Издание на Chrome 79

Google презентирани објавување на веб-прелистувачот Хром 79... Истовремено достапни стабилно ослободување на бесплатен проект Хром, кој служи како основа на Chrome. Прелистувач Хром различни употреба на логоа на Google, присуство на систем за испраќање известувања во случај на пад, можност за преземање Flash модул по барање, модули за репродукција на заштитени видео содржини (DRM), систем за автоматско инсталирање ажурирања и пренос при пребарување RLZ параметри. Следното издание на Chrome 80 е закажано за 4-ти февруари.

Главните промени в Chrome 79:

• активирана Компонента за проверка на лозинка, дизајнирана да ја анализира силата на лозинките што ги користи корисникот. Кога се обидувате да се најавите на која било локација Проверка на лозинка исполнува проверка на најава и лозинка во однос на базата на податоци на компромитирани сметки со предупредување доколку се откријат проблеми (проверката се врши врз основа на хаш-префикс од страната на корисникот). Проверката се спроведува против базата на податоци што опфаќа повеќе од 4 милијарди компромитирани сметки што се појавија во протечените бази на податоци на корисници. Се прикажува и предупредување кога се обидувате да користите тривијални лозинки како „abc123“. За да го контролирате вклучувањето на Проверка на лозинка, имплементирана е посебна поставка во делот „Синхронизирај и услуги на Google“.
• Претставена е нова технологија за откривање на фишинг во реално време. Претходно, верификацијата се вршеше со пристап до локално преземените црни листи за безбедно прелистување, кои се ажурираа приближно еднаш на секои 30 минути, што се покажа како недоволно, на пример, во услови на често префрлување на домен од страна на напаѓачите. Новиот метод ви овозможува да ги проверувате URL-адресите на лето со прелиминарна проверка на белите листи кои вклучуваат хашови на илјадници популарни сајтови кои се доверливи. Ако страницата што се отвора не е во белата листа, прелистувачот ја проверува URL-то на серверот на Google, пренесувајќи ги првите 32 бита од хашот SHA-256 на врската, од кои се отсечени можните лични податоци. Според Google, новиот пристап може да ја подобри ефективноста на предупредувањата за нови phishing сајтови за 30%.
• Додадена е проактивна заштита од пренос на ингеренциите на Google и какви било лозинки зачувани во управувачот со лозинки преку страници за фишинг. Ако се обидете да внесете зачувана лозинка на локација каде таа лозинка вообичаено не се користи, корисникот ќе биде предупреден за потенцијално опасно дејство.
• Врските кои користат TLS 1.0 и 1.1 сега покажуваат несигурен индикатор за поврзување. Целосно поддржувајте TLS 1.0 и 1.1 ќе биде оневозможено во Chrome 81, закажан за 17 март 2020 година.
• Додадена е можност за замрзнување на неактивни картички, што ви овозможува автоматски да се растоварувате од мемориските табови кои биле во заднина повеќе од 5 минути и не вршат значајни дејства. Одлуката за соодветноста на одреден таб за замрзнување се донесува врз основа на хеуристика. Овозможувањето на функцијата се контролира преку знамето „chrome://flags/#proactive-tab-freeze“.
• Обезбедени Блокирање мешани содржини на страници отворени преку HTTPS за да се осигура дека страниците отворени преку https:// содржат само ресурси вчитани преку безбеден комуникациски канал. Иако најопасните типови мешани содржини, како што се скрипти и iframes, веќе се стандардно блокирани, сликите, аудиодатотеките и видеата сè уште може да се преземаат преку http://. Утврдено е дека претходно користениот индикатор за мешана содржина за таквите инсерти е неефикасен и погрешен за корисникот, бидејќи не обезбедува недвосмислена проценка за безбедноста на страницата. На пример, преку измама на слики, напаѓачот може да ги замени колачињата за следење на корисниците, да се обиде да ги искористи пропустите во процесорите на слики или да изврши фалсификување со замена на информациите дадени на сликата. За да се оневозможи заклучувањето на мешаните компоненти, додадена е посебна поставка до која може да се пристапи преку менито што се појавува кога ќе кликнете на симболот за заклучување.
• Додадена е експериментална способност за споделување содржина од таблата со исечоци помеѓу десктоп и мобилни верзии на Chrome. Во случаите на Chrome поврзан со една сметка, сега можете да пристапите до содржината на таблата со исечоци на друг уред, вклучително и споделување на таблата со исечоци помеѓу мобилни и десктоп системи. Содржината на таблата со исечоци е шифрирана со користење на шифрирање од крај до крај, што го спречува пристапот до текстот на серверите на Google. Функцијата е овозможена преку опциите chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui и chrome://flags#sync-clipboard-service.
• Во лентата за адреси во одредени моменти (на пример, кога зачувувате лозинка) кога синхронизацијата на профилот е исклучена, покрај аватарот, се прикажува и името на тековната сметка на Google за да може корисникот точно да ја идентификува моменталната активна сметка.
• Активирано за 1% од корисниците поддршка „DNS преку HTTPS“ (DoH, DNS преку HTTPS). Експериментот вклучува само корисници чии системски поставки веќе ги наведоа давателите на DNS кои поддржуваат DoH. На пример, ако корисникот има DNS 8.8.8.8 наведен во системските поставки, тогаш услугата DoH на Google („https://dns.google.com/dns-query“) ќе се активира во Chrome; ако DNS е 1.1.1.1. XNUMX, потоа услугата DoH Cloudflare („https://cloudflare-dns.com/dns-query“) итн. За да контролирате дали DoH е овозможено, обезбедена е поставката „chrome://flags/#dns-over-https“. Поддржани се три режими на работа: безбеден, автоматски и исклучен. Во режимот „безбеден“, хостовите се одредуваат само врз основа на претходно кеширани безбедни вредности (примени преку безбедна врска) и барања преку DoH; не се применува резервна копија на обичен DNS. Во „автоматскиот“ режим, ако DoH и безбедната кеш не се достапни, податоците може да се преземат од небезбедниот кеш и да се пристапи преку традиционалниот DNS. Во режимот „исклучено“, прво се проверува споделениот кеш и ако нема податоци, барањето се испраќа преку системскиот DNS.
• Додадено е експериментално поддршка кеширање на рендерирана содржина при менување страници со помош на копчињата напред и назад, што може значително да ги намали одложувањата за време на овој тип на навигација поради целосно кеширање на целата страница, што не бара повторно прикажување и вчитување на ресурсите. Оптимизацијата е особено забележлива во верзијата за мобилни уреди, каде што зголемувањето на перформансите при навигација достигнува 19%. Режимот е овозможен со користење на опцијата „chrome://flags#back-forward-cache“.
• Избришано поставување „chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains“, што овозможи да се врати приказот на протоколот во лентата за адреси (сега сите врски секогаш се прикажуваат без https :// и http:/ /, а исто така и без „www.“).
• Изградбите за Windows вклучуваат песок на услугата за репродукција на аудио. За да контролирате дали изолацијата е овозможена, предложено е својството AudioSandboxEnabled.
• Централизираните административни алатки за претпријатијата вклучуваат можност за дефинирање правила кои контролираат колку меморија може да потроши примерокот на прелистувачот пред да се растоварат табовите во заднина. Меморијата ослободена по растоварувањето на јазичето станува достапна за употреба, а содржината на јазичето повторно се вчитува кога се префрла на неа.
• Linux користи вграден процесор за верификација на сертификати, кој го заменува претходно користениот NSS систем. Во овој случај, вградениот процесор продолжува да ја користи продавницата NSS за време на верификацијата, но наметнува построги барања кога се обработуваат неправилно кодирани и одделно сертифицирани сертификати (сите сертификати мора да бидат сертифицирани од орган за сертификација).
• Во верзијата за Android платформата додадена можност за доделување адаптивни икони за инсталирани веб-апликации кои работат во режим на прогресивни веб-апликации (PWA). Приспособливите икони може да се прилагодат на интерфејсот што го користи производителот на уредот, на пример, да се тркалезни, квадратни или со мазни агли.
• Додадено API WebXR уред, кој обезбедува пристап до компоненти за создавање виртуелна и проширена реалност. API ви овозможува да ја обедините работата со различни класи на уреди, од стационарни слушалки за виртуелна реалност како Oculus Rift, HTC Vive и Windows Mixed Reality, до решенија базирани на мобилни уреди како Google Daydream View и Samsung Gear VR. Апликациите во кои може да биде применлив новиот API вклучуваат програми за гледање видео во режим 360°, системи за визуелизација на тридимензионален простор, создавање виртуелни кина за видео презентација, спроведување експерименти за создавање 3D интерфејси за продавници и галерии;
  

