Vydanie Chrome 80

Spoločnosť Google predstavila uvedenie webového prehliadača sa začal proces postupného vypínania podpory FTP predvolene (pre určitý percento používateľov), a v Chrome 82 je naplánované úplné odstránenie kódu, ktorý zabezpečuje fungovanie FTP klienta. Podľa odhadov Google FTP už takmer nie je používané — podiel používateľov FTP predstavuje približne 0.1%.. Súčasne je dostupný stabilné vydanie otvoreného projektu Chromium, ktoré je základom Chrome. Prehliadač Chrome sa líši využíva logá Google, má systém posielania notifikácií v prípade pádu, možnosť načítania modulu Flash na vyžiadanie, moduly na prehrávanie chráneného videa (DRM), systém automatickej inštalácie aktualizácií a prenášanie pri vyhľadávaní parametrov RLZ. Nasledujúce vydanie Chrome 81 je naplánované na 17. marca.

Hlavné zmeny v Chrome 80:

• Pre malé percento používateľov bola navrhnutá funkcia skupinovania kariet, ktorá umožňuje spojiť niekoľko podobných kariet do vizuálne oddelených skupín. Každej skupine môžete priradiť jej vlastnú farbu a názov. Používatelia, ktorí sa nedostali do prvej vlny aktivácie, môžu aktivovať podporu skupinovania cez voľbu „chrome://flags/#tab-groups“.
  
• Pridaná podpora funkcie Scroll-To-Text, ktorá umožňuje vytvárať odkazy na jednotlivé slová alebo frázy, bez explicitného uvedenia v dokumente značiek pomocou tagu „a name“ alebo vlastnosti „id“. Syntax týchto odkazov sa plánuje potvrdiť ako webový štandard, ktorý je zatiaľ v štádiu návrhu. Maska pre prechod (v podstate vykonáva vyhľadávanie so skrolovaním) sa od bežného kotvy oddeľuje znakom „:~:“. Napríklad pri otvorení odkazu „https://opennet.ru/52312/#:~:text=Chromе“ sa stránka presunie na pozíciu s prvým zmienkou slova „Chromе“ a toto slovo bude zvýraznené.
• Aplikované prísnejšie obmedzenie prenosu Cookie medzi stránkami, pre ne-HTTPS dopyty zakazujúce spracovanie tretích strán Cookie, ktoré sa nastavujú pri prístupe na stránky odlišné od domény aktuálnej stránky. Tieto Cookie sa používajú na sledovanie pohybu používateľa medzi stránkami v kóde reklamných sietí, widgetov sociálnych médií a systémov webovej analytiky. Pripomíname, že na ovládanie prenosu Cookie sa používa atribút SameSite, ktorý je definovaný v hlavičke Set-Cookie a ktorý je teraz predvolene nastavený na hodnotu „SameSite=Lax“, čo obmedzuje odosielanie Cookie pre medziwebové poddotazy, ako sú dopyty na obrázky alebo načítanie obsahu cez iframe z inej stránky. Stránky môžu prekročiť predvolené nastavenie režimu SameSite explicitným nastavením hodnoty SameSite=None pri nastavovaní Cookie. Hodnota SameSite=None pre Cookie môže byť nastavená iba v režime Secure (platí pre pripojenia cez HTTPS). Zmena sa začne postupne byť použité 17. februára, najprv pre malé percento používateľov, a potom postupne rozširujúc dosah.
• Pridaná ochrana pred otravnými upozorneniami spojenými s potvrdením kompetencií. Takáto aktivita, ako napríklad spamové požiadavky na prijímanie push notifikácií, narúša prácu používateľa a odvracia pozornosť na akcie v dialógoch potvrdenia. V Chrome 80 sa namiesto samostatného dialógu v adresnom riadku teraz môže zobraziť informačná nápoveda s varovaním o blokovaní požiadavky na kompetencie, ktorá sa následne zmenší na indikátor so symbolom preškrtnutého zvončeka. Po kliknutí na indikátor je možné aktivovať alebo odmietnuť požadovanú kompetenciu v ktoromkoľvek vhodnom okamihu. Automaticky sa nový režim bude selektívne aktivovať pre používateľov, ktorí predtým zvyčajne blokovali takéto požiadavky, ako aj pre stránky, na ktorých sa zaznamenáva vysoké percento odmietnutí požiadaviek. Pre aktiváciu nového režimu pre všetky požiadavky bola do nastavení pridaná špeciálna možnosť (chrome://flags/#quiet-notification-prompts).
  
