Izdanje Chrome 76

Podjetje Google je predstavilo izdajo spletnega brskalnika Chrome 76. Hkrati je na voljo stabilna izdaja odprtokodnega projekta Chromium, ki služi kot osnova za Chrome. Brskalnik Chrome se razlikuje po uporabi logotipov Google, vključevanju sistema za pošiljanje obvestil v primeru zrušitve, možnosti nalaganja modula Flash na zahtevo, modu za predvajanje zaščitenega video vsebin (DRM), sistemu samodejnega nameščanja posodobitev in prenosu pri iskanju RLZ-parametrov. Naslednji izid Chrome 77 je načrtovan za 10. september.

Glavne spremembe u Chrome 76:

• Aktiviran privzeto je način zaščite pred prenosom tretjih piškotkov, ki v primeru odsotnosti atributa SameSite v glavi Set-Cookie privzeto dodeli vrednost „SameSite=Lax“, ki omejuje pošiljanje piškotkov za vdelave iz tretjih spletnih strani (ampak spletne strani še vedno lahko odpravijo omejitev, če pri nastavitvi piškotka jasno dodelijo vrednost SameSite=None). Do sedaj je brskalnik pošiljal piškotke na vsak zahtevek do spletne strani, za katero so bili dodeljeni piškotki, tudi če je bilo prvotno odprto drugo spletno mesto, zahtevek pa je bil poslan posredno z nalaganjem slike ali prek iframe. V načinu 'Lax' je prenos piškotkov blokiran samo za medsebojne podzahteve, kot so zahteve za slike ali nalaganje vsebine prek iframe, ki se pogosto uporabljajo za izvajanje CSRF napadov in za sledenje premikom uporabnika med spletnimi stranmi.
• Predvajanje Flash vsebine je privzeto prekinjeno. Do izida Chrome 87, pričakovanega decembra 2020, bo možno vrniti podporo za Flash v nastavitvah (Napredno > Zasebnost in varnost > Nastavitve spletnega mesta) z naknadnim potrjevanjem predvajanja Flash vsebine za vsako spletno mesto (potrditev se shrani do ponovnega zagon brskalnika). Popolno odstranjevanje kode za zagotavljanje podpore za Flash je usklajeno s prej napovedanim načrtom podjetja Adobe, da v letu 2020 preneha podporo za tehnologijo Flash;
• Za podjetja je v naslovno vrstico dodana možnost iskanja datotek v shranjevanju Google Drive;
  
