🥇Vydanie Chrome 86

Pridaná ochrana proti nebezpečnému odosielaniu vstupných formulárov na stránkach načítaných cez HTTPS, ale odosielajúcich dáta cez HTTP, čo predstavuje hrozbu pre zachytávanie a pozmeňovanie údajov pri vykonávaní MITM útokov. Ochrana spočíva v troch zmenách:

Vypnuté automatické vyplňovanie akýchkoľvek zmiešaných vstupných formulárov, podobne ako to už dostatočne dávno bolo pri vypnutí automatického vyplňovania autentifikačných formulárov na stránkach otvorených cez HTTP. Ak predtým bola podmienkou pre vypnutie otvorenie stránky s formulárom cez HTTPS alebo HTTP, teraz sa berie do úvahy aj použitie šifrovania pri odosielaní údajov spracovateľovi formulára. Práca správcu hesiel pre zmiešané autentifikačné formuláre nebola vypnutá, pretože riziko z používania nespolehlivého hesla a opakovaného použitia hesiel na rôznych stránkach prevyšuje riziko potenciálneho zachytávania prevádzky.
Pri začiatku vyplňovania zmiešaných formulárov je zobrazené varovanie, ktoré informuje používateľa o odosielaní vyplnených údajov cez nezašifrovaný komunikačný kanál.
Pri pokuse o odoslanie zmiešanej formy sa zobrazuje samostatná stránka s oznámením o potenciálnom riziku prenosu dát cez nezašifrovaný komunikačný kanál. V predchádzajúcich verziách sa na indikáciu zmiešaných formulárov používal indikátor zámku v adresnom riadku, avšak takéto označenie nebolo pre používateľov zrejmé a efektívne neodrážalo vznikajúce riziká.

Blokovanie nebezpečného sťahovania (bez šifrovania) spustiteľných súborov bolo doplnené o blokovanie nebezpečného sťahovania archívov (zip, iso a pod.) a zobrazením varovaní pri nebezpečnom sťahovaní
dokumentov (docx, pdf a pod.). V nasledujúcom vydaní sa očakáva blokovanie dokumentov a zobrazenie varovania pre obrázky, textové a multimediálne súbory. Blokácia bola implementovaná, pretože sťahovanie súborov bez šifrovania môže byť použitá na vykonávanie škodlivých činov prostredníctvom pozmeňovania obsahu v priebehu MITM útokov.

V kontextovom menu je predvolene zobrazená možnosť „Vždy zobraziť URL úplne“, na jej aktiváciu bola predtým potrebná zmena parametrov na stránke about:flags. Úplnú URL adresu si môžete tiež pozrieť dvojitým kliknutím na adresný riadok. Pripomíname, že počnúc Chrome 76 predvolene sa adresa začala zobrazovať bez protokolu a subdomény www. V Chrome 79 bola odstránená nastavenie na vrátenie starého správania, ale po nespokojnosti používateľov v Chrome 83 bol pridaný nový experimentálny praporek, ktorý pridáva do kontextového menu položku na vypnutie skrytia a zobrazenia úplného URL v akýchkoľvek podmienkach.

Pre malé percento používateľov bol spustený an experiment o zobrazeniu predvolene v adresnom riadku len domény, bez prvkov cesty a parametrov požiadavky. Napríklad namiesto „https://example.com/secure-google-sign-in/“ sa zobrazí „example.com“. Uvedenie navrhnutého režimu k všetkým používateľom sa očakáva v niektorých z nasledujúcich vydaní. Na vypnutie uvedeného správania je možné použiť možnosť „Vždy zobraziť URL úplne“, a na zobrazenie celého URL možno kliknúť na adresný riadok. Ako motiváciu na zmenu sa uvádza túžba chrániť používateľov pred phishingom, ktorý manipuluje parametrami v URL - zločinci zneužívajú nepozornosť používateľov na vytvorenie dojmu otvorenia inej stránky a vykonania podvodných činov (ak pre technicky zdatného používateľa takéto obmeny zrejme upozorňujú, neznalí občania sa ľahko dajú nachytať na takéto jednoduché manipulácie).

