Chrome 86-utgåvan

Google har presenterat utgåvan av webbläsaren Chrome 86. Samtidigt är tillgänglig stabil utgåva av det fria projektet Chromium, som utgör grunden för Chrome. Webbläsaren Chrome utmärker sig genom att använda Google-logotyper, ha ett system för att skicka meddelanden vid krasch, möjligheten att ladda ner Flash-modulen vid behov, moduler för att spela upp skyddat videoinnehåll (DRM), ett system för automatisk installation av uppdateringar och överföring vid sökning RLZ-parametrarNästa version av Chrome 87 är planerad till den 17 november.

Huvud för på Chrome 86:

• Skydd mot osäker inmatning av formulär har lagts till på sidor som laddas med HTTPS men skickar data över HTTP, vilket skapar en risk för avlyssning och manipulering av data vid MITM-attacker. Skyddet består av tre förändringar:
  • Autocompletion av blandade inmatningsformulär har inaktiverats, på samma sätt som autocompletion av autentiseringsformulär på sidor som öppnas med HTTP har inaktiverats sedan tidigare. Tidigare var det öppningen av sidan med formuläret över HTTPS eller HTTP som var kriteriet för inaktivering, nu tas även användningen av kryptering vid överföring av data till formulärhanteraren i beaktande. Hanteraren för lösenord för blandade autentiseringsformulär har inte inaktiverats, eftersom risken att använda ett osäkert lösenord och återanvända lösenord på olika webbplatser överstiger risken för potentiell trafikavlyssning.
  • Vid inledningen av inmatning i blandade formulär visas en varning som informerar användaren om att ifyllda data skickas över en okrypterad kanal.
  • Vid försök att skicka ett blandat formulär visas en separat sida med en notifiering om den potentiella risken att överföra data via en okrypterad kanal. I tidigare versioner användes en låsindikation i adressfältet för att indikera blandade formulär, men denna märkning var inte uppenbar för användare och reflekterade effektivt inte de risker som uppstod.
    