• Začela se je masovno blokiranje v Chrome-u je nesprejemljivega oglaševanja, ki moti dojemanje vsebine in ne ustreza kriterijem, ki jih je oblikoval Koalicija za izboljšanje oglaševanja;
• Implementiran je prilagodljivi način prebacivanja na novu stranicu, pri kojem se brisanje trenutnog sadržaja i prikaz bijelog pozadine ne odvijaju odmah, već s malim kašnjenjem. Za brzo učitavajuće stranice, brisanje dovodi samo do trešnje i ne nosi korisnu informaciju koja bi obavijestila korisnika o početku učitavanja nove stranice. U novom izdanju, ako se stranica brzo otvara i uklapa u malo kašnjenje, nova stranica se prikazuje na mjestu, neprimjetno zamjenjujući prethodnu (primjerice, praktično kod prelaska na slične stranice s istim dizajnom i bojama iste web stranice). Ako je za prikaz stranice potrebno značajno vrijeme za korisnika, tada će kao i ranije ekran biti prethodno očišćen;
• Oštriji su kriteriji za određivanje aktivnosti korisnika na stranici. Chrome sada dopušta prikazivanje skočnih obavijesti i reproduciranje nametljivog video/audio sadržaja samo nakon radnji korisnika na stranici. U novom izdanju pritiskanje tipke Escape, pomicanje pokazivača na poveznicu i dodirivanje ekrana više se ne smatraju aktivnim interakcijama sa stranicom (potreban je jasan klik, unos teksta ili pomicanje);
• Dodano medija-upit "prefers-color-scheme", koji omogućava web stranicama da odrede primjenu tamne teme u pregledniku i automatski uključe tamnu temu za pregledavanu stranicu.
• Kada je uključena tamna tema u verzijama za Linux, tamnom bojom sada se prikazuje i adresa u adresnoj traci;
• Blokirana mogućnost određivanja otvaranja stranice u incognito režimu putem manipulacija s FileSystem API, koja je ranije korištena od strane nekih medija za nametanje plaćene pretplate u slučaju anonimnog otvaranja stranica bez pohranjivanja kolačića (da korisnici ne bi koristili privatni način za zaobilaženje mehanizma besplatnog probnog pristupa). Ranije je pri radu u incognito režimu preglednik blokirao pristup FileSystem API kako bi se spriječilo akumuliranje podataka između sesija, što je omogućavalo JavaScript-u da provjeri mogućnost pohrane podataka putem FileSystem API i u slučaju kvara da zaključi o aktivnosti incognito režima. Sada pristup FileSystem API nije blokiran, a sadržaj se čisti nakon završetka sesije;
• Dodani nove pozive u
  API Payment Request in Payment Handler. The PaymentRequestEvent object now has a new method changePaymentMethod(), and a new event handler paymentmethodchange has been added to the PaymentRequest object, allowing the payment-collecting platform or web application to respond to the user's change of payment method. In this release, testing applications using self-signed certificates in the payment-related APIs has also been simplified. A new command line option '--ignore-certificate-errors' has been added to bypass certificate validation errors during development.
• In the address bar next to the button for adding bookmarks for web applications running in Desktop Progressive Web Apps (PWA) mode, dodano a shortcut for installing the web application into the system to function as a separate program;
  
• For mobile devices, management of the mini-panel prompting to add the application to the home screen has been provided. For PWA applications, the mini-panel is shown by default the first time the site is opened. The developer can now opt out of displaying this panel and implement their own installation prompt, for which they can set an event handler
  beforeinstallprompt and bind a call to preventDefault();
  