Obnovila sa iniciatíva o odstránení podpory FTP. V Chrome 86 je FTP predvolene vypnuté približne pre 1% používateľov, a v Chrome 87 sa rozšírenie vypnutia zvýši na 50%, ale podporu bude možné obnoviť pomocou praporek „--enable-ftp“ alebo „--enable-features=FtpProtocol“. V Chrome 88 bude podpora FTP úplne vypnutá.

V verzii pre Android sa analogicky ako vo verzii pre desktopové systémy v správcovi hesiel implementovala kontrola uložených prihlásení a hesiel podľa databázy z kompromitovaných účtov s upozornením v prípade zistenia problémov alebo pokusu o použitie triviálnych hesiel. Kontrola sa vykonáva v databáze, ktorá pokrýva viac ako 4 miliardy kompromitovaných účtov, ktoré sa objavili v únikoch užívateľských databáz. Na zachovanie súkromia sa používa sa používa porovnanie hash-prefixu na strane používateľa, pričom samotné heslá a ich úplné hash sa neprenášajú von.

V verzii pre Android tiež boli prenesené tlačidlo „Bezpečnostná kontrola“ (Safety check) a rozšírený režim ochrany pred nebezpečnými stránkami (Enhanced Safe Browsing). Tlačidlo „Safety check“ zobrazuje prehľad možných bezpečnostných problémov, ako sú použitie kompromitovaných hesiel, stav kontroly škodlivých stránok (Safe Browsing), prítomnosť neaktualizovaných aktualizácií a identifikácia škodlivých doplnkov. Rozšírený režim ochrany aktivuje dodatočné kontroly na ochranu pred phishingom, škodlivou činnosťou a inými hrozbami na webe, a taktiež zahŕňa dodatočnú ochranu pre účet Google a služby Google (Gmail, Drive atď.). Ak sa v bežnom režime Safe Browsing kontroly vykonávajú lokálne na základe periodicky sťahovanej databázy do systému klienta, v režime Enhanced Safe Browsing sa informácie o stránkach a sťahovaniach v reálnom čase odosielajú na kontrolu na strane Google, čo umožňuje okamžite reagovať na hrozby hneď po ich zistení, bez čakania na aktualizáciu lokálneho čierneho zoznamu.

Pridaná podpora súboru-indikátora „.well-known/change-password“, pomocou ktorého vlastníci webových stránok môžu určiť adresu webovej formulára pre zmenu hesla. V prípade zistenia kompromitácie používateľských údajov Chrome teraz okamžite ponúkne používateľovi formulár na zmenu hesla, určený na základe informácií z tohto súboru.

Zavedenie nového upozornenia „Bezpečnostná rada“, ktoré sa zobrazuje pri návšteve webových stránok, ktorých domény sú veľmi podobné iným stránkam a heuristika naznačuje vysokú pravdepodobnosť podvodov (napríklad otvorený goog0le.com namiesto google.com).

Realizovaná podpora cache prechodu (Back-forward cache), zabezpečujúceho okamžité prechody pri používaní tlačidiel „Späť“ a „Vpred“ alebo pri navigácii po skôr prezeraných stránkach aktuálnej stránky. Cache sa aktivuje pomocou nastavenia chrome://flags/#back-forward-cache.

Optimalizované spotreba prostriedkov CPU oknami
mimo zorného poľa. Chrome kontroluje, či okno prehliadača nie je zakryté inými oknami, a vylučuje vykresľovanie pixelov v oblastiach prekrytia. Uvedená optimalizácia bola aktivovaná pre malý percentuálny podiel používateľov v Chrome 84 a 85 a teraz je aktivovaná všade. V porovnaní s predchádzajúcimi vydaniami boli tiež odstránené nekompatibility so systémami virtualizácie, kvôli ktorým sa zobrazovali prázdne biele stránky.

