Google sii daynta biraawsarkaaga ... Isla mar ahaantaana Siideynta xasilloon ee mashruuc bilaash ah , kaas oo u adeega sida saldhigga Chrome. browserka Chrome Isticmaalka calaamadaha Google, joogitaanka nidaamka dirida ogeysiisyada haddii ay dhacdo shil, awood u lahaanshaha soo dejinta moduleka Flash marka la codsado, modules loogu talagalay ciyaarista waxyaabaha la ilaaliyo ee fiidiyowga (DRM), nidaam si toos ah loogu rakibo cusbooneysiinta iyo gudbinta inta lagu jiro raadinta. . Siideynta xigta ee Chrome 80 ayaa loo qorsheeyay Febraayo 4-deeda.
:
- Qaybta hubinta erayga sirta ah, oo loogu talagalay in lagu falanqeeyo xoogga ereyada sirta ah ee isticmaaluhu isticmaalo. Markaad isku dayeyso inaad gasho goob kasta oo hubinta erayga sirta ah ka hubinta galitaanka iyo erayga sirta ah ee xog ururinta xisaabaadka la jabiyay oo leh digniin haddii dhibaatooyin la ogaado (hubinta waxaa la sameeyaa iyadoo lagu salaynayo horgale xashiish ah oo dhinaca isticmaalaha ah). Jeegaga waxaa lagu sameeyay xog-ururin daboolaya in ka badan 4 bilyan oo xisaabaad la jabiyay oo ka soo muuqday xogta macluumaadka isticmaaleha. Digniin ayaa sidoo kale la soo bandhigayaa marka la isku dayayo in la isticmaalo ereyada sirta ah ee fudud sida "abc123". Si loo xakameeyo ku darida hubinta erayga sirta ah, goob gaar ah ayaa laga hirgaliyay qaybta "Sync iyo Google Services".
- Farsamo cusub oo lagu ogaanayo phishingka ayaa la soo bandhigay. Markii hore, xaqiijinta waxaa lagu sameeyay gelitaanka liisaska madow ee la soo dejiyay ee Browsing Badbaadada ah, kuwaas oo la cusboonaysiiyay ku dhawaad ββhal mar 30kii daqiqiba, kuwaas oo noqday kuwo aan ku filnayn, tusaale ahaan, xaaladaha goob beddelka joogtada ah ee weeraryahanadu. Habka cusub wuxuu kuu ogolaanayaa inaad ku hubiso URL-yada duulista leh hubin horudhac ah oo ka dhan ah liisaska cadcad oo ay ku jiraan xashiishyada kumanaan goobood oo caan ah oo la aamini karo. Haddii goobta la furayo aysan ku jirin liiska cad, browser-ku wuxuu hubinayaa URL-ka server-ka Google-ka, isagoo gudbinaya 32-bit ee ugu horreeya ee SHA-256 xashiishka xiriirka, kaas oo laga gooyay xogta shakhsi ahaaneed ee suurtogalka ah. Sida laga soo xigtay Google, habka cusub wuxuu wanaajin karaa waxtarka digniinaha goobaha cusub ee phishing-ka 30%.
- Lagu daray ilaalinta firfircoon ee ka dhanka ah wareejinta aqoonsiga Google iyo ereyada sirta ah ee lagu kaydiyo maamulaha sirta ah iyada oo loo marayo boggaga phishingka. Haddii aad isku daydo inaad geliso erayga sirta ah ee kaydsan goobta aan sirta ah sida caadiga ah loo isticmaalin, isticmaalaha waxaa looga digayaa fal khatar ah.
- Xidhiidhada isticmaalaya TLS 1.0 iyo 1.1 hadda waxay muujinayaan tilmaame xidhiidh aan ammaan ahayn. Si buuxda u taageer TLS 1.0 iyo 1.1 gudaha Chrome 81, loo qorsheeyay Maarso 17, 2020.
