Хром 86

Следното издание на Chrome 86 и стабилното издание на Chromium се објавени.

Клучни промени во Chrome 86:

• заштита од небезбедно поднесување на формулари за внесување на страници вчитани преку HTTPS, но испраќање податоци преку HTTP.
• Блокирањето на небезбедни преземања (http) на извршни датотеки се надополнува со блокирање на небезбедни преземања на архиви (zip, iso, итн.) и прикажување на предупредувања за небезбедно преземање документи (docx, pdf, итн.). Во следното издание се очекуваат блокирање документи и предупредувања за слики, текст и медиумски датотеки. Блокирањето е имплементирано затоа што преземањето датотеки без шифрирање може да се користи за извршување на малициозни дејства со замена на содржината за време на нападите на MITM.
• Стандардното контекстуално мени ја прикажува опцијата „Секогаш прикажувај целосна URL-адреса“, која претходно бараше менување на поставките на страницата за: знаменца за да се овозможи. Целосниот URL може да се види и со двоен клик на лентата за адреси. Да ве потсетиме дека почнувајќи од Chrome 76, стандардно адресата почна да се прикажува без протоколот и поддоменот www. Во Chrome 79, поставката за враќање на старото однесување беше отстранета, но по незадоволството на корисникот, додадено е ново експериментално знаменце во Chrome 83 што додава опција во контекстното мени за оневозможување на криењето и прикажувањето на целосната URL адреса во сите услови.
  За мал процент од корисници, започна експеримент за стандардно прикажување само на доменот во лентата за адреси, без елементи на патеката и параметри за барање. На пример, наместо „https://example.com/secure-google-sign-in/" Ќе се прикаже „example.com“. Предложениот режим се очекува да биде донесен до сите корисници во едно од следните изданија. За да го оневозможите ова однесување, можете да ја користите опцијата „Секогаш прикажувај целосна URL-адреса“, а за да ја видите целата URL-адреса, можете да кликнете на лентата за адреси. Мотивот за промената е желбата да се заштитат корисниците од фишинг што манипулира со параметрите во URL-адресата - напаѓачите го користат невниманието на корисниците за да создадат изглед дека отвораат друга страница и вршат измамни дејствија (ако таквите замени се очигледни за технички компетентен корисник , тогаш неискусните луѓе лесно паѓаат на таква едноставна манипулација).
• Иницијативата за отстранување на FTP поддршката е обновена. Во Chrome 86, FTP е стандардно оневозможен за околу 1% од корисниците, а во Chrome 87 опсегот на оневозможувањето ќе се зголеми на 50%, но поддршката може да се врати со помош на „--enable-ftp“ или „- -enable-features=FtpProtocol" знаменце. Во Chrome 88, поддршката за FTP ќе биде целосно оневозможена.
• Во верзијата за Android, слична на верзијата за десктоп системи, менаџерот со лозинки спроведува проверка на зачуваните најавувања и лозинки во однос на базата на податоци на компромитирани сметки, прикажувајќи предупредување доколку се откријат проблеми или се направи обид да се користат тривијални лозинки. Проверката се спроведува против базата на податоци што опфаќа повеќе од 4 милијарди компромитирани сметки што се појавија во протечените бази на податоци на корисници. За одржување на приватноста, хаш-префиксот се проверува на страната на корисникот, а самите лозинки и нивните целосни хашови не се пренесуваат надворешно.
• Копчето „Безбедносна проверка“ и подобрениот режим на заштита од опасни локации (Подобрено безбедно прелистување) се префрлени и на верзијата на Android. Копчето „Безбедносна проверка“ прикажува резиме на можни безбедносни проблеми, како што се употребата на компромитирани лозинки, статусот на проверка на малициозни локации (Безбедно прелистување), присуството на деинсталирани ажурирања и идентификација на малициозни додатоци. Режимот за напредна заштита активира дополнителни проверки за заштита од фишинг, злонамерни активности и други закани на Интернет, а исто така вклучува дополнителна заштита за вашата сметка на Google и услугите на Google (Gmail, Drive, итн.). Ако во нормалниот режим на безбедно прелистување проверките се вршат локално со користење на базата на податоци периодично вчитана на системот на клиентот, тогаш во Подобрено безбедно прелистување информациите за страниците и преземањата во реално време се испраќаат за потврда на страната на Google, што ви овозможува брзо да одговорите на закани веднаш откако ќе бидат идентификувани, без да се чека додека локалната црна листа не се ажурира.
• Додадена е поддршка за датотеката со индикатори „.well-known/change-password“, со која сопствениците на сајтовите можат да ја наведат адресата на веб-формуларот за промена на лозинката. Ако акредитациите на корисникот се компромитирани, Chrome сега веднаш ќе го извести корисникот со формулар за промена на лозинката врз основа на информациите во оваа датотека.
• Имплементирано е ново предупредување „Совет за безбедност“, кое се прикажува при отворање на сајтови чиј домен е многу сличен на друг сајт и хеуристиката покажува дека постои голема веројатност за измама (на пример, се отвора goog0le.com наместо google.com).

  * Поддршката за кешот Назад-напред е имплементирана, обезбедувајќи инстант навигација при користење на копчињата „Назад“ и „Напред“ или кога се движите низ претходно прегледаните страници на тековната локација. Кешот е овозможен со користење на поставката chrome://flags/#back-forward-cache.

• Оптимизирање на потрошувачката на ресурси на процесорот за прозорци надвор од опсегот. Chrome проверува дали прозорецот на прелистувачот е преклопен со други прозорци и спречува цртање пиксели во областите на преклопување. Оваа оптимизација беше овозможена за мал процент од корисници во Chrome 84 и 85 и сега е овозможена насекаде. Во споредба со претходните изданија, некомпатибилноста со системите за виртуелизација што предизвика појава на празни бели страници, исто така е решена.
• Зголемено намалување на ресурсите за јазичиња во заднина. Таквите јазичиња повеќе не можат да трошат повеќе од 1% од ресурсите на процесорот и може да се активираат не повеќе од еднаш во минута. По пет минути престој во заднина, картичките се замрзнати, со исклучок на картичките што репродуцираат мултимедијална содржина или снимаат.
• Работата продолжи на обединување на заглавието на кориснички агент HTTP. Во новата верзија, поддршката за механизмот User-Agent Client Hints, развиен како замена за User-Agent, е активирана за сите корисници. Новиот механизам вклучува селективно враќање на податоците за одредени параметри на прелистувачот и системот (верзија, платформа, итн.) само по барање од серверот и давање можност на корисниците селективно да ги дадат таквите информации на сопствениците на сајтовите. Кога користите совети за клиентот на кориснички агент, идентификаторот не се пренесува стандардно без експлицитно барање, што ја прави невозможна пасивната идентификација (стандардно, само името на прелистувачот е означено).
  Индикацијата за присуство на ажурирање и потребата да се рестартира прелистувачот за да се инсталира е променета. Наместо стрелка во боја, „Ажурирај“ сега се појавува во полето за аватар на сметката.
• Извршена е работа за конвертирање на прелистувачот да користи инклузивна терминологија. Во имињата на политиките, зборовите „бел список“ и „црна листа“ се заменети со „листа на дозволени“ и „список на блокирани“ (веќе додадените политики ќе продолжат да функционираат, но тие ќе прикажуваат предупредување дека се застарени). Во имињата на кодот и датотеките, референците за „црната листа“ се заменети со „блок листа“. Референците видливи за корисниците на „црната листа“ и „белата листа“ беа заменети на почетокот на 2019 година.
  Додадена е експериментална способност за уредување на зачуваните лозинки, активирана со ознаката „chrome://flags/#edit-passwords-in-settings“.
• Native File System API е префрлен во категоријата стабилно и јавно достапен API, што ви овозможува да креирате веб-апликации кои комуницираат со датотеки во локалниот датотечен систем. На пример, новиот API може да биде баран во интегрирани развојни околини базирани на прелистувач, уредувачи на текст, слики и видео. За да може директно да пишува и чита датотеки или да користи дијалози за отворање и зачувување датотеки, како и за навигација низ содржината на директориумите, апликацијата бара од корисникот специјална потврда.
• Додаден е CSS избирач „:focus-visible“, кој ја користи истата хеуристика што ја користи прелистувачот кога одлучува дали да го прикаже индикаторот за промена на фокусот (кога се преместува фокусот на копче со помош на кратенки на тастатурата, индикаторот се појавува, но при кликнување со глувчето , тоа не). Претходно достапниот CSS избирач „:focus“ секогаш го истакнува фокусот. Дополнително, во поставките е додадена опцијата „Брзо нагласување фокус“, кога е овозможено, до активните елементи ќе се прикаже дополнителен индикатор за фокус, кој останува видлив дури и ако стилските елементи за визуелно истакнување фокус се оневозможени на страницата преку CSS .
• Додадени се неколку нови API во режимот Origin Trials (експериментални карактеристики кои бараат посебно активирање). Origin Trial подразбира можност за работа со наведеното API од апликации преземени од localhost или 127.0.0.1, или по регистрирање и примање специјален токен кој важи ограничено време за одредена локација.
• WebHID API за пристап на ниско ниво до HID уреди (уреди со човечки интерфејс, тастатури, глувци, подлоги за игри, подлоги за допир), што ви овозможува да ја имплементирате логиката на работа со HID уред во JavaScript за да организирате работа со ретки HID уреди без присуство на специфични двигатели во системот. Пред сè, новиот API е насочен кон обезбедување поддршка за гејмпади.
• Screen Information API, го проширува API-то за поставување на прозорец за да поддржува конфигурации на повеќе екрани. За разлика од window.screen, новиот API ви овозможува да манипулирате со поставувањето на прозорецот во целокупниот простор на екранот на системите со повеќе монитори, без да се ограничувате на тековниот екран.
• Мета-ознака за заштеда на батеријата, со која страницата може да го информира прелистувачот за потребата да се активираат режими за да се намали потрошувачката на енергија и да се оптимизира оптоварувањето на процесорот.
• COOP Reporting API за пријавување потенцијални прекршувања на режимите за изолација на Cross-Origin-Embedder-Policy (COEP) и Cross-Origin-Opener-Policy (COOP), без примена на реални ограничувања.
• API-то за управување со акредитиви нуди нов тип на акредитиви, PaymentCredential, кој обезбедува дополнителна потврда за извршената трансакција на плаќање. Засегнатата страна, како што е банката, има можност да генерира јавен клуч, PublicKeyCredential, што може да го побара трговецот за дополнителна безбедносна потврда за плаќање.
• PointerEvents API за одредување на навалување на пенкалото* додаде поддршка за аглите на височина (аголот помеѓу иглата и екранот) и азимутот (аголот помеѓу оската X и проекцијата на иглата на екранот), наместо Аглите TiltX и TiltY (аглите помеѓу рамнината од иглата и едната од оските и рамнината од оските Y и Z). Додадени се и функции за конверзија помеѓу надморска височина/азимут и TiltX/TiltY.
• Го смени кодирањето на просторот во URL-адресите при неговото пресметување во ракувачите на протоколи - методот navigator.registerProtocolHandler() сега ги заменува празнините со „%20“ наместо „+“, што го обединува однесувањето со другите прелистувачи како што е Firefox.
• Псевдоелемент „::маркер“ е додаден во CSS, што ви овозможува да ги приспособите бојата, големината, обликот и типот на броевите и точките за огласи во блокови И .
• Додадена е поддршка за HTTP заглавието Document-Policy, кое ви овозможува да поставите правила за пристап до документи, слични на механизмот за изолација на песокот за iframes, но поуниверзални. На пример, преку Document-Policy можете да ја ограничите употребата на слики со низок квалитет, да ги оневозможите бавните JavaScript API, да конфигурирате правила за вчитување iframe, слики и скрипти, да ја ограничите вкупната големина на документот и сообраќајот, да забраните методи што водат до прецртување на страницата и оневозможете ја функцијата Scroll-to-Text.
• До елемент додадена поддршка за параметрите „inline-grid“, „grid“, „inline-flex“ и „flex“ поставени преку својството „display“ CSS.
• Додаден е методот ParentNode.replaceChildren() за замена на сите деца од родителскиот јазол со друг DOM-јазол. Претходно, можете да користите комбинација од node.removeChild() и node.append() или node.innerHTML и node.append() за да ги замените јазлите.
