Podjetje Google izdajo spletnega brskalnika . Hkrati stabilna izdaja odprtokodnega projekta , ki služi kot osnova za Chrome. Brskalnik Chrome po uporabi logotipov Google, vključevanju sistema za pošiljanje obvestil v primeru zrušitve, možnosti nalaganja modula Flash na zahtevo, modu za predvajanje zaščitenega video vsebin (DRM), sistemu samodejnega nameščanja posodobitev in prenosu pri iskanju . Naslednja izdaja Chrome 87 je načrtovana za 17. november.
:
- Dodana je zaščita pred nevarnim pošiljanjem vnosnih obrazcev na straneh, naloženih preko HTTPS, vendar pošiljajočih podatke preko HTTP, kar predstavlja tveganje za prestrezanje in zamenjavo podatkov med MITM napadi. Zaščita se zmanjšuje na tri spremembe:
- Avtomatsko izpolnjevanje vseh mešanih vnosnih obrazcev je onemogočeno, tako kot je že dolgo onemogočeno avtomatsko izpolnjevanje avtentikacijskih obrazcev na straneh, odprtih preko HTTP. Če je prej znak za onemogočanje bilo odprtje strani z obrazcem preko HTTPS ali HTTP, se sedaj upošteva tudi uporaba šifriranja pri pošiljanju podatkov obdelovalcu obrazca. Delo upravitelja gesel za mešane avtentikacijske obrazce ni onemogočeno, saj tveganje z uporabo nezanesljivega gesla in ponovnim uporabo gesel na različnih straneh presega tveganje potencialnega prestrezanja prometa.
- Ob začetku vnosa v mešanih obrazcih je zagotovljeno prikazovanje opozorila, ki uporabnika obvešča o pošiljanju izpolnjenih podatkov preko nezaščitenega komunikacijskega kanala.
- Ob poskusu pošiljanja mešanega obrazca se prikaže ločena stran z obvestilom o potencialnem tveganju prenosa podatkov preko nezaščitenega komunikacijskega kanala. V prejšnjih različicah se je za označevanje mešanih obrazcev uporabila ikona zaklenjenega ključa v naslovni vrstici, vendar takšna oznaka ni bila očitna za uporabnike in ni učinkovito odražala nastajajočih tveganj.
- Blokiranje (brez šifriranja) izvršljivih datotek je dopolnjeno z blokiranjem nevarnega nalaganja arhivov (zip, iso ipd.) in prikazovanjem opozoril ob nevarnem nalaganju
dokumentov (docx, pdf in td.). V naslednji različici pričakujemo blokado dokumentov in prikaz opozorila za slike, besedilne in multimedijske datoteke. Blokada je bila izvedena, saj se lahko nalaganje datotek brez šifriranja uporablja za izvrševanje zlonamernih dejanj z zamenjavo vsebine med MITM napadi. - V kontekstnem meniju je privzeto prikazana možnost „Vedno prikazuj URL v celoti“, za vključitev katere je bilo prej potrebno spremeniti nastavitve na strani about:flags. Celoten URL si lahko ogledate tudi z dvojnim klikom na naslovno vrstico. Spomnimo, da je od privzeto naslov postal prikazan brez protokola in poddomene www. V je bila odstranjena nastavitev za vrnitev starega vedenja, toda po nezadovoljstvu uporabnikov v je bila dodana nova eksperimentalna zastavica, ki dodaja v kontekstni meni točko za onemogočanje in prikaz celotnega URL-ja v vseh pogojih.
- Za majhen odstotek uporabnikov je zagnan o privzeto v naslovni vrstici le domene, brez elementov poti in parametrov poizvedbe. Na primer, namesto „https://example.com/secure-google-sign-in/“ bo prikazano „example.com“. Uvedbo predlaganega načina vse uporabnike pričakujemo v eni izmed naslednjih različic. Za onemogočanje navedenega vedenja lahko uporabite možnost „Vedno prikazuj URL v celoti“, za ogled celotnega URL-ja pa lahko kliknete na naslovno vrstico. Kot motiv za spremembo se navaja želja zaščititi uporabnike pred ribarjenjem, ki manipulira s parametri v URL-ju — zlonamerne osebe izkoriščajo nepazljivost uporabnikov za ustvarjanje videza odpiranja drugega spletnega mesta in izvrševanje goljufivih dejanj (čeprav teh zamenjav niti tehnično podkovani uporabniki ne ujamejo vedno, neizkušeni povprečni ljudje pa se lahko zlahka ujamejo na tovrstne preproste manipulacije).
- Obnovljena je bila za odstranitev podpore FTP. V Chrome 86 je FTP privzeto onemogočen za približno 1% uporabnikov, v Chrome 87 pa se bo obseg onemogočenja povečal na 50%, vendar se lahko podpora znova omogoči s zastavico „—enable-ftp“ ali „—enable-features=FtpProtocol“. V Chrome 88 bo podpora FTP popolnoma onemogočena.