• The frequency of update checks for installed PWA applications in the Android environment has increased. Updates to WebAPK are now checked once a day, instead of once every three days as before. If a change in any key property is detected in the manifest during this check, the browser will download and install the new WebAPK;
• V API Async Clipboard the ability to programmatically read and write images via the clipboard has been added using the methods navigator.clipboard.read() and navigator.clipboard.write();
• Support for a group of HTTP headers Fetch Metadata (Sec-Fetch-Dest, Sec-Fetch-Mode, Sec-Fetch-Site, and Sec-Fetch-User) has been implemented, allowing the submission of additional metadata about the nature of the request (cross-origin request, request via img tag, etc.) for the server to take measures to protect against certain types of attacks (for example, it is unlikely that a link to a handler for transferring money will be specified via an img tag, so such requests can be blocked without passing them to the application);
• Dodana funkcija form.requestSubmit(), ki sproži programsko pošiljanje podatkovnega obrazca, podobno kot klik na gumb za pošiljanje. Funkcijo je mogoče uporabiti pri razvoju lastnih gumbov za pošiljanje obrazca, kjer klic form.submit() ni zadostoval, ker ne omogoča interaktivne preverjanja parametrov, generiranja dogodka 'submit' in prenosa podatkov povezanih z gumbom za pošiljanje;
• V IndexedDB je bila dodana funkcija commit(), ki omogoča dokončanje transakcij, povezanih z objektom IDBTransaction, ne da bi bilo treba počakati na končanje obdelovalcev dogodkov za vse povezane poizvedbe. Uporaba commit() povečuje pretočnost zapisov in branja v skladišču ter omogoča izrazito nadzorovanje zaključka transakcije;
• V funkciji Intl.DateTimeFormat, kot sta formatToParts() in resolveOptions(), sta dodani možnosti dateStyle in timeStyle, ki omogočata zahtevanje specifičnih stilov prikaza datumov in časov za lokalno okolje;
• Metoda BigInt.prototype.toLocaleString() je bila spremenjena za oblikovanje številk ob upoštevanju lokalnega okolja, metoda Intl.NumberFormat.prototype.format() in funkcija formatToParts() pa sta bili prilagojeni za podporo vhodnim vrednostim tipa BigInt;
• Dovoljena je uporaba API-ja Media Capabilities v vseh vrstah Web Worker-jev, kar se lahko uporabi za izbiro optimalnih parametrov pri ustvarjanju MediaStream iz delavca;
• Dodana metoda Promise.allSettled(), ki vrne le že izvedene ali zavrnjene promise, ne upoštevajoč promise, ki čakajo na izvedbo;
• Odstranjena je možnost '—disable-infobars', ki se je prej lahko uporabljala za skrivanje pojavnih opozoril v vmesniku Chrome (za skrivanje povezanih z varnostjo opozoril je predlagano pravilo CommandLineFlagSecurityWarningsEnabled);
• V vmesniku za delo z blobi dodano metode text(), arrayBuffer() in stream() za branje določenih vrst podatkov;
• Dodana je CSS lastnost 'white-space:break-spaces', ki določa, da je vsaka zaporedna vrsta presledkov, ki povzroči prenapolnitev vrstice, treba raztrgati;
• Začela je akcija za čiščenje zastavic v chrome://flags, na primer, je uklonjen zastavica za onemogočanje atributa 'ping', ki omogoča lastnikom spletnih strani sledenje prehodom prek povezav s njihovih strani. V primeru prehoda prek povezave, ko v oznaki 'a href' obstaja atribut 'ping=URL', zdaj ni mogoče onemogočiti pošiljanja dodatnega POST zahtevka na URL, naveden v atributu, z informacijami o opravljenem prehodu. Smisel blokiranja ping izgine, saj ta atribut opredeljen v specifikacijah HTML5 in obstaja številne obvodne metode za dosego istega rezultata (na primer, preusmerjanje preko tranzitne povezave ali prestrezanje klikov z obdelovalci JavaScript);
• Odstranjen je bil zastavica za onemogočanje načina stroge izolacije spletnih strani, pri katerem so strani različnih gostiteljev vedno shranjene v spominu različni procesi, v katerih se uporablja svoj sandbox.
• V motorju V8 je bistveno povečana zmogljivost pregleda in razčlenjevanja formata JSON. Za priljubljene spletne strani je zabeleženo pospešitev izvajanja JSON.parse do 2,7-krat. Bistveno je pospešeno pretvorbo unicode-nizov, na primer, hitrost delovanja klicev String#localeCompare, String#normalize, pa tudi nekaterih API-jev Intl, skoraj podvojila. Tudi zmogljivost operacij z zamrznjenimi seznami je bila bistveno optimizirana pri uporabi operacij, podobnih frozen.indexOf(v), frozen.includes(v), fn(…frozen), fn(…[…frozen]) in fn.apply(this, […frozen]).
  

Poleg novih funkcionalnosti in odpravljanja napak je v novi različici odpravljeno 43 ranljivostiŠtevilne od ranljivosti so bile ugotovljene z uporabo avtomatiziranega testiranja orodij AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer in AFL. Kritičnih težav, ki omogočajo obhod vseh ravni zaščite brskalnika in izvedbo kode v sistemu zunaj sandbox-okolja, ni bilo ugotovljenih. V okviru programa za nagradno plačilo za odkrivanje ranljivosti za trenutno izdajo je podjetje Google izplačalo 16 nagrad v skupnem znesku 23.500 dolarjev (ena nagrada $10.000, ena nagrada $6.000, dve nagradi $3.000 in tri nagrade $500). Velikost 9 nagrad še ni določena.

Izvor: opennet.ru