Google utgave av nettleseren . Samtidig stabil utgivelse av et fritt prosjekt , som fungerer som grunnlaget for Chrome. Nettleseren Chrome ved bruken av Googles logoer, et system for å sende varsler ved krasj, muligheten for å laste ned Flash-modulen på forespørsel, moduler for avspilling av beskyttet videoinnhold (DRM), et system for automatisk installasjon av oppdateringer og overføring ved søk Den neste utgaven av Chrome 87 er planlagt til 17. november.
:
- Det er lagt til beskyttelse mot usikker innsending av inndataformulérer på sider som er lastet inn via HTTPS, men sender dataene via HTTP, noe som utgjør en trussel om avlytting og modifikasjon av data ved gjennomføring av MITM-angrep. Beskyttelsen består av tre endringer:
- Autofullføring av alle blandede inndataformulérer er deaktivert, på liknende måte som autofullføring for autentiseringsformulérer på sider åpnet via HTTP ble deaktivert for en tid tilbake. Tidligere var åpning av siden med formularen via HTTPS eller HTTP indikatoren for deaktivering, men nå tas det hensyn til om dataene er kryptert ved sending til formularbehandleren. Bruk av passordbehandleren for blandede autentiseringsformulérer er ikke deaktivert, da risikoen ved bruk av usikre passord og gjenbruk av passord på forskjellige nettsteder overstiger risikoen for potensiell avlytting av trafikk.
- Når det begynner å bli skrevet i blandede formularer, vises en advarsel som informerer brukeren om at fylte data sendes via en usikret kommunikasjonskanal.
- Når det forsøkes å sende et blandet formular, vises en egen side med en melding om potensiell risiko for overføring av data via en usikret kommunikasjonskanal. I tidligere versjoner ble indikatorlampen i adressefeltet brukt for å indikere blandede formularer, men et slikt merke var ikke åpenbart for brukerne og reflekterte ikke effektivt risikoene som oppstår.
- Blocking (uten kryptering) utførelsesfiler er supplert med blokkering av usikker lasting av arkiver (zip, iso o.l.) og visning av advarsler ved usikker lasting
av dokumenter (docx, pdf o.l.). I neste utgave forventes det at dokumenter blokkeres og at det vises en advarsel for bilder, tekst- og mediefiler. Blokkeringen er innført fordi lasting av filer uten kryptering kan brukes til å begå skadelige handlinger ved å modifisere innholdet under MITM-angrep. - I høyreklikkmenyen vises alternativet «Vis alltid URL-en i sin helhet» som standard, noe som tidligere krevde endring av innstillingene på siden about:flags. Den komplette URL-en kan også sees ved å dobbeltklikke adressefeltet. Vi minner om at fra og med vises adressen etter standard uten protokoll og underdomene www. I innstillingen for å gjenvinne den gamle oppførselen ble fjernet, men etter misnøye fra brukerne i ble det lagt til en ny eksperimentell flagg som legger til et punkt i kontekstmenyen for å deaktivere skjuling og visning av full URL under alle forhold.
- For en liten prosentandel brukere har det blitt lansert om som standard i adresselinjen kun domenet, uten stivelementer og spørringsparametere. For eksempel, i stedet for «https://example.com/secure-google-sign-in/» vil «example.com» bli vist. Full implementering av foreslått modus til alle brukere forventes i en av de kommende utgivelsene. For å deaktivere angitt atferd kan alternativet «Vis alltid hele URL» brukes, og for å se hele URL kan man klikke på adresselinjen. Motivasjonen for endringen angis som ønsket om å beskytte brukerne mot phishing, som manipulerer parametere i URL — kriminelle utnytter brukernes uvitenhet til å skape inntrykk av at de åpner et annet nettsted og utfører svindelhandlinger (mens teknisk kyndige brukere lett ser slike endringer, lar uerfarne borgere seg lett lure av slike enkle manøvrer).
- Gjenopptatt for å fjerne støtte for FTP. I Chrome 86 er FTP deaktivert som standard for omtrent 1% av brukerne, og i Chrome 87 vil dekningen av deaktivering bli økt til 50%, men støtten kan gjenopprettes ved hjelp av flagget «—enable-ftp» eller «—enable-features=FtpProtocol». I Chrome 88 vil støtte for FTP bli fullstendig deaktivert.