Posilnené obmedzenie zdrojov pre pozadové karty. Tieto karty teraz nemôžu spotrebovať viac ako 1% CPU zdrojov a môžu sa aktivovať najviac raz za minútu. Po piatich minútach v pozadí sú karty zmrazené, s výnimkou kariet, na ktorých sa prehráva multimediálny obsah alebo prebieha nahrávanie.

Obnovená práca na unifikácii HTTP hlavičky User-Agent. V novej verzii bola pre všetkých používateľov aktivovaná podpora mechanizmu User-Agent Client Hints, vyvíjaného ako náhrada User-Agent. Nový mechanizmus predpokladá selektívne poskytovanie údajov o konkrétnych parametroch prehliadača a systému (verzia, platforma atď.) až po požiadavke servera, poskytujúc používateľom možnosť selektívne poskytovať takéto informácie vlastníkom stránok. Pri použití User-Agent Client Hints sa identifikátor neodosiela predvolene bez výslovnej požiadavky, čo znemožňuje pasívnu identifikáciu (predvolene je uvedený len názov prehliadača).

Zmenila sa indikácia dostupnosti aktualizácie a potreby reštartovať prehliadač na jej inštaláciu. Namiesto farebnej šípky v poli avatara účtu sa teraz objavuje nápis „Update“.

Bola vykonaná práca na prechode prehliadača na používanie inkluzívnej terminológie. V názvoch politík boli slová „whitelist“ a „blacklist“ nahradené „allowlist“ a „blocklist“ (už pridané politiky budú naďalej fungovať, ale pre ne bude zobrazené varovanie o prechode do kategórie zastaraných). V kóde a názvoch súborov uvedenia „blacklist“ boli nahradené „blocklist“.
Viditeľné užívateľovi uvedenia „blacklist“ a „whitelist“ boli nahradené už na začiatku roku 2019.

Pridaná experimentálna možnosť úpravy uložených hesiel, ktorú je možné aktivovať pomocou praporca „chrome://flags/#edit-passwords-in-settings“.

Bol preložený do kategórie stabilných a verejných API Native File System, umožňujúci vytvárať webové aplikácie, ktoré komunikujú so súbormi v lokálnom FS. Napríklad, nový API môže byť žiadaný v prehliadačoch prevádzkovaných integrovaných vývojových prostrediach, editoroch textu, obrázkov a videa. Na získanie možnosti priameho zápisu a čítania súborov alebo používania dialógov na otvorenie a uloženie súborov, ako aj na navigáciu v obsahu adresárov, aplikácia požaduje od používateľa osobitné potvrdenie.

Bol pridaný CSS selektor „:focus-visible“, ktorý používa tú istú heuristiku, aká sa používa v prehliadači pri rozhodovaní o zobrazení indikátora zmeny fokusu (pri presune fokusu na tlačidlo klávesov sa indikátor objaví, ale pri kliknutí myšou – nie). Predtým dostupný CSS selektor „:focus“ vždy zvýrazňuje fokus.
Okrem toho bola do nastavení pridaná možnosť „Rýchly zvýrazňovač fokusu“, pri aktivácii ktorej sa vedľa aktívnych prvkov zobrazuje dodatočný indikátor fokusu, ktorý zostáva viditeľný, aj keď sú na stránke cez CSS vypnuté prvky štýlu na vizuálne zvýraznenie fokusu.

Do režimu Origin Trials (experimentálne funkcie, ktoré vyžadujú samostatnú aktiváciu) bolo pridaných niekoľko nových API. Origin Trial umožňuje prístup k uvedenému API z aplikácií načítaných z localhost alebo 127.0.0.1, alebo po registrácii a získaní špeciálneho tokenu, ktorý platí obmedzený čas pre konkrétnu stránku.