• Zakázané výstup vyskakovacích okien (vyvolanie metódy window.open()) a odosielanie synchronných požiadaviek XMLHttpRequest v spracovateľoch udalostí zatvorenia alebo skrytia stránky (unload, beforeunload, pagehide a visibilitychange);
• Navrhnutá iniciálna ochrana pred načítaním zmiešaného multimediálneho obsahu (keď sa na stránke HTTPS načítavajú zdroje cez protokol http://). Na stránkach, otvorených cez HTTPS, budú teraz automaticky nahradené odkazy „http://“ za „https://“ v blokoch súvisiacich s prehrávaním zvukových a video súborov. Ak zvukový alebo video zdroj nie je dostupný cez https, jeho načítanie je zablokované (ručne je možné označiť zablokovanie cez menu dostupné cez symbol zámku v adresnom riadku).

  Obrázky sa budú naďalej načítavať bez zmien (automatická náhrada bude aplikovaná v Chrome 81), ale pre náhradu na https alebo blokovanie obrázkov poskytnú vývojárom stránok vlastnosti CSP upgrade-insecure-requests a block-all-mixed-content. Pre skripty a iframe už bolo blokovanie zmiešaného obsahu implementované skôr.

• Začalo sa postupné vypínanie podpory FTP. Podpora FTP zostáva predvolene zachovaná, ale bude vykonaná experiment, in which FTP support will be disabled for a certain percentage of users (to revert, it will be necessary to launch the browser with the option "—enable-ftp"). Recall that previous releases have already disabled the display in the browser window of the content of resources loaded via the "ftp://" protocol (for example, display of HTML documents and README files has stopped), forbidden the use of FTP for loading sub-resources from documents, and stopped supporting proxies for FTP. However, the possibility of uploading files via direct links and displaying directory contents has remained.
• Pridaná
  the possibility of using vector SVG images as site icons (favicon).
• The settings have been updated to allow selective disabling of specific types of data transmitted during synchronization between browsers.
• For centrally managed corporate users, a rule has been added BlockExternalExtensions, which allows prohibiting the installation of external add-ons on the device.
• Realizovaná možnosť a one-time check of the entire chain of properties or calls in JavaScript. For example, when accessing "db.user.name.length", it was previously necessary to sequentially check the definition of all components, for instance, via "if (db && db.user && db.user.name)". Now, using the "?." operation, it is possible to access the value "db?.user?.name?.length" without prior checks, and such an access will not result in an error. In case of issues (if any element is processed as null or undefined), the output will return "undefined".
• In JavaScript, a new logical nullish coalescing operator "??" has been proposed, which returns the right operand if the left operand is NULL or undefined, and vice versa. For example, "const foo = bar ?? 'default string'" will return the string or the value of bar if bar is null, as well as when bar is equal to 0 and ‘ ‘, unlike the operator "||".
• V režime Origin Trials (experimentálne funkcie, vyžadujúce osobitnú aktiváciu) an API for Content Indexing has been proposed. The Origin Trial implies the possibility of working with the specified API from applications loaded from localhost or 127.0.0.1, or after registration and obtaining a special token that is valid for a limited time for a specific site. API Indexovanie obsahu, poskytuje metadáta o obsahu, ktorý bol predtým uložený, webovými aplikáciami, ktoré fungujú v režime Progressive Web Apps (PWA). Aplikácia môže ukladať rôzne dáta na strane prehliadača, vrátane obrázkov, videí a článkov, a pri strate internetového pripojenia ich používať pomocou API Cache Storage a IndexedDB. Content Indexing API umožňuje pridávať, vyhľadávať a odstraňovať takéto zdroje. V prehliadači sa toto API už používa na vymenovanie zoznamu stránok a multimediálnych dát dostupných na prezeranie offline.
  