- I versjonen for Android, i likhet med skrivebordsversjonen, er det implementert en sjekk av lagrede pålogginger og passord mot en database med kompromitterte kontoer, med advarsel hvis problemer avdekkes eller forsøk på bruk av trivielle passord. Sjekken utføres mot en database som dekker over 4 milliarder kompromitterte kontoer som har blitt involvert i brukerdatalekasjer. For å bevare personvernet sjekkes hash-prefikset på brukersiden, og selve passordene samt deres komplette hash blir ikke sendt ut.
- I versjonen for Android også Knappen «Sikkerhetskontroll» (Safety check) og utvidet beskyttelsesmodus mot farlige nettsteder (Enhanced Safe Browsing). Knappen «Safety check» viser en oppsummering av mulige sikkerhetsproblemer, som bruk av kompromitterte passord, status for sjekk av skadelige nettsteder (Safe Browsing), tilstedeværelse av ikke-installerte oppdateringer og identifisering av skadelige tillegg. Det utvidede beskyttelsesmodus aktiverer ekstra sjekker for å beskytte mot phishing, skadelig aktivitet og andre trusler på nettet, og inkluderer også ekstra beskyttelse for Google-kontoen og Google-tjenester (Gmail, Drive, osv.). Mens vanlig Safe Browsing-sjekkinger utføres lokalt ved å bruke en database som periodisk lastes ned til klienten, sendes informasjon om sider og nedlastinger i sanntid for sjekk hos Google i Enhanced Safe Browsing, noe som muliggjør rask respons på trusler så snart de oppdages, uten å måtte vente på at den lokale svartelisten oppdateres.
- Støtte for indikatorfilen «.well-known/change-password», som gjør det mulig for nettstedseiere å spesifisere adressen til webskjemaet for passordbytte. Ved oppdagelse av kompromitterte brukerlegitimasjoner vil Chrome nå umiddelbart tilby brukeren et skjema for å endre passord, definert basert på informasjon fra denne filen.
- Det er implementert et nytt varsel «Safety Tip», som vises når du åpner nettsteder med domener som er veldig like et annet nettsted, og heuristikken viser at det er stor sjanse for spoofing (for eksempel åpne goog0le.com i stedet for google.com).
- Støtte for tilbake- og fremadgående hurtigbufring (Back-forward cache), som gir umiddelbar navigering ved bruk av knappene «Tilbake» og «Fremover» eller når man navigerer til tidligere besøkte sider på det nåværende nettstedet. Hurtigbuffringen aktiveres ved hjelp av innstillingen chrome://flags/#back-forward-cache.
- Det er gjennomført optimalisering av CPU-bruk for vinduer
utenfor synsfeltet. Chrome sjekker om nettleservinduet blir overlagt av andre vinduer og ekskluderer gjengivelse av piksler i overlappingene. Den spesifiserte optimaliseringen ble aktivert for en liten prosentandel av brukerne i Chrome 84 og 85, og er nå aktivert overalt. I forhold til tidligere utgivelser er også inkompatibilitet med virtualiseringssystemer som forårsaket visning av tomme hvite sider, eliminert. - Ressursbegrensningen for bakgrunnsfaner er styrket. Slike faner kan nå ikke bruke mer enn 1 % CPU-ressurser og kan aktiveres ikke oftere enn én gang per minutt. Etter fem minutters bakgrunnsaktivitet fryser fanene, unntatt de som spiller av multimediainnhold eller tar opp.
- Arbeidet med HTTP-headeren User-Agent er gjenopptatt. I den nye versjonen er støtten for mekanismen , utviklet som en erstatning for User-Agent. Den nye mekanismen innebærer selektiv datagivning om spesifikke nettleser- og systemparametere (versjon, plattform osv.) kun etter forespørsel fra serveren, og gir brukerne muligheten til selektivt å gi slik informasjon til nettstedseiere. Ved bruk av User-Agent Client Hints overføres ikke identifikatoren som standard uten eksplisitt forespørsel, noe som gjør passiv identifikasjon umulig (kun nettlesernavnet oppgis som standard).
- Indikatoren for tilgjengelig oppdatering og behovet for å starte nettleseren på nytt for installasjon er endret. I stedet for en farget pil i avatarfeltet til kontoen vises nå teksten «Update».
