numurus un punktus sarakstos blokos
  un
  .
  1. Pievienots atbalsts HTTP virsrakstam Document-Policy, kas ļauj noteikt piekļuves noteikumus dokumentiem, līdzīgus iframe smilšu kastes izolācijas mehānismam, bet universālāku. Piemēram, caur Document-Policy var ierobežot zemas kvalitātes attēlu izmantošanu, atspējot lēnus JavaScript API, iestatīt iFrame, attēlu un skriptus lejupielādes noteikumus, ierobežot dokumenta kopējo izmēru un trafika apjomu, aizliegt metodes, kas izraisa lapas pārveidošanu, un atspējot Scroll-To-Text funkciju.
  2. elementā ir pievienots atbalsts ‘inline-grid’, ‘grid’, ‘inline-flex’ un ‘flex’ parametriem, ko nosaka CSS īpašumā ‘display’.
  3. Pievienota ParentNode.replaceChildren() metode, lai aizstātu visus vecāku mezgla apakšmezglus ar citu DOM mezglu. Agrāk mezglu aizstāšanai varēja izmantot metožu kombināciju node.removeChild() un node.append() vai node.innerHTML un node.append().
  4. Paplašināts pieļaujamo URL shēmu klāsts, kas var tikt pārdefinēts, izmantojot registerProtocolHandler(). Sarakstā iekļautas decentralizētās protokoli cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns un ssb, ļaujot noteikt saites uz elementiem neatkarīgi no vietnes vai vārtejas, kas nodrošina piekļuvi resursam.
  5. Asynchronous Clipboard API ir pievienota atbalsta forma text/html, lai kopētu un ievietotu HTML caur starpliktuvi (rakstot un lasot starpliktuvē tiek veikta bīstamu HTML konstrukciju iztīrīšana). Piemēram, šī izmaiņa ļauj web redaktoros organizēt formatēta teksta, attēlu un saišu kopēšanu un ievietošanu.
  6. WebRTC ir pievienota iespēja pievienot savus datu apstrādātājus, kas tiek izsaukti WebRTC MediaStreamTrack kodēšanas vai dekodēšanas posmos. Piemēram, šo iespēju var izmantot, lai pievienotu datu pārsūtīšanai caur starpserveriem atbalstu gals līdz galam šifrēšanai.
     JavaScript dzinī V8 ir par 75% paātrināta Number.prototype.toString īstenošana. Asinhronajos klasēs ir pievienota īpašība .name ar tukšu vērtību. Tika dzēsta Atomics.wake metode, kas kādreiz tika pārnosīta uz Atomics.notify, lai atbilstu ECMA-262 specifikācijai. Atvērta JS-Fuzzer rīku komplekta koda.
  7. Iepriekšējā laidiena sākuma (baseline) kompilatorā Liftoff WebAssembly ir iekļauta iespēja izmantot SIMD vektoru instrukcijas, lai paātrinātu aprēķinus. Testi liecina, ka optimizācija ļāva uzlabot dažu testu izpildi par 2.8 reizes. Citā optimizācijā tika būtiski paātrināts izsaukums no WebAssembly .importētām JavaScript funkcijām.
  8. Ir paplašināti rīki web izstrādātājiem: Media panelī ir pievienota informācija par atskaņotājiem, kas tiek izmantoti video atskaņošanai lapā, tostarp notikumu dati, žurnāli, īpašību vērtības un kadru dekodēšanas parametri (piemēram, var noteikt kadru zudumu un problēmas, kas saistītas ar mijiedarbību no JavaScript).
  9. Izvēlētā elementa ekrānuzņēmumu izveide ir pievienota konteksta izvēlņu panelī Elements (piemēram, var izveidot ekrānuzņēmumu par satura rādītāju vai tabulu).
  10. Web konsolē brīdinājumu paneļa vietā ir vienkārši ziņojums, un problēmas ar trešo pušu sīkdatnēm pēc noklusējuma ir slēptas sadaļā Issues un tās var ieslēgt ar speciālu atzīmējamu rūtiņu.
  11. Sadaļā Rendering ir pievienota poga 'Atspējot vietējos fontus', kas ļauj simulēt vietējo fontu trūkumu, un sadaļā Sensors parādījusies iespēja simulēt lietotāja neaktivitāti (aizsardzības API Idle Detection lietojumprogramām).
  12. Application panelī ir pieejama detalizēta informācija par katru iframe, atvērtu logu un pop-up, tostarp dati par Cross-Origin izolāciju, izmantojot COEP un COOP.

  Sācies QUIC protokola īstenojuma maiņa uz IETF specifikācijā attīstīto variantu, nevis Google variantu QUIC.
  Papildus jaunumiem un kļūdu labošanai jaunajā versijā ir novērstas 35 vājās vietas. Daudzas no vājajām vietām ir atklātas, izmantojot automatizētus testus ar AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer un AFL rīkiem. Viens ievainojamība (CVE-2020-15967, piekļuve atbrīvotai atmiņas zona kodā, kas saistīts ar Google Payments) ir atzīta par kritisku, proti, tā ļauj apiet visus pārlūka aizsardzības līmeņus un izpildīt kodu sistēmā ārpus smilšu kastes. Viedo vājumu atklāšanas programmas ietvaros pašreizējā laidiena izlaidumā uzņēmums Google ir izmaksājis 27 balvas kopumā uz 71500 ASV dolāriem (viena balva $15000, trīs balvas $7500, piecas balvas $5000, divas $3000, viena $200 un divas balvas $500). 13 balvu apmērs vēl nav noteikts.

  Ņemts no Opennet.ru

  Avots: linux.org.ru