- Waxaa lagu daray awoodda lagu qaboojinayo tabsyada aan shaqaynayn, taasoo kuu oggolaanaysa inaad si toos ah uga soo dejiso tabsyada xusuusta ee gadaasha ku jiray in ka badan 5 daqiiqo oo aadan samaynin waxqabadyo muhiim ah. Go'aanka ku saabsan ku habboonaanta tab gaar ah ee qaboojinta waxaa lagu gaaraa iyadoo lagu salaynayo cilmi-nafsiga. Awoodsiinta shaqada waxaa lagu maamulaa calanka "chrome://flags/#proactive-tab-freeze"
- Xiritaanka waxyaabaha isku dhafan ee boggaga laga furay HTTPS si loo hubiyo in boggaga laga furay https:// ay ku jiraan kaliya agab lagu raray kanaal isgaarsiineed oo sugan. In kasta oo noocyada ugu khatarta badan ee waxyaabaha isku dhafan, sida qoraallada iyo iframes, ay si caadi ah u xannibeen, sawirrada, faylalka maqalka ah iyo fiidiyowyada weli waa lagala soo degsan karaa http://. Tusiyaha nuxurka isku qasan ee hore loo isticmaalay ee gelisyada noocan oo kale ah ayaa la ogaaday in aanu waxtar lahayn oo marin habaabin ku ah isticmaalaha, maadaama aanay bixinayn qiimayn aan madmadow lahayn oo ammaanka bogga ah. Tusaale ahaan, iyada oo loo marayo sawir-qaadista, weeraryahanku wuxuu beddeli karaa raadinta kukiyada ficillada isticmaalaha, isku dayo inuu ka faa'iidaysto nuglaanta soo-saareyaasha sawirka, ama sameeyo been-abuur isagoo beddelaya macluumaadka lagu bixiyay sawirka. Si loo joojiyo qufulka qaybaha isku dhafan, meel gaar ah ayaa lagu daray, kaas oo laga geli karo menu-ka soo muuqda markaad gujiso calaamadda qufulka.
- Awood tijaabo ah oo lagu daray in lagu wadaago waxa ku jira kilibka inta u dhaxaysa noocyada miiska iyo mobilada ee Chrome. Xaaladaha Chrome-ka ee ku xidhan hal akoon, waxaad hadda gali kartaa waxa ku jira sanduuqa qalab kale, oo ay ku jirto wadaagga sabuuradda inta u dhaxaysa nidaamyada moobaylka iyo miisaska. Waxyaabaha ku jira kilib-boodhka waxa lagu sir ah iyadoo la isticmaalayo sirta dhamaadka-ilaa-dhamaadka, taas oo ka hortagaysa gelitaanka qoraalka Google-ka. Hawsha waxa lagu dadajinayaa iyada oo loo marayo xulashooyinka chrome://flags#shared-clipboard-receiver,chrome://flags#shared-clipboard-ui iyo chrome://flags#sync-clipboard-service.
- Goobta ciwaanka waqtiyo gaar ah (tusaale ahaan, marka la keydinayo erayga sirta ah) marka is-dhexgalka profile la damiyo, marka lagu daro avatar-ka, magaca koontada Google ee hadda jirta ayaa la soo bandhigayaa si isticmaaluhu uu si sax ah u aqoonsado akoontiga firfircoon ee hadda jira.
- Loo hawlgeliyay 1% isticmaalayaasha "DNS ka badan HTTPS" (DoH, DNS ka badan HTTPS). Tijaabadu waxay ku lug leedahay kaliya isticmaalayaasha nidaamkooda habayntu ay hore u cayimeen bixiyeyaasha DNS ee taageera DoH. Tusaale ahaan, haddii adeegsaduhu uu leeyahay DNS 8.8.8.8 ee ku qeexan nidaamka nidaamka, markaa adeegga Google ee DoH ("https://dns.google.com/dns-query") ayaa laga hawlgelin doonaa Chrome-ka; haddii DNS-ku yahay 1.1.1.1. XNUMX, ka dibna adeegga DoH Cloudflare ("https://cloudflare-dns.com/dns-query"), iwm. Si loo xakameeyo in DoH karti loo leeyahay, dejinta "chrome://flags/#dns-over-https" waa la bixiyaa. Saddex qaab hawleed ayaa la taageeray: sugan, toos ah iyo off. Habka "sugan", martigeliyayaasha waxaa lagu go'aamiyaa kaliya iyadoo lagu saleynayo qiyamka hore loo kaydiyay (oo lagu helay xiriir aamin ah) iyo codsiyada DoH; dib ugu noqoshada DNS caadiga ah lama dabaqo. Qaabka βotomaatigga ahβ, haddii DoH iyo kaydka sugan aan la heli karin, xogta waxaa lagala soo bixi karaa khasnadaha amniga ah oo laga geli karaa DNS-dhaqameedka. Habka "off", kaydka la wadaago ayaa marka hore la hubiyaa oo haddii aysan jirin xog, codsiga waxaa loo diraa nidaamka DNS.