API WebHID pre nízkoúrovňový prístup k HID zariadeniam (Human Interface Device, klávesnice, myši, herné ovládače, dotykové panely), ktoré umožňujú implementovať logiku práce s HID zariadením v JavaScripte pre organizáciu práce s raritnými HID zariadeniami bez potreby špecifických ovládačov v systéme.
Predovšetkým nový API je zameraný na poskytnutie podpory herných ovládačov.
API Informácie o obrazovke, rozširuje možnosti API umiestnenia okna o podporu konfigurácií s viacerými obrazovkami. Na rozdiel od window.screen umožňuje nový API manipulovať s umiestnením okna v celkovom obrazovom priestore viacmonitorových systémov, bez obmedzenia na aktuálny obrazovku.
Meta tag battery-savings, ktorým môže web informovať prehliadač o potrebe aktivácie režimov úspory energie a optimalizácie zaťaženia CPU.
API COOP Reporting na informovanie o potenciálnych porušeniach izolačných režimov Cross-Origin-Embedder-Policy (COEP) a Cross-Origin-Opener-Policy (COOP), bez uplatnenia faktických obmedzení.
V API Správa poverení bol navrhnutý nový typ poverení PaymentCredential, zabezpečujúci dodatočné potvrdenie uskutočnenej platobnej operácie. Kontrolná strana, napríklad banka, má možnosť vygenerovať verejný kľúč PublicKeyCredential, ktorý môže byť požadovaný predajcom na dodatočné bezpečné potvrdenie platby.

V API PointerEvents pre určenie sklonu stylusu bola pridaná podpora výškových uhlov (uhol medzi stylusom a obrazovkou) a azimutu (uhol medzi osou X a projekciou stylusu na obrazovku), namiesto uhlov TiltX a TiltY (uhly medzi plochou stylusu a jednou z osí a plochou z osí Y a Z). Boli pridané aj funkcie na konverziu medzi výškou/azimutom a TiltX/TiltY.

Kódovanie medzery v URL bolo zmenené; pri jeho výpočte v protokolových spracovateľoch — metóda navigator.registerProtocolHandler() teraz nahrádza medzery za „“ namiesto „+“, čím sa správanie zjednocuje s inými prehliadačmi, ako je Firefox.

Do CSS bol pridaný pseudo-element „::marker„, ktorý umožňuje nastaviť farbu, veľkosť, tvar a typ čísel a bodiek pre zoznamy v blokoch