• Blockering osäker nedladdning (utan kryptering) av körbara filer kompletterades med blockering av osäker uppladdning av arkiv (zip, iso osv.) och meddelanden vid osäker uppladdning
  av dokument (docx, pdf osv.). I nästa version förväntas blockering av dokument och varning vid bilder, text- och multimediafiler. Blockeringen är genomförd eftersom uppladdning av filer utan kryptering kan användas för att utföra skadliga handlingar genom att manipulera innehållet under MITM-attacker.
• I sammanhangsmenyn visas som standard alternativet 'Visa alltid URL:en helt', vilket tidigare krävde ändringar i inställningarna på sidan about:flags. Den fullständiga URL:en kan också visas genom att klicka två gånger på adressfältet. Kom ihåg att sedan Chrome 76 Som standard visas adressen utan protokoll och underdomänen www. I Chrome 79 inställningen för att återföra det gamla beteendet togs bort, men efter användarnas missnöje i Chrome 83 har en ny experimentell flagga lagts till som lägger till ett alternativ i snabbmenyn för att inaktivera dölja och visa hela URL:en under alla förhållanden.
• För en liten procentandel av användarna har experiment per visningen är som standard endast domänen i adressfältet, utan sökvägs- och fråga parametrar. Till exempel, istället för „https://example.com/secure-google-sign-in/“ kommer „example.com“ att visas. Att göra det här läget tillgängligt för alla användare förväntas i en av de kommande versionerna. För att stänga av detta beteende kan alternativet "Alltid visa fullständig URL" användas, och för att se hela URL:en kan man klicka på adressfältet. Som motiv för förändringen anges vilja att skydda användarna mot phishing som manipulerar parametrar i URL:en - bedragare utnyttjar användarnas oförsiktighet för att skapa en illusion av att öppna en annan webbplats och begå bedrägliga handlingar (om en tekniskt kunnig användare lätt kan upptäcka sådana manipuleringar, så faller ovana användare lätt för dessa enkla trick).
• Återupptagen initiativet att ta bort stöd för FTP. I Chrome 86 är FTP som standard avstängd för cirka 1% av användarna, och i Chrome 87 kommer avstängningens omfattning att öka till 50%, men stöd kan återställas med flaggan "—enable-ftp" eller "—enable-features=FtpProtocol". I Chrome 88 kommer FTP-stödet att stängas helt.
• I Android-versionen, på liknande sätt som i skrivbordsversionen, har en funktion för att kontrollera sparade inloggningar och lösenord införts i lösenordshanteraren, med en varning som ges om problem upptäcks eller försök görs att använda triviala lösenord. Kontrollen utförs mot en databas som omfattar över 4 miljarder komprometterade konton som varit involverade i läckor av användardata. För att bevara privatlivet använder utförs en hash-prefixkontroll på användarsidan, och själva lösenorden och deras fullständiga hashes överförs inte utanför.
• I Android-versionen har också har överförts knappen «Säkerhetskontroll» (Safety check) och det utökade läget för skydd mot farliga webbplatser (Enhanced Safe Browsing). Knappen «Safety check» visar en sammanställning av potentiella säkerhetsproblem, såsom användning av komprometterade lösenord, status för kontroll av skadliga webbplatser (Safe Browsing), eventuell brist på installerade uppdateringar och upptäckta skadliga tillägg. Det utökade skyddsläget aktiverar ytterligare kontroller för att skydda mot phishing, skadlig aktivitet och andra hot på webben, samt inkluderar extra skydd för Google-kontot och Google-tjänster (Gmail, Drive osv.). Om kontroller i det vanliga Safe Browsing-läget genomförs lokalt via en databas som periodiskt laddas ner till klientens system, så skickas i Enhanced Safe Browsing information om sidor och nedladdningar i realtid för verifiering på Googles sida, vilket möjliggör snabb reaktion på hot omedelbart efter att de upptäckts, utan att vänta på att den lokala svarta listan ska uppdateras.
• Tillagd stöd för filindikatorn «.well-known/change-password», med hjälp av vilken webbplatsägare kan ange adressen till webbformuläret för att byta lösenord. Vid upptäckte avkomprometterade användardata kommer Chrome nu omedelbart att erbjudas användaren ett formulär för att ändra lösenordet, utformat baserat på informationen från denna fil.
• En ny säkerhetstipsavisering har implementerats som visas när man öppnar webbplatser vars domäner är mycket lika en annan webbplats, och heuristiken visar att det kan finnas en hög risk för spoofing (till exempel när goog0le.com öppnas istället för google.com).
• Implementerad stöd för bakåt-framåt-cache (Back-forward cache), vilket ger omedelbar navigering när du använder knapparna «Tillbaka» och «Framåt» eller när du navigerar blandt tidigare besökta sidor på den aktuella webbplatsen. Cachen aktiveras med inställningen chrome://flags/#back-forward-cache.
• optimerat CPU-resursanvändning för fönster
  utanför synfältet. Chrome kontrollerar om webbläsarfönstret överlappar med andra fönster och utesluter rendering av pixlar i överlappande områden. Den angivna optimeringen gick in för en liten procentandel av användarna i Chrome 84 och 85, och är nu aktiverad överallt. Jämfört med tidigare versioner har även inkompatibiliteten med virtualiseringssystem åtgärdats, vilket orsakade att tomma vita sidor visades.
• Resursbegränsning för bakgrundflikar har skärpts. Sådana flikar får nu inte använda mer än 1 % av CPU-resurserna och kan aktiveras högst en gång i minuten. Efter fem minuter i bakgrunden fryses flikarna, utom de flikar som spelar upp multimedia eller spelar in.
• Arbetet med enhetligheten av HTTP-headern User-Agent har återupptagits. I den nya versionen har stödet för mekanismen User-Agent Client Hints aktiverats för alla användare., som utvecklas som en ersättning för User-Agent. Den nya mekanismen innebär selektiv överföring av data om specifika parametrar för webbläsaren och systemet (version, plattform, osv.) endast efter en begäran från servern och ger användarna möjlighet att selektivt tillhandahålla sådan information till webbplatsens ägare. Vid användning av User-Agent Client Hints överförs identifieraren inte automatiskt utan en tydlig begäran, vilket gör det omöjligt att genomförapassiv identifiering (endast webbläsarens namn anges som standard).
• Indikationen för tillgängliga uppdateringar och behovet av att starta om webbläsaren för installation har ändrats. Istället för en färgad pil i användaraccountets avatarfält visas nu texten "Update".
  