• Stabilizovaný a teraz sa distribuuje mimo Origin Trials rozhranie Contact Picker, umožňuje používateľovi vybrať záznamy z telefónneho zoznamu a odoslať na web určité podrobnosti o nich. Pri požiadavke sa určuje zoznam vlastností, ktoré je potrebné získať. Tieto vlastnosti sú jasne zobrazené používateľovi, ktorý sa rozhoduje, či ich odoslať alebo nie. API môže byť použité napríklad v e-mailovom webovom klientovi na výber príjemcov pre odosielaný e-mail, v webovej aplikácii s funkciou VoIP na iniciovanie hovoru na určité číslo alebo v sociálnych sieťach na vyhľadávanie už registrovaných priateľov. V rámci Origin Trials sú navrhnuté niektoré nové vlastnosti Contact Picker: okrem predtým dostupných mien, e-mailových adries a čísla telefónu bola pridaná možnosť odoslať poštovú adresu a obrázok.
• Vo Web Workers je navrhnutý nový spôsob načítania modulov ECMAScript, ktorý umožňuje obísť používanie funkcie importScripts(), ktorá blokuje prácu worker-a počas spracovania importovaného skriptu a vykonáva ho v globálnom kontexte. Nový spôsob zahŕňa vytváranie špeciálnych modulov pre Web Workers, ktoré podporujú štandardné mechanizmy importu JavaScriptu a môžu sa načítavať dynamicky, čím neblokujú vykonávanie worker-a. Na načítanie modulov v konštruktore Worker je predpokladaný nový typ zdroja - 'module':

  const worker = new Worker(‘worker.js’, {
  type: ‘module’
  });

• Realizovaná vnútorne spracovanie komprimovaných tokov v JavaScripte, ktoré si nevyžaduje používanie externých knižníc. Na komprimáciu a dekomprimáciu boli pridané API CompressionStream a DecompressionStream. Podporuje kompresiu s použitím algoritmov gzip a deflate.

  const compressionReadableStream
  = inputReadableStream.pipeThrough(new CompressionStream(‘gzip’));

• Pridané CSS vlastnosť "line-break: anywhere«, umožňujúce zlomy na úrovni akéhokoľvek typografického znaku, vrátane zlomu vedľa interpunkčných znakov, preddefinovaných medzier (<pre>) a uprostred slov. Tiež bol pridaný CSS vlastnosť «overflow-wrap: anywhere» umožňujúce zlomiť neprerušiteľné sekvencie znakov kdekoľvek, ak sa v riadku nepodarilo nájsť vhodnú pozíciu na zlom.
• Pre mediálny kontext spracovaný v šifrovanej forme, bola implementovaná podpora metódy MediaCapabilities.decodingInfo(), poskytujúca informácie o možnostiach prehliadača týkajúcich sa dekódovania chráneného obsahu (napríklad uvedenú metódu je možné použiť na výber scenárov vysokokvalitného alebo energeticky hospodárneho dekódovania s ohľadom na dostupnú šírku pásma a veľkosť obrazovky).
• Bola pridaná metóda HTMLVideoElement.getVideoPlaybackQuality(), cez ktorý je možné získať informácie o výkonnosti prehrávania videa na prispôsobenie bitrate, rozlíšenia a ďalších parametrov videa.
• V API Payment Handler, ktorý zjednodušuje integráciu s existujúcimi platobnými systémami, bola pridaná možnosť delegovania spracovania adresy a kontaktnej informácie externému spracovateľovi platobného systému (aplikácia platobného systému môže mať presnejšie údaje ako prehliadač).
• Bola pridaná podpora HTTP hlavičky Sec-Fetch-Dest, umožňujúce poslať dodatočné metadáta o type obsahu súvisiaceho so žiadosťou (napríklad pre žiadosť cez tag img sa uvádza typ „image“, pre fonty — „font“, pre skripty — „script“, pre štýly — „style“ atď.). Na základe uvedeného typu server môže prijať opatrenia na ochranu pred niektorými typmi útokov (napríklad je veľmi nepravdepodobné, že odkaz na spracovateľa na prevod peňazí by bol zadaný cez tag img, preto takéto žiadosti netreba spracovávať).
• V JavaScript engine V8 bola vykonaná optimalizácia ukladania ukazovateľov na halde. Namiesto úplného 64-bitového hodnoty sa zabezpečila úschova iba jedinečných dolných bitov ukazovateľa. Takáto optimalizácia umožnila znížiť spotrebu pamäte na hrane o 40%, na úkor zníženia výkonu o 3-8%.
  