Bola pridaná podpora HTTP hlavičky Document-Policy, umožňujúceho nastaviť pravidlá prístupu k dokumentom podobné mechanizmu sandboxovej izolácie pre iframe, ale oveľa univerzálnejšie. Napríklad prostredníctvom Document-Policy môžete obmedziť používanie nekvalitných obrázkov, vypnúť pomalé JavaScript API, nastaviť pravidlá načítania iframe, obrázkov a skriptov, obmedziť celkovú veľkosť dokumentu a prenosu, zakázať metódy vedúce k prekresleniu stránky, vypnúť funkciu. Scroll-To-Text.
do prvku
bola pridaná podpora pre parametre 'inline-grid', 'grid', 'inline-flex' a 'flex' definované prostredníctvom CSS vlastnosti 'display'.
Bola pridaná metóda ParentNode.replaceChildren() na nahradenie všetkých potomkov rodičovského uzla iným DOM uzlom. Predtým ste na nahradenie uzlov mohli použiť kombinácie metód node.removeChild() a node.append() alebo node.innerHTML a node.append().
Rozšírený spektrum schém URL, ktoré je možné prepísať pomocou registerProtocolHandler(). Zoznam schém zahŕňa decentralizované protokoly cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns a ssb, čo umožňuje definovať odkazy na prvky nezávisle od webu alebo brány poskytujúcej prístup k zdroju.
V API Asynchronous Clipboard bola pridaná podpora formátu text/html pre kopírovanie a vkladanie HTML cez schránku (pri zápise a čítaní do schránky sa vykonáva čistenie nebezpečných HTML konštrukcií). Táto zmena napríklad umožňuje organizovať vo webových editoroch vkladanie a kopírovanie formátovaného textu s obrázkami a odkazmi.
V WebRTC bola pridaná možnosť pripojenia vlastných spracovateľov údajov vyvolávaných v štádiách kódovania alebo dekódovania WebRTC MediaStreamTrack. Napríklad túto možnosť je možné využiť na pridanie podpory šifrovania údajov prenášaných cez medzifázové servery.
V JavaScriptovom engine V8 o 75% urýchlená implementácia Number.prototype.toString. Do asynchrónnych tried sa pridalo vlastnosť .name s prázdnym hodnotením. Metóda Atomics.wake, ktorá bola kedysi premenovaná na Atomics.notify, bola odstránená kvôli zodpovednosti špecifikácie ECMA-262. Otvorený je kód nástroja pre fuzzing testovanie. JS-Fuzzer.
V predchádzajúcom vydaní použitá základná (baseline) kompilátor Liftoff pre WebAssembly bola pridaná možnosť použitia vektorových inštrukcií. SIMD na urýchlenie výpočtov. Podľa testov optimalizácia umožnila urýchliť niektoré testy až 2.8-krát. Iná optimalizácia výrazne urýchlila volanie importovaných funkcií JavaScript z WebAssembly.
Rozšírené nástroje pre webových vývojárov: Na paneli Media boli pridané informácie o prehrávačoch používaných na prehrávanie videa na stránke, vrátane údajov o udalostiach, protokolov, hodnôt vlastností a parametrov dekódovania snímok (napríklad je možné zistiť dôvody straty snímok a problémov pri interakcii z JavaScriptu).
V kontextovej ponuke panela Elements bola pridaná možnosť vytvoriť snímku vybraného prvku (napríklad je možné vytvoriť snímku obsahu alebo tabuľky).
Na webovej konzole bola panel s upozorneniami na problémy nahradený bežnou správou a problémy so súbormi cookie tretích strán sú predvolene skryté na karte Issues a aktivujú sa špeciálnym začiarkavacím políčkom.
V záložke Rendering bola pridaná tlačidlo „Disable local fonts“, ktoré umožňuje simulovať absenciu lokálnych písiem, a v záložke Sensors sa objavila možnosť simulovať neaktívnosť používateľa (pre aplikácie, ktoré používajú API Idle Detection).
Na paneli Application sa poskytujú podrobné informácie o každom iframe, otvorenom okne a pop-upoch, vrátane údajov o izolácii Cross-Origin pomocou COEP a COOP.
Začala sa zmena implementácie protokolu QUIC na variant, ktorý je vyvíjaný v špecifikácii IETF, namiesto Google variantu QUIC.

Okrem noviniek a opravy chýb bola v novej verzii odstránená 35 zraniteľností. Mnohé z zraniteľností boli odhalené prostredníctvom automatizovaného testovania nástrojmi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Jedna zraniteľnosť (CVE-2020-15967, prístup k oslobodenej oblasti pamäte v kóde pre interakciu s Google Payments) je označená ako kritická, t.j. umožňuje obísť všetky úrovne ochrany prehliadača a vykonať kód v systéme mimo sandboxu. V rámci programu na vyplácanie finančných odmien za odhalenie zraniteľností pre aktuálnu verziu spoločnosť Google vyplatila 27 odmien v celkovej výške 71500 dolárov (jedna odmena $15000, tri odmeny $7500, päť odmien $5000, dve $3000, jedna $200 a dve odmeny $500). Výška 13 odmien zatiaľ nie je určená.

Zdroj: opennet.ru

Vydání Chrome 86