• Arbete har utförts för att översätta webbläsaren till att använda inkluderande terminologi. I namnen på policyer har orden "whitelist" och "blacklist" ersatts med "allowlist" och "blocklist" (redan tillagda policyer fortsätter att fungera, men en varning kommer att visas om att de har flyttats till en föråldrad kategori). I koden och filnamn har omnämnanden av "blacklist" ersatts med "blocklist".
  Synliga omnämnanden av "blacklist" och "whitelist" har ersatts redan i början av 2019.
• En experimentell funktion för att redigera sparade lösenord har lagts till, aktiveras med hjälp av flaggan "chrome://flags/#edit-passwords-in-settings".
• Översatt till stabila och offentliga API:er Native File System, vilket gör det möjligt att skapa webbaserade applikationer som interagerar med filer i det lokala filsystemet. Till exempel kan det nya API:et vara efterfrågat i webbläsarbaserade integrerade utvecklingsmiljöer, textredigerare, bild- och videoredigerare. För att få möjlighet att direkt läsa och skriva filer eller använda dialoger för att öppna och spara filer samt navigera i kataloginnehållet, begär applikationen särskilt godkännande från användaren.
  
• CSS-väljaren ":focus-visible" har lagts till, som använder samma heuristik som webbläsaren för att avgöra huruvida fokuseringsindikatorn ska visas (när fokus flyttas till en knapp med hjälp av tangentkombinationer visas indikatorn, medan den inte visas vid klick med musen). Den tidigare tillgängliga CSS-väljaren ":focus" markerar alltid fokus.
  Dessutom har en inställning "Quick Focus Highlight" lagts till, där, när den är aktiverad, en extra fokusindikator visas bredvid aktiva element, som förblir synlig även om visuella stilindikatorer för fokus är inaktiverade genom CSS på sidan.
• I läget Origin Trials (experimentella funktioner som kräver separat aktivering) har flera nya API:er lagts till. Origin Trial innebär möjlighet att arbeta med det angivna API:et från applikationer som laddas från localhost eller 127.0.0.1, eller efter registrering och erhållande av en speciell token som gäller under en begränsad tid för en specifik webbplats.
  • API WebHID för lågnivåtillgång till HID-enheter (human interface device, tangentbord, möss, spelkontroller, pekskärmar), som möjliggör logik för arbete med HID-enheten i JavaScript för att hantera sällsynta HID-enheter utan specifika drivrutiner i systemet.
    Först och främst är det nya API:et inriktat på att ge stöd för spelkontroller.
  • API för skärminformation, utökar API:et för fönsterplacering med stöd för konfigurationer med flera skärmar. Till skillnad från window.screen gör det nya API:et det möjligt att manipulera placeringen av fönster i det gemensamma skärmrummet i flerbildssystem utan att begränsa sig till den aktuella skärmen.
  • Meta-taggen battery-savings, via vilken webbplatsen kan informera webbläsaren om behovet av att aktivera energibesparande lägen och optimera CPU-belastning.
  • API COOP-rapportering för att informera om potentiella isoleringsöverträdelser Cross-Origin-Embedder-Policy (COEP) och Cross-Origin-Opener-Policy (COOP), utan att tillämpa faktiska begränsningar.
  • I API Credential Management ett nytt typ av autentiseringsuppgifter har föreslagits PaymentCredential, som ger extra bekräftelse av den pågående betalningstransaktionen. Kontrollpartiet, till exempel banken, har möjlighet att generera en offentlig nyckel PublicKeyCredential som kan begäras av säljaren för att ytterligare säkra bekräftelsen av betalningen.
• I API PointerEvents för att bestämma lutningen av stylusen har stöd för höjdvinklar (vinkeln mellan stylusen och skärmen) och azimut (vinkeln mellan X-axeln och stylusens projektion på skärmen) lagts till, istället för TiltX- och TiltY-vinklarna (vinklar mellan planen från stylusen och en av axlarna samt planen från Y- och Z-axlarna). Dessutom har funktioner för konvertering mellan höjd/azimut och TiltX/TiltY lagts till.
• Kodningen av mellanslag i URL:er har förändrats, när den beräknas i protokollhanterare — metoden navigator.registerProtocolHandler() ersätter mellanslag med "" istället för "+", vilket enhetligar beteendet med andra webbläsare, såsom Firefox.