  
• Zmeny v nástrojoch pre webových vývojárov:
  • V webovej konzole sa objavila možnosť predefinovania výrazov let a class.
    
  • Vylepšené nástroje na ladenie WebAssembly. Pridala sa podpora DWARF na podrobné ladenie, nastavovanie bodov prerušenia a analýzu zásobníkového trasovania v zdrojovom kóde, v ktorom je naprogramovaná aplikácia WebAssembly.
    
  • Vylepšený panel pre analýzu sieťovej aktivity. Pridaná možnosť prehliadania reťazca volaní skriptov súvisiacich s iniciovaním požiadavky.
    

    Pridané nové stĺpce Path a URL, ktoré zobrazujú absolútnu cestu a úplnú URL pre každý sieťový prostriedok. Zabezpečené zvýraznenie vybraného požiadavku v prehľadovej diagrame.

    
  • Na karte Podmienky siete pridaná možnosť na zmenu parametra User-Agent.
    
  • Navrhnuté nové rozhranie na nastavenie audítorského panela.
    
  • Na karte Pokrytie poskytnutá možnosť zbierania údajov o pokrytí pre každú funkciu alebo pre každý blok kódu (podrobnejšia štatistika, ale vyžaduje viac zdrojov).
    
• Akcia manifestu AppCache (technológia pre zabezpečenie fungovania webovej aplikácie v offline režime) obmedzená aktuálnym adresárom webu (ak bol manifest načítaný z www.example.com/foo/bar/, tak možnosť prepisovania URL bude platiť iba v rámci /foo/bar/). V Chromu 82 je plánované úplné odstránenie podpory AppCache. Dôvodom je snaha zbaviť sa jedného z vektorov pre uskutočnenie útokov súvisiacich s medziwebovým skriptovaním. Namiesto AppCache sa odporúča používať API Cache.
• Pozastavené podpora zastaraného API WebVR 1.1, namiesto ktorého môže byť použité API WebXR Device, ktoré umožňuje prístup k komponentom na vytvorenie virtuálnej a rozšírenej reality a unifikáciu práce s rôznymi triedami zariadení, od stacionárnych okuliarov virtuálnej reality po riešenia na báze mobilných zariadení.
• Správcovia protokolov pripojení cez metódy registerProtocolHandler() a unregisterProtocolHandler() teraz môžu fungovať iba v bezpečnom kontexte (pri prístupe cez HTTPS).

Okrem noviniek a opravy chýb bola v novej verzii odstránená 56 zraniteľností. Mnohé z zraniteľností boli odhalené prostredníctvom automatizovaného testovania nástrojmi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Kritické problémy, ktoré umožňujú obísť všetky úrovne ochrany prehliadača a vykonať kód v systéme mimo sandboxového prostredia, neboli zistené. V rámci programu na vyplácanie finančných odmien za objavenie zraniteľností bola spoločnosťou Google vyplatená 37 odmien v celkovej hodnote 48 tisíc dolárov (jedna odmena 10 000 dolárov, tri odmeny 5 000 dolárov, tri odmeny 3 000 dolárov, štyri odmeny 2 000 dolárov, tri odmeny 1 000 dolárov a šesť odmien 500 dolárov). Výška 17 odmien zatiaľ nebola určená.

Zdroj: opennet.ru