- Det er utført arbeid med å oversette nettleseren for å bruke inkluderende terminologi. I retningslinjene er ordene «whitelist» og «blacklist» blitt erstattet med «allowlist» og «blocklist» (allerede eksisterende retningslinjer vil fortsette å gjelde, men det vil bli vist en advarsel om at de er å anse som utdaterte). I og er referanser til «blacklist» blitt erstattet med «blocklist».
Synlige omtaler av «blacklist» og «whitelist» ble byttet ut allerede i begynnelsen av 2019. - En eksperimentell funksjon for redigering av lagrede passord er blitt lagt til, aktivert med flagget «chrome://flags/#edit-passwords-in-settings».
- Oversatt til stabil og offentlig tilgjengelig API , som gjør det mulig å lage webapplikasjoner som interagerer med filer i det lokale filsystemet. For eksempel kan det nye API-et være etterspurt i nettleserbaserte integrerte utviklingsmiljøer, tekstredigerere, bilde- og videoredigerere. For å få mulighet til direkte lesing og skriving av filer eller bruke dialoger for åpning og lagring av filer, samt navigering i innholdet i kataloger, må applikasjonen be om spesifikt samtykke fra brukeren.
- CSS-selektoren «», som bruker de samme heuristikkene som nettleseren når den tar avgjørelsen om å vise fokusindikatoren (når fokuset flyttes til en knapp med tastatursnarveier, vises indikatoren, mens den ikke vises ved klikk med musen). Den tidligere tilgjengelige CSS-selektoren «:focus» markerer alltid fokuset.
I tillegg har det blitt lagt til en innstilling for «Quick Focus Highlight», som, når den er aktivert, viser en ekstra fokusindikator ved aktive elementer, som forblir synlig selv når stilene for visuell fokusmarkering er deaktivert via CSS på siden. - I Origin Trials-modus (eksperimentelle funksjoner som krever separat aktivering) er flere nye API-er lagt til. Origin Trial betyr muligheten til å jobbe med den spesifiserte API-en fra applikasjoner lastet inn fra localhost eller 127.0.0.1, eller etter registrering og mottak av et spesialtoken som er gyldig i en begrenset periode for et spesifikt nettsted.
- for low-level access to HID devices (Human Interface Device, keyboards, mice, gamepads, touchpads), allowing the implementation of logic for working with HID devices in JavaScript to organize operations with rare HID devices without the need for specific drivers in the system.
First of all, the new API aims to provide support for gamepads. - , expands the capabilities of the Window Placement API by supporting multi-screen configurations. Unlike window.screen, the new API allows manipulation of window placement in the overall screen space of multi-monitor systems, without being limited to the current screen.
- Meta tag , which allows the website to inform the browser about the need to activate energy-saving modes and optimize CPU load.
- API to inform about potential violations of isolation modes (COEP) and (COOP), without applying actual restrictions.
- I API-et a new type of credential has been proposed , providing additional confirmation of the payment transaction. The verifying party, for example, a bank, can generate a PublicKeyCredential public key that the vendor can request for additional secure confirmation of the payment.
- for low-level access to HID devices (Human Interface Device, keyboards, mice, gamepads, touchpads), allowing the implementation of logic for working with HID devices in JavaScript to organize operations with rare HID devices without the need for specific drivers in the system.
- I API-et support for altitude angles (the angle between the stylus and the screen) and azimuth (the angle between the X-axis and the projection of the stylus on the screen) has been added to determine stylus tilt, instead of the TiltX and TiltY angles (the angles between the stylus plane and one of the axes and the plane of the Y and Z axes). Conversion functions between altitude/azimuth and TiltX/TiltY have also been added.
- The space encoding in URLs has been changed; when calculating it in protocol handlers — the method navigator.registerProtocolHandler() now replaces spaces with '' instead of '+', unifying the behavior with other browsers like Firefox.
- In CSS, a pseudo-elementhas been added, allowing customization of the color, size, shape, and type of numbers and dots for lists in
- and
- blocks.
- Support for the HTTP header , dokumentasjonstilgangsregler, lik en sandbox-isolasjonmekanisme for iframe, men mer universell. For eksempel kan Document-Policy begrense bruken av lavkvalitetsbilder, deaktivere langsomme JavaScript-API-er, tilpasse lastingsregler for iframe, bilder og skript, begrense den totale dokumentstørrelsen og trafikken, forby metoder som fører til omtegning av siden, deaktivere funksjonen .