- Lagu daray tijaabo kaydinta nuxurka la sameeyay marka la bedelayo boggaga iyadoo la adeegsanayo badhamada hore iyo gadaal, taas oo si weyn u yarayn karta dib u dhacyada inta lagu jiro socodka noocaan ah sababtoo ah kaydinta dhamaystiran ee bogga oo dhan, taas oo aan u baahnayn dib-u-celinta iyo rarista ilaha. Hagaajinta ayaa si gaar ah loogu arki karaa nooca aaladaha mobilada, halkaasoo kor u kaca waxqabadka inta lagu jiro navigation uu gaaro 19%. Habka waa la dajiyay iyadoo la isticmaalayo "chrome://flags#back-forward-cache" doorashada.
- dejinta "chrome: // flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains", taas oo u oggolaatay inay soo celiso bandhigga borotokoolka ciwaanka ciwaanka (hadda dhammaan xiriirada waxaa had iyo jeer lagu muujiyaa https : // iyo http: / /, iyo sidoo kale aan lahayn "www.").
- Dhisayaasha Daaqadaha waxaa ka mid ah sandboxing adeega dib u ciyaarista maqalka. Si loo xakameeyo in go'doomin la awooday iyo in kale, hantida AudioSandboxEnabled ayaa la soo jeediyay.
- Aaladaha maamulka dhexe ee shirkadaha waxaa ka mid ah awoodda lagu qeexo xeerarka xakameynaya inta xusuusta ee browser-ku isticmaali karo ka hor inta aan la soo dejin tabaha asalka ah. Xusuusta la sii daayo ka dib marka la dejiyo tab waxay noqotaa mid diyaar u ah isticmaalka, iyo waxa ku jira tab mar kale ayaa la shubaa marka loo beddelo.
- Linux waxay isticmaashaa processor-ka xaqiijinta shahaado ku dhex dhisan, kaasoo bedelaya nidaamkii NSS-ta ee hore loo isticmaali jiray. Xaaladdan oo kale, processor-ku-guduhu wuxuu sii wadaa inuu isticmaalo bakhaarka NSS-ta inta lagu jiro xaqiijinta, laakiin wuxuu soo rogayaa shuruudo aad u adag marka si khaldan loo habeeyey iyo shahaadooyin si gaar ah loo shahaado (dhammaan shahaadooyinka waa inay xaqiijiyaan hay'adda shahaado bixinta).
- In nooca loogu talagalay madal Android Awoodda lagu meeleeyo astaamo la-qabsi ah oo loogu talagalay codsiyada shabakadda ee rakiban ee ku socda qaabka Apps Web Apps (PWA). Astaamaha la qabsiga waxay la qabsan karaan is dhexgalka uu isticmaalo soo saaraha aaladda, tusaale ahaan, isagoo wareegsan, afar gees ah, ama leh geeso siman.
- API , kaas oo siiya marin u helka qaybaha abuuritaanka xaqiiqada dhabta ah iyo la kordhiyay. API-gu wuxuu kuu ogolaanayaa inaad ku midayso shaqada noocyo kala duwan oo qalab ah, laga bilaabo madax-madaxeedyada dhabta ah ee dhabta ah sida Oculus Rift, HTC Vive iyo Windows Mixed Reality, xalalka ku salaysan aaladaha mobilada sida Google Daydream View iyo Samsung Gear VR. Codsiyada API-ga cusub lagu dabaqi karo waxaa ka mid ah barnaamijyada lagu daawado fiidiyowga qaabka 360 Β°, nidaamyada lagu sawirayo booska saddex-geesoodka ah, abuurista shineemo sawir leh oo loogu talagalay bandhigga fiidiyowga, samaynta tijaabooyin ku saabsan abuurista 3D interfaces ee dukaamada iyo galleries;
- Qaabka Tijaabada Asalka (sifada tijaabada ah ee u baahan gooni ) dhowr API oo cusub ayaa la soo jeediyay. Tijaabada asalka ah waxay tusinaysaa awoodda lagula shaqaynayo API-ga la cayimay ee codsiyada laga soo dejiyay localhost ama 127.0.0.1, ama ka dib marka la diiwaan geliyo oo la helo calaamad gaar ah oo shaqaynaysa wakhti xaddidan goob gaar ah.
