Google sii daynta biraawsarkaaga ... Isla mar ahaantaana Siideynta xasilloon ee mashruuc bilaash ah , kaas oo u adeega sida saldhigga Chrome. browserka Chrome Isticmaalka calaamadaha Google, joogitaanka nidaamka dirida ogeysiisyada haddii ay dhacdo shil, awood u lahaanshaha soo dejinta moduleka Flash marka la codsado, modules loogu talagalay ciyaarista waxyaabaha la ilaaliyo ee fiidiyowga (DRM), nidaam si toos ah loogu rakibo cusbooneysiinta iyo gudbinta inta lagu jiro raadinta. . Siideynta xigta ee Chrome 85 waxaa loo qorsheeyay Agoosto 25keeda.
:
- taageerada TLS 1.0 iyo TLS 1.1 borotokool. Si aad u gasho shabakadaha kanaalka isgaadhsiinta ee sugan, adeeguhu waa inuu bixiyaa taageero ugu yaraan TLS 1.2, haddii kale browserku hadda wuxuu soo bandhigi doonaa khalad. Sida laga soo xigtay Google, hadda ilaa 0.5% soo dejinta bogga internetka ayaa sii socota in la fuliyo iyada oo la adeegsanayo noocyada duugoobay ee TLS. Xiritaanka ayaa loo fuliyay si waafaqsan IETF (Ciidanka Hawsha Injineerinka Internetka). Sababta loo diidey TLS 1.0/1.1 waa taageero la'aanta ciphers casriga ah (tusaale, ECDHE iyo AEAD) iyo baahida loo qabo in la taageero sifooyinkii hore, isku halaynta taas oo su'aal laga keenay heerkan xaadirka ah ee horumarinta tignoolajiyada xisaabinta (tusaale ahaan. , Taageerada TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA ayaa loo baahan yahay, MD5 iyo SHA-1). Goobta u ogolaanaysa ku noqoshada TLS 1.0/1.1 waa la hayn doonaa ilaa Janaayo 2021.
- Xayiraadda waa la bixiyay (iyada oo aan la qarin) ee faylasha la fulin karo iyo digniino lagu daray marka la soo gelinayo kaydadka si aan badbaado lahayn. Mustaqbalka, waxaa la qorsheeyay in si tartiib tartiib ah loo joojiyo taageeridda raritaanka faylka iyada oo aan qarsoodi ahayn. Xayiraadda waa la hirgeliyay sababtoo ah soo dejinta faylasha iyada oo aan qarsoodi ahayn waxaa loo isticmaali karaa in lagu sameeyo ficillo xaasidnimo ah iyada oo la beddelayo waxa ku jira inta lagu jiro weerarrada MITM.
- taageerada bilowga ah , oo loo sameeyay beddelka madaxa Wakiilka Isticmaalaha. Habka Tilmaamaha Macmiilku wuxuu bixiyaa taxane taxane ah "Sec-CH-UA-*" madax sida beddelka Wakiilka Isticmaalaha, kaas oo kuu ogolaanaya inaad habayso gudbinta xulashada xogta ku saabsan browserka gaarka ah iyo xuduudaha nidaamka (nooca, madal, iwm.) kaliya ka dib codsi ka yimid server-ka. Isticmaaluhu wuxuu helayaa fursad uu ku go'aamiyo cabbirrada la aqbali karo gaarsiinta oo si xushmad leh u siiyo macluumaadkaas milkiilayaasha goobta. Markaad isticmaalayso Tilmaamaha Macmiilka, aqoonsiga laguma kala qaado si caadi ah iyada oo aan la helin codsi cad, taas oo ka dhigaysa aqoonsiga dadban mid aan macquul ahayn (caadi ahaan, magaca browserka oo keliya ayaa la tilmaamay). on ilaa sanadka danbe.
- hawlgelinta
ka sii adag wareejinta Kukiyada inta u dhaxaysa goobaha, taas oo ahayd sababtoo ah COVID-19. Codsiyada aan HTTPS ahayn, habaynta cookies-ka qolo saddexaad ee la dejiyay marka la gelayo boggaga aan ka ahayn bogga bogga hadda waa mamnuuc. Kukiyada noocan oo kale ah waxaa loo isticmaalaa si loola socdo dhaqdhaqaaqa isticmaalaha ee u dhexeeya boggaga koodhka shabakadaha xayeysiiska, shabakadaha shabakadaha bulshada iyo hababka falanqaynta shabakada.Xusuusnow in si loo xakameeyo gudbinta Kukiyada, sifada SameSite ee lagu qeexay madaxa Set-Cookie ayaa la isticmaalaa, taas oo asal ahaan lagu dejin doono qiimaha "SameSite=Lax", taas oo xaddidaysa dirida Kukiyada ee codsiyada-hoosaadka goobta. , sida codsi muuqaal ah ama ku rarida nuxurka iframe ee goob kale. Goobuhu waxay burin karaan hab-dhaqanka caadiga ah ee SameSite iyagoo si cad u dejinaya goobta Kukiyada SameSite=Ma jiro. Intaa waxaa dheer, qiimaha SameSite = Midna kukiyada waxaa lagu dejin karaa kaliya qaab sugan (loo ogol yahay isku xirka HTTPS). Isbeddelka waxaa loo soo daabici doonaa heerar, laga bilaabo boqolkiiba yar ee isticmaalayaasha ka dibna si tartiib tartiib ah u ballaarinaya gaaritaankiisa.
- Hirgelinta tijaabada ah ayaa lagu daray , Kaas oo la awoodsiin karo iyada oo la adeegsanayo goobta "chrome://flags/#enable-heavy-ad-intervention" Xayiraadaha ayaa kuu oggolaanaya inaad si toos ah u damiso xannibaadaha xayeysiinta iframe ka dib marka taraafikada iyo xadka culeyska CPU la dhaafo. Xannibaadda ayaa kicin doonta haddii dunta ugu weyni ay isticmaasho wax ka badan 60 ilbiriqsi oo wakhtiga CPU wadar ahaan ama 15 ilbiriqsi gudahood 30-ilbiriqsi (isticmaalka 50% ee kheyraadka in ka badan 30 ilbiriqsi), iyo sidoo kale marka in ka badan 4 MB xogta ayaa lagala soo degay shabakada
Xannibaadda ayaa shaqayn doonta oo kaliya haddii, ka hor inta aan la dhaafin xadka, isticmaaluhu uusan la falgalin qaybta xayaysiinta (tusaale ahaan, ma gujin), taas oo, iyada oo la tixgelinayo xayiraadaha taraafikada, waxay u oggolaan doontaa dib-u-ciyaarista otomaatiga ah ee waaweyn. Fiidyowyada xayaysiisyada ku jira waa in la xannibaa iyada oo isticmaaluhu aanu si cad u kicin dib u ciyaarista. Tallaabooyinka la soo jeediyay ayaa ka badbaadin doona isticmaalayaasha xayaysiisyada dhaqangelinta kood aan waxtar lahayn ama dhaqdhaqaaqa dulin ee ula kac ah (tusaale, macdanta). Marka loo eego tirakoobka Google, xayaysiinta buuxisa shuruudaha xannibaadda waxay ka kooban tahay 0.30% dhammaan qaybaha xayaysiinta, laakiin isla mar ahaantaana, xayeysiisyada noocan oo kale ah waxay cunaan 28% ee ilaha CPU iyo 27% taraafikada guud ahaan xayaysiinta.
- Shaqada ayaa la qabtay si loo dhimo isticmaalka kheyraadka CPU marka daaqadda browserka aysan ku jirin goobta isticmaalaha. Chrome hadda waxa uu eegayaa in daaqada browserka ay ku dul-xidhan yihiin dariishadaha kale oo ka hortagaya in ay pixels ku sawiraan meelaha is dul saaran. Sifada cusub ayaa si tartiib tartiib ah loo daabici doonaa: hagaajinta ayaa si door ah loogu sahli doonaa isticmaalayaasha qaar Chrome 84, iyo kuwa kale Chrome 85.
- Ilaalinta waa la dajiyay , tusaale ahaan, spam oo leh codsiyo lagu helo ogeysiisyada riixitaanka. Mar haddii codsiyadan oo kale ay carqaladeeyaan shaqada isticmaalaha oo ay dareenka ka jeediyaan ficillada ku jira wada-hadallada xaqiijinta, beddelka wada-hadal gaar ah oo ku jira bar ciwaanka, degdegga macluumaadka ee aan u baahnayn tallaabo isticmaaluhu waa la soo bandhigi doonaa digniin ah in codsiga oggolaanshaha la xannibay. , kaas oo si toos ah loo yareeyo tusaha leh sawirka gambaleelka la goostay. Markaad gujiso tusaha, waxaad dhaqaajin kartaa ama diidi kartaa oggolaanshaha la codsaday wakhti kasta oo ku habboon.
- Doorashada isticmaalaha waxaa la xusuustaa marka la furayo maamulayaasha borotokoolka dibadda - isticmaaluhu wuxuu dooran karaa "had iyo jeer u oggolow goobtan" maamule gaar ah browserku wuxuu xasuusan doonaa go'aankan ee la xiriira goobta hadda.
- Kahortagga lagu daray beddelka dejinta isticmaale iyada oo aan oggolaansho cad la helin. Haddii wax-ku-darku beddelo mashiinka raadinta caadiga ah ama bogga loo soo bandhigay tab cusub, browserku hadda wuxuu soo bandhigi doonaa wada-hadal ku weydiinaya inaad xaqiijiso hawlgalka la cayimay ama aad tirtirto isbeddelka.
- hirgelinta ilaalinta ka hortagga rarista waxyaabaha isku dhafan ee warbaahinta badan (marka agabyada lagu shubo bogga HTTPS iyada oo loo marayo http://protocol). Bogagga laga furay HTTPS, xiriirinta "http: //" hadda si toos ah ayaa loogu beddeli doonaa "https: //" ee baloogyada la xiriira soo dejinta sawirada (qoraalka iyo iframes hore ayaa loo bedelay, si toos ah u beddelka ilaha maqalka iyo muuqaalka ayaa la filayaa sii daynta xigta). Haddii sawir aan laga helin https, soo dejintiisa waa la xannibay (waxaad gacanta ku calaamadin kartaa xannibaadda menu-ka laga heli karo calaamadda qufulka ee ciwaanka).
- Taageerada API ee lagu daray (oo loo sameeyay sida SMS Receiver API), kaas oo kuu ogolaanaya inaad habayso gelida erayga sirta ah ee hal mar ah bogga shabakadda ka dib markaad hesho fariin SMS ah oo leh koodka xaqiijinta ee la geeyo isticmaaleha casriga ah ee Android kaas oo browserku ku socdo. Xaqiijinta SMS, tusaale ahaan, waxaa loo isticmaali karaa in lagu xaqiijiyo lambarka taleefoonka ee uu cayimay isticmaaluhu inta lagu jiro diiwaangelinta. Haddii hore isticmaaluhu ay ahayd inuu furo codsiga SMS-ka, koobi ka samee koodka oo ku dheji sanduuqa, ku soo celi browserka oo dheji koodkan, ka dibna API-ga cusub ayaa suurtogal ka dhigaya in habkan si otomaatig ah loo sameeyo oo loo yareeyo hal taabasho.
- API waa la ballaariyay
si loo xakameeyo dib u ciyaarista animation webka. Siideynta cusub waxay ku darsataa taageerada hawlgallada curinta, taasoo kuu oggolaanaysa inaad xakamayso sida saamaynta la isugu daray iyo bixinta maareeyayaal cusub oo la yiraahdo marka ay dhacdo beddelka macluumaadka. Shabakadda Animations API sidoo kale hadda waxay taageertaa Ballanqaadka si loo qeexo sida ay u kala horreeyaan animations loo muujiyo oo si wanaagsan loo xakameeyo sida animations ula falgalaan sifooyinka kale ee codsiga. - Dhowr API oo cusub ayaa lagu daray qaabka Tijaabooyinka asalka ah (sifado tijaabo ah oo u baahan hawlgelin gaar ah). Tijaabada asalka ah waxay tusinaysaa awoodda lagula shaqaynayo API-ga la cayimay ee codsiyada laga soo dejiyey localhost ama 127.0.0.1, ama ka dib marka la diiwaan geliyo oo la helo calaamad gaar ah oo shaqaynaysa wakhti xaddidan goob gaar ah.
- API loogu talagalay shaqaalaha Adeegga marin u helka Kukiyada HTTP, oo u adeegaya sidii beddelka asynchronous ee isticmaalka document.cookie.
- API si loo ogaado dhaqdhaqaaq la'aanta isticmaale, taasoo kuu ogolaanaysa inaad ogaato wakhtiga isticmaaluhu aanu la falgalayn kiiboodhka/jiirka, shaashadu ku shaqaynayso, shaashadu xidhantahay, ama shaqada lagu qabanayo kormeeraha kale. Ogeysiinta codsiga ku saabsan dhaqdhaqaaq la'aanta waxaa lagu fuliyaa dirista ogeysiin ka dib marka la gaaro xadka dhaqdhaqaaqa la'aanta.
- Qaabka , waxay u ogolaataa horumariyaha inuu isticmaalo go'doomin dhamaystiran oo habaynta nuxurka hab gaar ah oo la xidhiidha isha (asalka - domain + port + borotokool), halkii uu ka ahaan lahaa goobta, kharashka joojinta taageerada astaamaha dhaxalka qaarkood, sida synchronous fulinta qoraalada iyadoo la isticmaalayo document.domain iyo wacitaanka fariinta boostada () si loogu dhajiyo fariimaha WebAssembly.Module tusaale ahaan. Si kale haddii loo dhigo, Go'doonka asalka ah wuxuu kuu oggolaanayaa inaad abaabusho kala soocida hababka kala duwan ee ku saleysan qaybta kheyraadka, ee ma aha goobta leh dhammaan waxyaabaha ka baxsan boggaga.
- API isticmaalka vector SIMD tilmaamaha ee codsiyada qaab WebAssembly. Si loo hubiyo madax-bannaanida goobta, waxay bixisaa nooc cusub oo 128-bit ah oo matali kara noocyo kala duwan oo xog la soo buuxiyey, iyo dhowr hawlgallo asaasi ah oo vector ah oo lagu farsameeyo xogta la soo buuxiyey. SIMD waxay kuu ogolaanaysaa inaad kordhiso wax soo saarka adoo isbarbar dhigaya habaynta xogta waxayna noqon doontaa mid faa'iido leh markaad ururinayso koodka asalka ah WebAssembly. Si aad awood ugu siiso taageerada SIMD, waxaad isticmaali kartaa goobta "chrome://flags/#enable-webassembly-simd".
- La xasiliyay oo hadda loo qaybiyay meel ka baxsan Tijaabooyin Asal ah
API , Kaas oo bixisa xogta badan ee ku saabsan nuxurka ay hore u kaydiyeen arjiyada webka ee ku shaqaynaya qaabka Horusocodka Web Apps (PWS). Codsigu wuxuu kaydin karaa xog kala duwan oo dhinaca browserka ah, oo ay ku jiraan sawirro, muuqaalo iyo maqaallo, iyo marka xidhiidhka shabakadu lumo, isticmaal adoo isticmaalaya Kaydinta Cache iyo IndexedDB APIs. Tilmaanta Mawduuca API waxay suurtogal ka dhigaysaa in lagu daro, la helo oo la tirtiro agabyadaas. browserka dhexdiisa, API-gan waxa mar horeba loo isticmaalay in lagu taxo liiska boggaga iyo xogta warbaahinta badan ee loo heli karo daawashada qad la'aanta. - Nooca API waa la xasiliyay oo ku salaysan habka Ballanqaadka, kaas oo bixiya hab ammaan ah oo lagu xakameynayo naafonimada shaashadaha auto-locked iyo u beddelashada aaladaha hababka awood-badbaadinta.
- In nooca loogu talagalay madal Android taageerada hab-gaabyada arjiga, taas oo kuu oggolaanaysa inaad si degdeg ah u hesho falalka caanka ah ee arjiga. Si aad u abuurto jid-gaab, kaliya ku dar curiyayaasha codsiga shabakadda ee qaabka PWA (Progressive Web Apps).
- Shaqaalaha Shabakadda waa loo oggol yahay inuu isticmaalo API , kaas oo kuu ogolaanaya inaad qeexdo maamule si aad u soo saarto warbixin, oo loo yaqaan marka aad helayso awoodaha duugoobay. Warbixinta la soo saaray waa la keydin karaa, loo diri karaa server-ka, ama waxaa lagu habayn karaa qoraalka JavaScript iyadoo la raacayo go'aanka isticmaaluhu.
- API waa la cusboonaysiiyay , kaas oo kuu ogolaanaya inaad ku xidho maamule kaas oo ogeysiisyada ku saabsan isbeddelka cabbirka walxaha la cayimay ee bogga loo diri doono. Saddex guri oo cusub ayaa lagu daray ResizeObserverEntry: contentBoxSize, borderBoxSize and devicePixelContentBoxSize si ay u bixiyaan macluumaad mug weyn, oo loo soo celiyay sida isku dubaridka walxaha ResizeObserverSize.
- lagu daray erayga muhiimka ah"Β» si dib loogu habeeyo qaabka element qiimihiisii ββcaadiga ahaa.
- Waxa meesha laga saaray horgalaha guryaha CSS "-webkit-appearance" iyo "-webkit-ruby-position", kuwaas oo hadda loo heli karo sida ""Iyo"Β«.
- In JavaScript Kaalmada lagu calaamadinayo hababka iyo hantida fasalka inay yihiin kuwo gaar ah, ka dib gelitaankooda waxay furnaan doonaan oo keliya fasalka dhexdiisa (horay u ahaa kaliya beeruhu waxay noqon karaan kuwo gaar ah). Si loo calaamadiyo hababka iyo guryaha gaarka ah: Magaca goobta ka hor waxaa jira calaamad "#".
- In JavaScript taageero (Tixraaca daciifka ah) ee walxaha JavaScript ee kuu oggolaanaya inaad sii haysato tixraaca shayga, laakiin ha ka xannibin ururiyaha qashinka inuu tirtiro shayga la xidhiidha. Taageerada dhamaystirayaasha ayaa sidoo kale lagu daray, taas oo suurtogal ka dhigaysa in la qeexo maamule la yiraahdo ka dib ururinta qashinka shayga la cayimay.
- Daah-furka codsiyada WebAssembly waa la dardargeliyay, iyada oo ay ugu wacan tahay hirgelinta bilowga (saldhigga) Isku-duwaha Liftoff ΠΈ . Qalabka lagu saxayo WebAssembly waa la hagaajiyay, waxqabadka cilladaha ayaa si weyn loo hagaajiyay marka la isticmaalayo meelaha jajabinta (horay, turjubaanka waxaa loo isticmaali jiray wax ka saarida, iyo hadda Liftoff compiler).
- Qalabka loogu talagalay horumarinta shabakada pphttps://developers.google.com/web/updates/2020/05/devtools guddiga falanqaynta waxqabadka waa la cusboonaysiiyay. Lagu daray macluumaadka guud ee ku saabsan cabbirka (Waqtiga Joojinta Wadarta), oo muujinaya inta boggu u muuqdo inuu jiro, laakiin dhab ahaantii lama heli karo (tusaale ahaan bogga mar hore ayaa la sameeyay, laakiin fulinta dunta muhiimka ah ayaa weli xanniban oo gelista xogta suurtagal maaha). Lagu daray qayb waayo-aragnimo cusub oo loogu talagalay falanqaynta cabbirka (Shift Layout Isku-dhafka ah), oo ka tarjumaysa xasilloonida muuqaalka ee nuxurka. Guddiga kormeerka qaababka CSS waxa uu bixiyaa horudhac muuqaallo ah oo lagu qeexay hantida "sawir-dambe".
Marka lagu daro hal-abuurnimada iyo hagaajinta cayayaanka, nooca cusub ayaa meesha ka saaraya . Qaar badan oo ka mid ah baylahda ayaa lagu aqoonsaday natiijada baaritaanka tooska ah ee qalabka , , , ΠΈ . Hal arrin (CVE-2020-6510, qulqulka buuxdhaafka ah ee maamulaha asalka keensiga) ayaa lagu calaamadeeyay mid muhiim ah, ie. Waxay kuu ogolaanaysaa inaad dhaafto dhammaan heerarka ilaalinta browserka oo aad ku fuliso kood nidaamka ka baxsan deegaanka sandbox. Iyada oo qayb ka ah barnaamijka lagu bixiyo abaal-marin lacageed oo lagu ogaanayo baylahda sii-deynta hadda, Google waxay bixisay 26 abaal-marinno oo qiimahoodu yahay $21500 (laba abaalmarin $5000 ah, laba abaalmarin $3000, abaal-marin $2000 ah, laba abaalmarin $1000 ah, iyo saddex $500 abaal-marinno). Baaxadda 16-ka abaal-marin weli lama go'aamin.
Source: opennet.ru