• Во режимот Origin Trials (експериментални карактеристики кои бараат одвоени активирање) се предложени неколку нови API. Origin Trial подразбира можност за работа со наведеното API од апликации преземени од localhost или 127.0.0.1, или по регистрирање и примање специјален токен кој важи ограничено време за одредена локација.
  • За сите HTML елементи, предложен е атрибутот „rendersubtree“, кој осигурува дека приказот на елементот DOM е фиксиран. Поставувањето на атрибутот на „невидливо“ ќе спречи прикажување или прегледување на содржината на елементот, овозможувајќи оптимизирано прикажување. Кога е поставено на „activatable“, прелистувачот ќе го отстрани невидливиот атрибут, ќе ја направи содржината и ќе ја направи видлива.
  • Додадена е опција за API Заклучување за будење врз основа на механизмот Promise, обезбедувајќи посигурен начин за контрола на оневозможувањето на екраните за автоматско заклучување и префрлување уреди на режими за заштеда на енергија.
• Спроведена способност за користење на атрибутот автофокус за сите HTML и SVG елементи кои можат да имаат влезен фокус.
• За слики и видеа обезбедени Пресметајте го соодносот врз основа на атрибутите Ширина или Висина, кои може да се користат за да се одреди големината на сликата со помош на CSS во фазата кога сликата сè уште не е вчитана (го решава проблемот со обновата на страницата откако ќе се вчитаат сликите).
• Додадено CSS својство големината на фонтот, кој автоматски ја поставува променливата големина на фонтот во оптички координати "opsz“, доколку фонтот ги поддржува. Режимот ви овозможува да изберете оптимална форма на глиф за одредена големина, на пример, користете повеќе контрастни хиероглифи за наслови.
• Додадено CSS својство листа-стил-тип, што ви овозможува да користите какви било симболи наместо точки во списоците, на пример, „-“, „+“, „★“ и „▸“.
• Ако е невозможно да се изврши Worklet.addModule(), сега се враќа објект со детални информации за природата на грешката, што ви овозможува попрецизно да ја процените причината за грешката (проблеми со мрежната врска, неточна синтакса итн. .).
• Престана обработката на елементите при нивното преместување помеѓу документи. При префрлање помеѓу документи, извршувањето на настани „грешка“ и „оптоварување“ поврзани со скрипта исто така е оневозможено.
• Во JavaScript моторот V8 спроведена Оптимизирање на управувањето со промените на претставувањето на полињата во објектите, што резултира со извршување на кодот AngularJS во пакетот за тестирање Брзиномер кој работи 4% побрзо.
  