- Dhammaan walxaha HTML, sifada "rendersubtree" ayaa la soo jeediyay, taas oo hubinaysa in muujinta qaybta DOM ay go'an tahay. Dejinta sifada "aan la arki karin" waxay ka hortagi doontaa in la sameeyo ama la baaro waxa curiyaha, taas oo u oggolaanaysa in la hagaajiyo. Marka loo dejiyo "firfircoon", browserku wuxuu meesha ka saarayaa sifada aan la arki karin, wuxuu soo bandhigayaa waxa ku jira oo wuxuu ka dhigi doonaa mid muuqda.
- Xulashada API ee lagu daray oo ku salaysan habka Ballanqaadka, kaas oo bixiya hab ammaan ah oo lagu xakameynayo naafonimada shaashadaha auto-locked iyo u beddelashada aaladaha hababka awood-badbaadinta.
- Hirgeliyay awoodda isticmaalka sifada dhammaan HTML iyo walxaha SVG ee yeelan kara diiradda saarista.
- Muuqaalo iyo muuqaalo Xisaabi saamiga dhinaca ku salaysan sifada Balaadhka ama Dhererka, taas oo loo isticmaali karo in lagu go'aamiyo cabbirka sawirka iyadoo la isticmaalayo CSS marxaladda marka sawirka aan weli la rarin (waxay xallisaa dhibaatada dib u dhiska bogga ka dib marka sawirada la raro).
- Hantida CSS ee lagu daray , kaas oo si toos ah u dejinaya cabbirka farta doorsooma ee isku xidhka indhaha"", haddii font ay taageerto iyaga. Qaabku wuxuu kuu ogolaanayaa inaad doorato qaabka glyph-ga ugu fiican ee cabbir cayiman, tusaale ahaan, isticmaal glyphs badan oo ka soo horjeeda cinwaannada.
- Hantida CSS ee lagu daray , kaas oo kuu ogolaanaya inaad isticmaasho calaamad kasta halkii aad ka isticmaali lahayd liiska, tusaale ahaan, "-", "+", "β " iyo "βΈ".
- Haddii aysan suurtagal ahayn in la fuliyo Worklet.addModule (), shay ayaa hadda lagu soo celiyay macluumaad faahfaahsan oo ku saabsan nooca qaladka, kaas oo kuu ogolaanaya inaad si sax ah u qiimeyso sababta qaladka (dhibaatooyinka xiriirka shabakada, syntax khaldan, iwm.) .)
- Hakinta habaynta walxaha marka loo kala wareejinayo dukumeentiyada dhexdooda. Marka la kala wareejinayo dukumentiyada dhexdooda, fulinta dhacdooyinka "qaladka" iyo "load" ee qoraalka la xidhiidha sidoo kale waa la joojinayaa.
- In JavaScript engine V8 Hagaajinta wax ka qabashada isbeddelada matalaadda goobaha shayada, taasoo keentay in AngularJS code fulinta ee qolka tijaabada Speedometer uu socdo 4% dhakhso ah.
- V8 waxa kale oo ay wanaajisaa habaynta getters ee lagu qeexay APIs-ku-dhisan, sida Node.nodeType iyo Node.nodeName, iyada oo uu maqan yahay maamule IC (caching inline). Isbeddelku waxa uu yareeyey wakhtiga lagu qaato runtime IC ku dhawaad ββ12% marka la wado tijaabooyinka laf dhabarta iyo jQuery ee qolka Speedometerka.