• Опсегот на шеми за URL што може да се отфрлат со користење на registerProtocolHandler() е проширен. Списокот на шеми ги вклучува децентрализираните протоколи cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns и ssb, што ви овозможува да дефинирате врски до елементи без оглед на локацијата или портата што обезбедува пристап до ресурсот.
• Додадена е поддршка за формат на текст/html на АПИ-то за асинхрони табла со исечоци за копирање и вметнување HTML преку таблата со исечоци (опасните HTML конструкции се чистат при пишување и читање на таблата со исечоци). Промената, на пример, ви овозможува да организирате вметнување и копирање на форматиран текст со слики и врски во веб-уредниците.
• WebRTC додаде можност за поврзување на сопствени ракувачи со податоци, повикани во фазите на кодирање или декодирање на WebRTC MediaStreamTrack. На пример, оваа способност може да се користи за да се додаде поддршка за шифрирање од крај до крај на податоците што се пренесуваат преку средни сервери.
  Во V8 JavaScript моторот, имплементацијата на Number.prototype.toString е забрзана за 75%. Додадено својство .name на асинхрони класи со празна вредност. Методот Atomics.wake е отстранет, кој своевремено беше преименуван во Atomics.notify за да се усогласи со спецификацијата ECMA-262. Отворена е шифрата за алатката за тестирање fuzzing JS-Fuzzer.
• Компајлерот за основна линија Liftoff за WebAssembly објавен во последното издание ја вклучува способноста да се користат векторски инструкции SIMD за да се забрзаат пресметките. Судејќи според тестовите, оптимизацијата овозможи да се забрзаат некои тестови за 2.8 пати. Друга оптимизација го направи многу побрзо повикувањето увезени JavaScript функции од WebAssembly.
• Алатките за веб-програмери се проширени: Медиумскиот панел додаде информации за играчите што се користат за репродукција на видео на страницата, вклучувајќи податоци за настани, дневници, вредности на имотот и параметри за декодирање рамка (на пример, можете да ги одредите причините за рамката проблеми со загуба и интеракција од JavaScript) .
• Во контекстното мени на панелот Елементи, додадена е можноста за креирање слики од екранот на избраниот елемент (на пример, можете да креирате слика од екранот на содржината или табелата).
• Во веб-конзолата, панелот за предупредување за проблеми е заменет со редовна порака, а проблемите со колачињата од трети страни се стандардно скриени во картичката Проблеми и се овозможени со специјално поле за избор.
• Во табулаторот Рендерирање, додадено е копче „Оневозможи локални фонтови“, кое ви овозможува да симулирате отсуство на локални фонтови, а во табулаторот „Сензори“ сега можете да симулирате неактивност на корисникот (за апликации кои користат API за откривање на неактивен).
• Панелот со апликации обезбедува детални информации за секоја iframe, отворен прозорец и скокачки прозорец, вклучувајќи информации за изолацијата со вкрстено потекло со помош на COEP и COOP.

Имплементацијата на протоколот QUIC почна да се заменува со верзијата развиена во спецификацијата IETF, наместо верзијата на Google на QUIC.
Покрај иновациите и поправените грешки, новата верзија елиминира 35 пропусти. Многу од ранливостите беа идентификувани како резултат на автоматско тестирање со помош на алатките AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Една ранливост (CVE-2020-15967, пристап до ослободена меморија во код за интеракција со Google Payments) е означена како критична, т.е. ви овозможува да ги заобиколите сите нивоа на заштита на прелистувачот и да извршите код на системот надвор од околината на песокот. Како дел од програмата за плаќање парични награди за откривање ранливости за тековното издание, Google плати 27 награди во вредност од 71500 долари (една награда од 15000 долари, три награди од 7500 долари, пет награди од 5000 долари, две награди од 3000 долари, една награда од 200 долари и две награди од 500 долари). Големината на 13 награди сè уште не е одредена.

Земено од Opennet.ru

Извор: linux.org.ru