- V različici za Android je tako kot v namizni različici v upravitelju gesel implementirana preverjanje shranjenih prijav in gesel na podlagi baze kompromitiranih računov z obvestilom v primeru težav ali poskusa uporabe trivialnih gesel. Preverjanje se izvaja na bazi, ki zajema več kot 4 milijarde kompromitiranih računov, ki so bili vključeni v uhajanja uporabniških baz. Za ohranjanje zasebnosti preverjanje hasha na strani uporabnika, gesla in njihovi celotni hashi pa se ne prenašajo zunaj.
- V različico za Android so prav tako gumb 'Preverjanje varnosti' (Safety check) in razširjeni način zaščite pred nevarnimi spletnimi stranmi (Enhanced Safe Browsing). Gumb 'Safety check' prikazuje povzetek morebitnih težav z varnostjo, kot so uporaba kompromitiranih gesel, stanje preverjanja zlonamernih spletnih strani (Safe Browsing), prisotnost ne nameščenih posodobitev in odkrivanje zlonamernih razširitev. Razširjeni način zaščite aktivira dodatne preverjanja za zaščito pred phishingom, zlonamerno aktivnostjo in drugimi grožnjami v spletu, hkrati pa vključuje dodatno zaščito za račun Google in storitve Google (Gmail, Drive itd.). Medtem ko se v običajnem načinu Safe Browsing preverjanja izvajajo lokalno na sistemu s periodično preneseno bazo podatkov, se pri Enhanced Safe Browsing informacije o straneh in prenosih v realnem času pošljejo na preverjanje k Googlu, kar omogoča hitro odzivanje na grožnje takoj po njihovem odkritju, brez čakanja, da se posodobi lokalna črna lista.
- podpora za datoteko-indikator '.well-known/change-password', s katero lahko lastniki spletnih mest navedejo naslov spletnega obrazca za spremembo gesla. V primeru odkritja kompromitacije uporabniških podatkov Chrome zdaj takoj uporabniku ponudi obrazec za spremembo gesla, ki je določen na podlagi informacij iz te datoteke.
- Implementirano je novo opozorilo 'Safety Tip', ki se prikaže ob odpiranju spletnih strani, katerih domene so zelo podobne drugi spletni strani in heuristika kaže, da obstaja velika verjetnost zavajanja (na primer, odprta je goog0le.com namesto google.com).
- podpora za predpomnjenje prehodov (Back-forward cache), ki omogoča takojšnje prehode pri uporabi gumbov „Nazaj“ in „Naprej“ ali pri navigaciji po prej obiskanih straneh sedanjega spletnega mesta. Predpomnilnik se vklopi s pomočjo nastavitve chrome://flags/#back-forward-cache.
- Izvedena je optimizacija porabe virov CPU za okna
izven vidnega območja. Chrome preverja, ali okno brskalnika prekrivajo druga okna in izključi risanje pikslov v prekrivajočih se območjih. Z navedeno optimizacijo so bili vključeni za majhen odstotek uporabnikov v Chrome 84 in 85, zdaj pa je aktivirana povsod. V primerjavi s prejšnjimi različicami je bila tudi odpravljena nepravičnost s sistemom virtualizacije, zaradi katere so se prikazovale prazne bele strani. - Okrepljeno je zmanjšanje virov za ozadje zavihkov. Takšni zavihki zdaj ne morejo porabiti več kot 1% virov CPU in se lahko aktivirajo največ enkrat na minuto. Po petih minutah bivanja v ozadju se zavihki zamrznejo, razen zavihkov, v katerih se predvaja multimedična vsebina ali vodi snemanje.
- Obnovljeno je delo na HTTP glave User-Agent. V novi različici je bila aktivirana podpora za mehanizem , ki se razvija kot zamenjava za User-Agent. Nov mehanizem omogoča selektivno posredovanje podatkov o posebnih lastnostih brskalnika in sistema (različica, platforma itd.) šele po zahtevi strežnika in omogoča uporabnikom, da selektivno posredujejo takšne informacije lastnikom spletnih mest. Pri uporabi User-Agent Client Hints se identifikator po privzetku ne posreduje brez izrecne zahteve, kar onemogoča pasivno identifikacijo (po privzetku se posreduje le ime brskalnika).
- Spremenjena je indikacija razpoložljivosti posodobitve in potrebe po ponovnem zagonu brskalnika za njeno namestitev. Namesto barvne puščice na polju avatarja računa se zdaj prikaže napis „Posodobitev“.
- Opravljeno je delo na prehodu brskalnika na uporabo inkluzivne terminologije. V imenih politik so besede „whitelist“ in „blacklist“ zamenjane z „allowlist“ in „blocklist“ (že dodane politike bodo še naprej delovale, vendar bo za njih prikazano opozorilo o prehodu v razred zastare). V in Zamenjava pojmov «blacklist» z «blocklist».
Vidne omembe «blacklist» in «whitelist» so bile zamenjane že na začetku leta 2019. - Dodana je eksperimentalna možnost urejanja shranjenih gesel, ki se aktivira s pomočjo zastavice «chrome://flags/#edit-passwords-in-settings».
- Prevedeno je v razred stabilnih in javnih API-jev , ki omogoča ustvarjanje spletnih aplikacij, povezanih z datotekami v lokalnem datotečnem sistemu. Na primer, nov API bi lahko bila iskana v v brskalniku zagnanih integriranih razvojnih okoljih, urejevalnikih besedil, slik in videev. Za neposredno branje in pisanje datotek ali za uporabo dialogov za odpiranje in shranjevanje datotek ter za navigacijo po vsebini map, aplikacija od uporabnika zahteva posebno potrditev.
- Dodani CSS-selektor ««, ki uporablja isto heuristiko, kot jo uporablja brskalnik pri odločanju o prikazovanju indikatorja spremembe fokusa (pri premikanju fokusa na gumb s tipkovničnimi kombinacijami se indikator prikaže, pri kliku z miško pa ne). Prej dostopni CSS-selektor «:focus» vedno poudari fokus.
Poleg tega je bila v nastavitve dodana možnost «Quick Focus Highlight», pri čemer se ob aktivnih elementih prikaže dodatni indikator fokusa, ki ostane viden, tudi če so na strani prek CSS onemogočeni elementi stila za vizualno označevanje fokusa. - V načinu Origin Trials (eksperimentalne možnosti, ki zahtevajo ločeno aktivacijo) so dodani nekateri novi API-ji. Origin Trial pomeni možnost dela z določenim API-jem iz aplikacij, naloženih z localhost ali 127.0.0.1, ali po registraciji in pridobitvi posebnega žetona, ki deluje omejen čas za določeno spletno mesto.
- za nizkotovrstni dostop do HID naprav (Human Interface Device, tipkovnice, miške, igralne palice, sledilne plošče), ki omogoča implementacijo logike delovanja s HID napravo na JavaScriptu za organizacijo dela z redkimi HID napravami brez prisotnosti specifičnih gonilnikov v sistemu.
Novi API je predvsem usmerjen na podporo igralnim palicam. - , širi možnosti API Window Placement z podporo za konfiguracije z več zasloni. Za razliko od window.screen, nov API omogoča manipulacijo postavitve okna v skupnem zaslonskem prostoru večmonitornih sistemov, ne da bi bilo omejeno na trenutni zaslon.
- Meta oznaka , s katerim lahko spletna stran obvešča brskalnik o potrebi po aktiviranju načinov za zmanjšanje porabe energije in optimizacijo obremenitve CPU.
- API za obveščanje o potencialnih kršitvah načinov izolacije (COEP) in (COOP), brez uporabe dejanskih omejitev.
- V API je predlagana nova vrsta poverilnic , ki omogoča dodatno potrditev izvedene plačilne transakcije. Preverjajoča stranka, na primer banka, ima možnost ustvariti javni ključ PublicKeyCredential, ki ga lahko prodajalec zahteva za dodatno varno potrditev plačila.
- za nizkotovrstni dostop do HID naprav (Human Interface Device, tipkovnice, miške, igralne palice, sledilne plošče), ki omogoča implementacijo logike delovanja s HID napravo na JavaScriptu za organizacijo dela z redkimi HID napravami brez prisotnosti specifičnih gonilnikov v sistemu.
- V API za določanje naklona pisala je bila dodana podpora za kote višine (kot med pisalom in zaslonom) in azimuta (kot med osjo X in projekcijo pisala na zaslon), namesto kotov TiltX in TiltY (koti med ravnino pisala in eno od osi ter ravnino osmi Y in Z). Prav tako so dodane funkcije za pretvorbo med višino/azimutom in TiltX/TiltY.
- Изменено кодирование пробела в URL, при его вычислении в обработчиках протокола — метод navigator.registerProtocolHandler() теперь заменяет пробелы на «%20» вместо «+», что унифицирует поведение с другими браузерами, такими как Firefox.
- V CSS je bil dodan pseudoelement „«, ki omogoča nastavitev barve, velikosti, oblike in vrste številk ter pik za naštete seznama v blokih
- in
- .
- Dodana je podpora za HTTP glavo , pravila dostopa do dokumentov, podobna mehanizmu sandbox izolacije za iframe, vendar bolj univerzalna. Na primer, preko Document-Policy lahko omejite uporabo nekakovostnih slik, onemogočite počasne JavaScript API, nastavite pravila nalaganja iframe, slik in skript, omejite skupno velikost dokumenta in prometa, prepoveste metode, ki povzročajo ponovno risanje strani, onemogočite funkcijo .
- V element je bila dodana podpora za parametre ‘inline-grid’, ‘grid’, ‘inline-flex’ in ‘flex’, ki jih določajo preko CSS lastnosti ‘display’.
- Dodana metoda za zamenjavo vseh otroških elementov starševskega vozlišča z drugim DOM-vozliščem. Pred tem je bilo za zamenjavo vozlišč mogoče uporabiti kombinacijo metod node.removeChild() in node.append() ali node.innerHTML in node.append().
- spektrum URL shem, dovoljenih za prepisovanje z registerProtocolHandler(). Na seznam shem so vključeni decentralizirani protokoli cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns in ssb, kar omogoča določanje povezav do elementov ne glede na spletno mesto ali prehod, ki zagotavlja dostop do vira.
- V API je dodana podpora za format text/html za kopiranje in lepljenje HTML prek odložišča (pri zapisovanju in branju v odložišče se izvaja čiščenje nevarnih HTML konstrukcij). Sprememba omogoča na primer organizacijo lepljenja in kopiranja formatiranega besedila z slikami in povezavami v spletnih urejevalnikih.
- V WebRTC možnost povezovanja lastnih obdelovalnikov podatkov, ki se aktivirajo v fazah kodiranja ali dekodiranja WebRTC MediaStreamTrack. Na primer, to možnost je mogoče uporabiti za dodajanje podpore končnemu šifriranju podatkov, poslanih preko posredniških strežnikov.
- V JavaScript motorju V8 je za 75% izvedba Number.prototype.toString. V asinhrone razrede je dodana lastnost .name z prazno vrednostjo. Odstranjen je bila metoda Atomics.wake, ki je bila prej preimenovana v Atomics.notify za uskladitev s specifikacijo ECMA-262. Odprt je koda orodja za fuzzing testiranje .
- V prejšnji različici uporabljenem osnovnem (baseline) prevajalniku Liftoff za WebAssembly je bila vključena možnost uporabe vektorskih navodil za pospeševanje izračunov. Souda po testih je optimizacija omogočila pospešitev izvajanja nekaterih testov za 2,8-krat. Druga optimizacija je omogočila znatno pospešitev klicanja iz WebAssembly uvoženih JavaScript funkcij.
- orodja za spletne razvijalce: V pannel Media so dodane informacije o predvajalnikih, uporabljenih za predvajanje videa na strani, vključno s podatki o dogodkih, dnevniki, vrednostmi lastnosti in parametri za dekodiranje sličic (na primer, mogoče je določiti razloge za izgubo sličic in težave pri interakciji iz JavaScript).
V kontekstnem meniju panela Elements je bila dodana možnost ustvarjanja posnetkov zaslona izbranega elementa (na primer, lahko ustvarite posnetek zaslona vsebine ali tabele).
V spletni konzoli je bila plošča za opozorila o težavah zamenjana z navadnim sporočilom, težave s tretjimi piškotki pa so privzeto skrite na zavihku Issues in jih je mogoče omogočiti s posebnim potrdilom.
Na zavihku Rendering je dodan gumb 'Onemogoči lokalne pisave', ki omogoča simulacijo odsotnosti lokalnih pisav, na zavihku Sensors pa je dodana možnost simulacije neaktivnosti uporabnika (za aplikacije, ki uporabljajo API Idle Detection).
Na plošči Application so na voljo podrobne informacije o vsakem iframe, odprtem oknu in pojavno (pop-up) oknu, vključno z informacijami o izolaciji Cross-Origin s pomočjo COEP in COOP.
- zamenjava implementacije protokola za različico, ki jo razvijajo v specifikaciji IETF, namesto Google različice QUIC.
Poleg novih funkcionalnosti in odpravljanja napak je v novi različici odpravljeno Številne od ranljivosti so bile ugotovljene z uporabo avtomatiziranega testiranja orodij , , , in . Ena ranljivost (CVE-2020-15967, dostop do sproščene spomina v kodi za interakcijo z Google Payments) je označena kot kritična, torej omogoča obhod vseh ravni zaščite brskalnika in izvajanje kode v sistemu zunaj peskovnika. V okviru programa za izplačilo nagrad za odkrivanje ranljivosti je podjetje Google za trenutno različico izplačalo 27 nagrad v skupni vrednosti 71500 ameriških dolarjev (ena nagrada $15000, tri nagrade $7500, pet nagrad $5000, dve $3000, ena $200 in dve nagradi $500). Velikost 13 nagrad še ni določena.
Izvor: opennet.ru