- Natiijooyinka OSR (oo loo yaqaanno beddelka dulsaarka) farsamada waa la kaydiyay, kaas oo beddelaya koodka la hagaajiyay inta lagu jiro fulinta shaqada (wuxuu kuu oggolaanayaa inaad bilowdo adeegsiga kood la hagaajiyay ee hawlaha muddada dheer socda adiga oo aan sugin inay mar kale shaqeeyaan). Kaydinta OSR waxay suurtogal ka dhigaysaa in la isticmaalo natiijooyinka hagaajinta marka dib loo wado hawsha, iyada oo aan loo baahnayn in dib loo hagaajiyo.
Imtixaanada qaar, isbeddelku wuxuu kordhiyey waxqabadka ugu sarreeya 5-18%. - Isbeddellada ku yimaadda agabka horumarinta shabakadda:
-
qaabka qaladka si loo go'aamiyo sababaha xannibaadda codsiga ama diritaanka kukiga.
- Qeybta ku jirta liiska kukiyada, awoodda si deg deg ah loo eego qiimaha kukiyada la doortay ayaa lagu daray adigoo gujinaya khad gaar ah.
- Waxaa lagu daray awoodda lagu jili karo jaangooyooyin kala duwan oo loogu talagalay nidaamka-midabka-doorbida oo door bida-yaray-yar-yar-yar-yar weydiimaha warbaahinta dhaqdhaqaaqa (tusaale, si loo tijaabiyo hab-dhaqanka bogga mawduuca nidaamka mugdiga ah ama saamaynta firfircoon ee naafada ah).
- Naqshadaynta tabka daboolka ayaa la casriyeeyay, taasoo kuu ogolaanaysa inaad qiimeyso koodka la isticmaalay oo aan la isticmaalin. Waxaa lagu daray awoodda lagu sifeeyo macluumaadka nooceeda (JavaScript, CSS). Macluumaadka isticmaalka koodka ayaa sidoo kale lagu daraa marka la soo bandhigayo qoraalka isha.
- Waxaa lagu daray awoodda lagu saxayo sababaha loo codsanayo kheyraad shabakad gaar ah ka dib duubista dhaqdhaqaaqa shabakada (waxaad arki kartaa raadraaca koodka JavaScript ee wacitaanka kaas oo horseeday rarida kheyraadka).
- Lagu darey "Settings> Preferences> Sources> Default Indentation" dejinta si loo go'aamiyo nooca galitaanka (2/4/8 meelo ama tabs) ee koodka lagu soo bandhigay Console iyo qaybaha Ilaha.
- Qeybta ku jirta liiska kukiyada, awoodda si deg deg ah loo eego qiimaha kukiyada la doortay ayaa lagu daray adigoo gujinaya khad gaar ah.
Marka lagu daro hal-abuurnimada iyo hagaajinta cayayaanka, nooca cusubi wuxuu meesha ka saarayaa 51 dayacan. Qaar badan oo ka mid ah baylahda ayaa lagu aqoonsaday natiijada baaritaanka tooska ah iyadoo la adeegsanayo AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer iyo AFL. Laba arrimood (CVE-2019-13725, gelitaanka xusuusta horay loo sii daayay ee koodka taageerada Bluetooth, iyo CVE-2019-13726, qulqulka xad dhaafka ah ee maamulaha sirta ah) ayaa lagu calaamadeeyay inay yihiin kuwo muhiim ah, ie. kuu ogolaanaya inaad ka gudubto dhammaan heerarka ilaalinta browserka oo aad ku fuliso kood nidaamka ka baxsan deegaanka sandbox. Tani waa markii ugu horeysay ee laba dhibaato oo muhiim ah lagu aqoonsado isla wareegga horumarinta ee Chrome. Nuglaanta koowaad waxaa helay cilmi-baarayaal ka socda Tencent Keen Security Lab iyo tartanka Tianfu Cup, kan labaadna waxaa helay Sergei Glazunov oo ka socda Google Project Zero.
Iyada oo qayb ka ah barnaamijka abaal-marinta lacagta caddaanka ah ee lagu ogaanayo dayacanka sii-deynta hadda, Google wuxuu bixiyay 37 abaal-marin oo qiimahoodu dhan yahay $80000 (hal abaalmarin $20000, hal abaalmarin $10000, laba abaalmarin $7500, abaal-marin $5000 ah, hal $3000 abaal-marin ah, laba abaalmarinood $2000). $1000 abaal marin). Baaxadda 500-ka abaal-marin weli lama go'aamin.
Source: opennet.ru