• V8, исто така, ја оптимизира обработката на добивачите дефинирани во вградените API, како што се Node.nodeType и Node.nodeName, во отсуство на ракувач со ИЦ (вклучено кеширање). Промената го намали времето поминато на IC за приближно 12% при извршување на тестовите за Backbone и jQuery од пакетот Speedometer.
  

• Резултатите од механизмот OSR (наречен замена на стек) се кеширани, кој го заменува оптимизираниот код за време на извршувањето на функцијата (ви овозможува да започнете со користење на оптимизиран код за долготрајните функции без да чекате тие повторно да се активираат). Кеширањето на OSR овозможува користење на резултатите од оптимизацијата при повторното вклучување на функцијата, без потреба од повторна оптимизација.
  Во некои тестови, промената ги зголеми максималните перформанси за 5-18%.
  

• Промени во алатките за веб-програмери:
  Се појави режим на дебагирање за да се утврдат причините за блокирање барање или испраќање колаче.
  
  • Во блокот со списокот со колачиња, додадена е можноста за брзо прегледување на вредноста на избраното колаче со кликнување на одредена линија.
    

  • Додадена е способност за симулирање на различни поставки за шемата за претпочитана боја и барањата за медиумски преференци со намалено движење (на пример, за тестирање на однесувањето на страницата со темна системска тема или со оневозможени анимирани ефекти).
    

  • Дизајнот на картичката Покриеност е модернизиран, овозможувајќи ви да го оцените употребениот и некористениот код. Додадена е можност за филтрирање на информации според нивниот тип (JavaScript, CSS). Информациите за користење на кодот се додаваат и при прикажување на изворниот текст.
    

  • Додадена е можност за дебагирање на причините за барање одреден мрежен ресурс по снимањето на мрежната активност (можете да видите трага од повикот на кодот JavaScript што доведе до вчитување на ресурсот).
    

  • Додадено е поставката „Settings > Preferences > Sources > Default Indentation“ за да се одреди типот на вовлекување (2/4/8 празни места или јазичиња) во кодот прикажан во панелите Console и Sources.

Покрај иновациите и поправените грешки, новата верзија елиминира 51 ранливост. Многу од ранливостите беа идентификувани како резултат на автоматско тестирање со помош на алатките AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Два проблема (CVE-2019-13725, пристап до веќе ослободена меморија во кодот за поддршка за Bluetooth и CVE-2019-13726, прелевање куп во управувачот со лозинки) се означени како критични, т.е. ви дозволуваат да ги заобиколите сите нивоа на заштита на прелистувачот и да извршите код на системот надвор од околината на песокот. Ова е првпат два критични проблеми да се идентификуваат во рамките на истиот циклус на развој во Chrome. Првата ранливост ја открија истражувачите од Tencent Keen Security Lab и покажа на натпреварот Tianfu Cup, а вториот го најде Сергеј Глазунов од Google Project Zero.

Како дел од програмата за парични награди за откривање ранливости за тековното издание, Google плати 37 награди во вредност од 80000 долари (една награда од 20000 долари, една награда од 10000 долари, две награди од 7500 долари, четири награди од 5000 долари, една награда од 3000 долари, две награди од 2000 долари. награди од 1000 долари). Големината на 500-те награди се уште не е одредена.

Извор: opennet.ru