- I elementet støtte for parameterne 'inline-grid', 'grid', 'inline-flex' og 'flex' er lagt til, angitt gjennom CSS-egenskapen 'display'.
- Ny metode lagt til for å erstatte alle barneelementer i foreldrenoden med en annen DOM-node. Tidligere kunne noder erstattes ved hjelp av en kombinasjon av metodene node.removeChild() og node.append() eller node.innerHTML og node.append().
- spektrum av URL-skjemaer som kan overstyres ved å bruke registerProtocolHandler(). Listen inkluderer desentraliserte protokoller som cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns og ssb, som lar deg definere lenker til elementer uavhengig av nettstedet eller porten som gir tilgang til ressursen.
- I API-et støtte for formatet text/html for kopiering og innsetting av HTML via utklippstavlen er lagt til (under skriving og lesing til utklippstavlen blir farlige HTML-konstruksjoner renset). Endringen lar for eksempel organisere i web-redaktører, innsetting og kopiering av formatert tekst med bilder og lenker.
- I WebRTC muligheten til å koble til egne databehandlere som kalles under kodings- eller dekodingsstadiene av WebRTC MediaStreamTrack. For eksempel kan denne muligheten brukes til å legge til støtte for ende-til-ende kryptering av data som sendes gjennom mellomliggende servere.
- I JavaScript-motoren V8 er 75% implementeringen av Number.prototype.toString. I asynkrone klasser er egenskapen .name lagt til med tom verdi. Metoden Atomics.wake, som tidligere ble omdøpt til Atomics.notify for å overholde ECMA-262-spesifikasjonen, er fjernet. Koden for fuzzing-testverktøyet er åpnet .
- I den baseline-kompilatoren Liftoff for WebAssembly som ble brukt i forrige utgave, er muligheten til å bruke vektoriske instruksjoner inkludert for å akselerere beregninger. Ifølge tester har optimaliseringen gjort det mulig å akselerere gjennomføringen av enkelte tester med 2.8 ganger. En annen optimalisering har betydelig akselerert kallet fra WebAssembly-importerte JavaScript-funksjoner.
- verktøy for webutviklere: I Media-panelet er det lagt til informasjon om mediespillere som brukes til å spille av video på siden, inkludert data om hendelser, logger, egenskapsverdier og rammedekodingsparametere (for eksempel kan du identifisere årsaker til tapt rammer og problemer med interaksjon fra JavaScript).
I kontekstmenyen for Elements-panelet er det lagt til mulighet for å ta skjermbilder av det valgte elementet (for eksempel kan du ta et skjermbilde av innholdsfortegnelsen eller tabellen).
I webkonsollen er varselpanelet for problemer erstattet med en vanlig melding, og problemer med tredjeparts informasjonskapsler er skjult som standard under Issues-fanen og kan aktiveres med et spesialmerke.
I Rendering-fanen er det lagt til en knapp «Deaktiver lokale skrifter», som gjør det mulig å simulere fravær av lokale skrifter, mens det i Sensors-fanen er blitt mulig å simulere inaktivitet fra brukerens side (for applikasjoner som bruker API for inaktivitet).
I Application-panelet er det gitt detaljert informasjon om hver iframe, åpnet vindu og pop-up-vinduer, inkludert data om Cross-Origin-isolering ved hjelp av COEP og COOP.
- utskifting av implementeringen av protokollen til en variant som utvikles i IETF-spesifikasjonen, i stedet for Googles variant QUIC.
I tillegg til nyvinningene og feilrettingene har den nye versjonen eliminert . Mange av sårbarhetene ble avdekket ved hjelp av automatisert testing med verktøyene , , , og . Én sårbarhet (CVE-2020-15967, tilgang til frigitt minneområde i koden for interaksjon med Google Payments) er merket som kritisk, dvs. den lar omgå alle nivåer av sikkerhet i nettleseren og utføre kode i systemet utenfor sandkassemiljøet. I forbindelse med programmet for belønning for funn av sårbarheter for den nåværende utgivelsen har Google utbetalt 27 premier på til sammen 71500 dollar (én premie på $15000, tre premier på $7500, fem premier på $5000, to på $3000, én på $200 og to premier på $500). Størrelsen på 13 premier er foreløpig ikke bestemt.
Kilde: opennet.ru
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish