Lëshimi i Chrome 79

Kompania Google ka prezantuar lëshimi i shfletuesit web Chrome 79. Në të njëjtën kohë është në dispozicion një publikim stabil i projektit të lirë Chromium, që shërben si baza e Chrome. Shfletuesi Chrome dallohet përdorimin e logove të Google, praninë e sistemit për dërgimin e njoftimeve në rast rrëzimi, mundësinë për të ngarkuar modulin Flash sipas kërkesës, module për riprodhimin e përmbajtjes së mbrojtur (DRM), sistemin automatik të instalimit të përditësimeve dhe transmetimin gjatë kërkimit të parametrave RLZ. Publikimi tjetër i Chrome 80 është parashikuar më 4 shkurt.

Main ndryshime në Chrome 79:

• Aktivizuar komponenti Password Checkup, i cili është dizajnuar për të analizuar fortësinë e fjalëkalimeve të përdorura nga përdoruesi. Gjatë përpjekjes për të hyrë në çdo sit, Password Checkup ekzekuton kontrollin e login dhe fjalëkalimit në bazën e të dhënave të llogarive të komprometuara me njoftimin në rast identifikimi të problemeve (kontrolli bëhet mbi bazën e prefiksit të hash-it në anën e përdoruesit). Kontrolli bëhet mbi një bazë që mbulon mbi 4 miliard llogari të komprometuara, të cilat janë përfshirë në rrjedhjet e bazave të të dhënave të përdoruesve. Një njoftim i tillë jepet gjithashtu gjatë përpjekjes për të përdorur fjalëkalime triviale, si 'abc123'. Për menaxhimin e aktivizimit të Password Checkup, është realizuar një konfigurim i veçantë në seksionin 'Sinkronizimi dhe Shërbimet e Google'.
• Është prezantuar një teknologji e re për zbuluar phishing-un në kohë reale. Më parë kontrolli bëhej përmes kërkesës në listat e zeza të ngarkuara lokal, të cilat përditësoheshin rreth çdo 30 minuta, gjë që u tregua e pamjaftueshme, për shembull, në kushte të kalimeve të shpeshta të domain-eve nga ata që posedonin keqdashje. Metoda e re lejon kontrollin e URL-ve në flutur, me një kontroll paraprak në listat e bardha, të cilat përfshijnë hash-et e mijëra faqeve të njohura dhe të besueshme. Nëse faqja e hapur nuk është në listën e bardhë, atëherë shfletuesi kontrollon URL-në në serverin e Google, duke dërguar 32 bitët e parë të hash SHA-256 të lidhjes, nga e cila janë hequr të dhënat personale të mundshme. Sipas vlerësimit të Google, qasja e re rrit efektivitetin e njoftimeve për faqet e reja të phishing-ut me 30%.
• Është shtuar një mbrojtje parandalusese ndaj transferimit të akreditivave të Google dhe çdo fjalëkalimi të ruajtur në menaxherin e fjalëkalimeve përmes faqeve phishing. Gjatë përpjekjes për të futur një fjalëkalim të ruajtur në një faqe, ku zakonisht ky fjalëkalim nuk aplikohet, përdoruesit do t'i paraqitet një njoftim për një veprim potencialisht të rrezikshëm.
• Për lidhjet që përdorin TLS 1.0 dhe 1.1 tani shfaqet një tregues për lidhje jo të sigurta. Mbështetje e plotë për TLS 1.0 dhe 1.1 do të çaktivizohet në Chrome 81, e cila është parashikuar për 17 mars 2020.
• është shtuar mundësia për të ngrirë skedat jo aktive, e cila lejon shkarkimin automatik nga memoria të skedave që ndodhen në gjendje sfondi për më shumë se 5 minuta dhe nuk kryejnë veprime të rëndësishme. Vendimi mbi përshtatshmërinë e çdo skede për të u ngrirë merret në bazë të heuristikës. Menaxhimi i aktivizimit të kësaj funksioni bëhet përmes flamurit «chrome://flags/#proactive-tab-freeze».
• Siguruar bllokimin e përmbajtjes së përzierë në faqet e hapura përmes HTTPS për të garantuar që faqet e hapura përmes https:// përmbajnë vetëm burime të ngarkuara përmes një kanali komunikimi të sigurt. Megjithëse llojet më të rrezikshme të përmbajtjes së përzierë, si skriptet dhe iframe, tashmë bllokohen nga parazgjedhja, imazhet, skedarët audio dhe videot ende mund të ngarkohen përmes http://. Treguesi i mëparshëm i përmbajtjes së përzierë për këto përfshirje është shpallur i paefektshëm dhe mashtrues për përdoruesit, pasi nuk ofron një vlerësim të qartë të sigurisë së faqes. Për shembull, përmes zëvendësimit të imazheve, një sulmues mund të fusë cookie për ndjekjen e veprimeve të përdoruesit, të përpiqet të shfrytëzojë dobësitë në menaxhuesit e imazheve ose të kryejë mashtrime duke zëvendësuar informacionin e paraqitur në imazh. Për të çaktivizuar bllokimin e përbërësve të përzierë, është shtuar një cilësim i veçantë, i cilësuar përmes menusë që shfaqet kur klikoni në simbolin e çelësit.
• është shtuar një mundësi eksperimentale për ndarjen e përmbajtjes së buferit të shkëmbimit midis versioneve desktop dhe mobile të Chrome. Në instancat e lidhura me një llogari të vetëm Chrome tani mund të aksesoni përmbajtjen e buferit të shkëmbimit të një pajisjeje tjetër, duke përfshirë ndarjen e buferit të shkëmbimit midis sistemit mobil dhe atij desktop. Përmbajtja e buferit të shkëmbimit është e enkriptuar me enkriptimin end-to-end, duke mos lejuar qasje në tekstin në serverat e Google. Funksioni aktivizohet përmes opsioneve chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui dhe chrome://flags#sync-clipboard-service.
• Në shiritin e adresës, në disa momente (p.sh., kur ruani fjalëkalimin) me sinkronizimin e profilit të çaktivizuar, është siguruar që emri i llogarisë aktuale në Google të shfaqet përveç avatarit, që përdoruesi të mund ta identifikojë saktë llogarinë aktive.
• Aktivizuar për 1% të përdoruesve поддержка "DNS mbi HTTPS" (DoH, DNS over HTTPS). Në eksperiment po marrin pjesë vetëm përdoruesit, të cilët në cilësimet sistemore kanë specifikuar ofrues DNS që mbështesin DoH. Për shembull, nëse përdoruesi ka specifikuar DNS 8.8.8.8, atëherë shërbimi DoH i Google do të aktivizohet në Chrome ("https://dns.google.com/dns-query"), nëse DNS është 1.1.1.1, atëherë shërbimi DoH i Cloudflare ("https://cloudflare-dns.com/dns-query") etj. Për të menaxhuar aktivizimin e DoH, është parashikuar një cilësim "chrome://flags/#dns-over-https". Mbështeten tre modulet e punës "secure", "automatic" dhe "off". Në modin "secure", hostet përcaktohen vetëm në bazë të vlerave të sigurta të ruajtura më parë (të marra nëpërmjet një lidhjeje të sigurt) dhe kërkesave përmes DoH, rikthimi në DNS të zakonshëm nuk aplikohet. Në modin "automatic" nëse DoH dhe cache i sigurt nuk janë të disponueshmen, lejohet marrja e të dhënave nga cache e pasigurt dhe kërkesa përmes DNS të zakonshëm. Në modin "off", fillimisht kontrollohet cache i përgjithshëm dhe nëse nuk ka të dhëna, kërkesa dërgohet përmes DNS sistemor.
• Shtuar eksperimentale поддержка keshimin e përmbajtjes së vizatuar kur ndryshoni faqet me butonat përpara dhe mbrapa, duke lejuar një ulje të dukshme të vonesave me këtë lloj navigimi përmes plotësisht keshimit të faqes, pa kërkuar vizatim të ri dhe ngarkim burimesh. Optimizimi është veçanërisht i dukshëm në versionin për pajisjet mobile, ku rritja e performancës gjatë navigimit arrin deri në 19%. Modin e aktivizoni me opsionin "chrome://flags#back-forward-cache".
• E hequr cilësimin "chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains", që lejonte kthimin e shfaqjes së protokollit në shiritin e adresës (tani të gjitha lidhjet shfaqen gjithmonë pa https:// dhe http://, ashtu si dhe pa "www.").
• Në ndërtimet për Windows është përfshirë izolimi sandbox i shërbimit të riprodhimit të zërit. Për të menaxhuar aktivizimin e izolimit, është propozuar pronësia AudioSandboxEnabled.
• Në qendrën e administratës qendrore për ndërmarrjet është implementuar mundësia për të përcaktuar rregulla që madhësia e memories që një instancë e shfletuesit mund të konsumojë deri sa të fillojnë të shkarkohen skedat në sfond. Memoria e çliruar pas shkarkimit të skedës bëhet e disponueshme për përdorim, dhe përmbajtja e skedës shkarkohet përsëri kur kaloni në të.
• Në Linux është aktivizuar një kontrollues i integruar për verifikimin e certifikatave, i cili zëvendësoi sistemin e mëparshëm NSS. Ky kontrollues i integruar vazhdon të përdorë depot NSS gjatë verifikimit, por imponon kërkesa më të rënda gjatë përpunimit të certifikatave të koduara keq dhe certifikatave të ndara (të gjitha certifikatave u kërkohet të certifikohen nga një autoritet certifikimi).
• Në versionin për platformën Android është shtuar mundësia për caktimin e ikonave adaptuese për aplikacionet web të instaluara, që funksionojnë në modin Progressive Web Apps (PWA). Ikonat adaptuese mund të përshtaten me ndërfaqen që përdoret nga prodhuesi i pajisjes, për shembull, të jenë të rrumbullakosura, katrore ose me kënde të zbutura.
• Shtuar API WebXR Device, duke ofruar akses në komponentët për krijimin e realitetit virtual dhe atij të shtuar. API-ja lejon unifikimin e punës me klasat e ndryshme të pajisjeve, nga helmetë të qëndrueshme të realitetit virtual, të ngjashme me Oculus Rift, HTC Vive dhe Windows Mixed Reality, deri në zgjidhje të bazuara në pajisje mobile, si Google Daydream View dhe Samsung Gear VR. Nga aplikacionet në të cilat mund të aplikohet ky API i ri përmenden programet për shikimin e videove në mënyrë 360°, sistemet e vizualizimit të hapësirës tridimensionale, krijimi i kinoteatrave virtualë për prezantimin e videove, realizimi i eksperimenteve në krijimin e ndërfaqeve 3D për dyqane dhe galerira;
  
• Në modin Origin Trials (mundësi eksperimentale, që kërkon aktivizim të veçantë aktivizimi) janë propozuar disa API të reja. Origin Trial nënkupton mundësinë e punës me API-në e caktuar nga aplikacionet e ngarkuara nga localhost ose 127.0.0.1, ose pas regjistrimit dhe marrjes së një token të veçantë, i cili ka një periudhë të kufizuar veprimi për një faqe specifike.
  • Për të gjithë elementët HTML është propozuar atributi «rendersubtree», i cili siguron fiksimin e shfaqjes së DOM-elementit. Kur atributit i jepet vlera «invisible», përmbajtja e elementit nuk do të vizatohet dhe të kontrollohet, duke mundësuar optimizimin e renderimit. Kur vlera e vendoset në «activatable», shfletuesi do të heqë atributin e padukshëm, do të vizatojë përmbajtjen dhe do ta bëjë atë të dukshme.
  • Shtuar opsioni API Wake Lock bazuar në mekanizmin Promise, duke ofruar një mënyrë më të sigurt për të menaxhuar fikjen automatike të ekranit dhe kalimin e pajisjeve në modet e kursimit të energjisë.
• Realizuar mundësia e përdorimit të atributit autofocus për të gjithë elementët HTML dhe SVG, mbi të cilët mund të vendoset fokusi i inputit.
• Për imazhet dhe videot është siguruar llogaritja e raportit të aspektit të bazuar në atributet Width ose Height, që mund të përdoret për të përcaktuar madhësinë e imazhit duke përdorur CSS në fazën kur imazhi ende nuk është ngarkuar (zgjidh problemin me riciklimin e faqes pas ngarkimit të imazheve).
• Shtuar pronën CSS font-optical-sizing, e cila automatikisht përcakton madhësinë e fontit të ndryshueshëm (variable font) në koordinatat optike «opsz», nëse fonti e mbështet atë. Rejimi lejon të zgjidhet forma optimale e glifit për madhësinë e caktuar, për shembull, përdorimi i glifave më kontrastante për titujt.
• Shtuar pronën CSS list-style-type, e cila lejon përdorimin e çdo simboli në vend të pikave në lista, për shembull, «-«, «+», «★» dhe «▸».
• Në rast se nuk është e mundur të ekzekutohet Worklet.addModule(), tani kthehet një objekt me informacion të detajuar mbi natyrën e gabimit, i cili lejon vlerësimin më të saktë të shkakut të gabimit (probleme me lidhjen në rrjet, sintaksë të papërshtatshme etj.).
• I është ndaluar përpunimi i elementeve kur ato transferohen midis dokumenteve. Kur transferohen midis dokumenteve, gjithashtu është ndaluar ekzekutimi i ngjarjeve të lidhura me skriptin «error» dhe «load».
• Në motorin JavaScript V8 është realizuar optimizimi i përpunimit të ndryshimeve të pamjes së fushave në objekte, si rezultat i të cilit ekzekutimi i kodit AngularJS në setin e testeve Speedometer u bë 4% më i shpejtë.
  
• Në V8 është optimizuar gjithashtu përpunimi i getter-ave, të përcaktuar në API-të e integruara, si Node.nodeType dhe Node.nodeName, në kushte të mungesës së procesorit IC (inline caching). Ky ndryshim ka reduktuar afërsisht me 12% shpenzimet e kohës në runtime të IC gjatë ekzekutimit të testeve Backbone dhe jQuery nga grupi Speedometer.
  
• Ska e siguruar caching të rezultateve të mekanizmit OSR (called on-stack replacement), i cili bën zëvendësimin e kodit të optimizuar gjatë ekzekutimit të funksionit (lejon përdorimin e kodit të optimizuar për funksionet që ekzekutohen për një kohë të gjatë, pa pritur rilansimin e tyre). Caching OSR mundëson përdorimin e rezultateve të optimizimit edhe gjatë rilansimit të funksionit, pa pasur nevojë për një optimizim të ri.
  Në disa teste, ndryshimi ka rritur kapacitetin maksimal nga 5–18%.
  
• Ndryshime në mjetet për zhvillimin web:
  Ka lindur një mod të gjurmimit për të përcaktuar arsyet e bllokimit të kërkesës ose dërgimin e Cookie.
  
  • Në bllokun me listën e Cookie-së është shtuar mundësia për të parë shpejt vlerën e Cookie-së së zgjedhur duke klikuar në një rresht të caktuar.
    
  • Shtuar mundësia e simulimit të konfigurimeve të ndryshme për media-kërkesat prefers-color-scheme dhe prefers-reduced-motion (për shembull, për të kontrolluar sjelljen e faqes gjatë temës së errët sistematike ose kur efektet e animuara janë të çaktivizuara).
    
  • Modernizuar paraqitjen e skedës Coverage, e cila lejon vlerësimin e kodit të përdorur dhe të papërdorur. Shtuar mundësia për filtrimin e informacionit sipas llojit të tij (JavaScript, CSS). Informacioni mbi përdorimin e kodit gjithashtu është shtuar kur shfaqet teksti burimor.
    
  • Shtuar mundësia për të gjurmuar arsyet e kërkesës për një burim rrjetik të caktuar pas regjistrimit të aktiviteteve rrjetike (mund të shihni gjurmimin e thirrjes të kodit JavaScript që çoi në ngarkimin e burimit).
    
  • Shtuar konfigurimi "Settings > Preferences > Sources > Default Indentation" për të përcaktuar llojin e hapësirës (2/4/8 hapësira ose tab) në kodin që shfaqet në panelin e Console dhe Sources.

Përveç inovacioneve dhe rregullimeve të defekteve, versioni i ri eliminoi 51 vulnerabilitetet. Shumica e vulnerabiliteteve janë identifikuar si rezultat i testimeve automatike me mjete si AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer dhe AFL. Dy probleme (CVE-2019-13725, qasja në një zonë memorje të liruar tashmë në kodin për mbështetje Bluetooth, dhe CVE-2019-13726, mbushja e piles në menaxherin e fjalëkalimeve) janë shpallur si kritike, d.m.th. lejojnë kalimin të gjitha niveleve të mbrojtjes së shfletuesit dhe ekzekutimin e kodit në sistem përtej mjedisit sandbox. Këto dy probleme kritike janë identifikuar për herë të parë brenda një cikli zhvillimi në Chrome. Vulnerabiliteti i parë u zbulua nga hulumtuesit e perusahaanit Tencent Keen Security Lab dhe u demonstruar në garën Tianfu Cup, ndërsa të dytin e zbuloi Sergey Glazunov nga Google Project Zero.

Në kuadër të programit për shpërblimin e parave për zbulimin e vulnerabiliteteve për versionin aktual, kompania Google ka paguar 37 shpërblime me një total prej 80000 dollarësh amerikanë (një shpërblim $20000, një shpërblim $10000, dy shpërblime $7500, katër shpërblime $5000, një shpërblim $3000, dy shpërblime $2000, dy shpërblime $1000 dhe tetë shpërblime $500). Shuma e 15 shpërblimeve ende nuk është përcaktuar.

Burimi: opennet.ru