• I CSS har den pseudo-elementet "::marker" lagts till, vilket gör det möjligt att anpassa färg, storlek, form och typ av siffror och punkter för listor i blocken
  och
  .
  1. Stöd för HTTP-headern Document-Policy, lagts till för att ange åtkomstregler för dokument, liknande sandbox-isoleringsmekanismen för iframe, men mer universell. Till exempel kan man via Document-Policy begränsa användningen av lågkvalitativa bilder, stänga av långsamma JavaScript API:er, konfigurera laddningsregler för iframe, bilder och skript, begränsa det totala dokumentstorleken och trafiken, förbjuda metoder som leder till omritning av sidan, stänga av funktionen Scroll-To-Text.
  2. I element
     har stöd för parametrarna ‘inline-grid’, ‘grid’, ‘inline-flex’ och ‘flex’ lagts till, som anges via CSS-egenskapen ‘display’.
  3. Metod tillagd ParentNode.replaceChildren() för att ersätta alla underordnade element i föräldernoden med en annan DOM-nod. Tidigare kunde man använda en kombination av metoderna node.removeChild() och node.append() eller node.innerHTML och node.append() för att ersätta noder.
  4. Utvidgad spektrum av URL-schema, som är tillåtet för överskrivning med hjälp av registerProtocolHandler(). I listan över scheman ingår decentraliserade protokoll som cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns och ssb, vilket gör det möjligt att definiera länkar till element oberoende av webbplats eller gateway som tillhandahåller åtkomst till resursen.
  5. I API Asynkron Urklipp har stöd för text/html-formatet för kopiering och klippning av HTML via urklippet (vid skrivning och läsning till urklippet utförs städning av farliga HTML-konstruktioner). Denna ändring gör till exempel att det går att organisera kopiering och klippning av formaterad text med bilder och länkar i webbeditorer.
  6. I WebRTC har lagts till möjligheten att ansluta egna databehandlare, som anropas vid kodnings- eller avkodningssteg av WebRTC MediaStreamTrack. Till exempel kan denna möjlighet användas för att lägga till stöd för end-to-end-kryptering av data som överförs via mellanliggande servrar.
  7. I JavaScript-motorn V8 har har påskyndats implementeringen av Number.prototype.toString förbättrats med 75%. Till de asynkrona klasserna har egenskapen .name lagts till med ett tomt värde. Metoden Atomics.wake har tagits bort, vilken tidigare döptes om till Atomics.notify för att överensstämma med ECMA-262-specifikationen. Koden för fuzzing-testverktyget har öppnats JS-Fuzzer.
  8. I den använda baseline-kompilatorn Liftoff för WebAssembly har möjligheten att använda vektorinstruktioner lagts till SIMD för att påskynda beräkningar. Enligt testerna har optimeringen gjort att vissa tester har gått upp till 2,8 gånger snabbare. En annan optimering har betydligt påskyndat anropet från WebAssembly till importerade JavaScript-funktioner.
  9. Utökade Verktyg för webbutvecklare: I panelen Media har information lagts till om spelare som används för att spela video på sidan, inklusive data om händelser, loggar, egenskapsvärden och parametrar för bilddekodning (till exempel kan man avgöra orsakerna till bildförlust och problem vid interaktion från JavaScript).
     

     I kontextmenyn för panelen Elements har en funktion för att skapa skärmdumpar av det valda elementet lagts till (till exempel kan man skapa en skärmdump av en innehållsförteckning eller tabell).

     

     I webbkonsolen har varningspanelen om problem ersatts med ett vanligt meddelande, och problem med tredjeparts-cookies är som standard dolda under fliken Issues och aktiveras med en speciell kryssruta.

     

     I fliken Rendering har knappen "Disable local fonts" lagts till, vilket gör att man kan simulera avsaknad av lokala typsnitt, och i fliken Sensors har möjligheten att simulera användarens inaktivitet lagts till (för appar som använder API:er för Idle Detection).
     

     

     I panelen Application finns detaljerad information om varje iframe, öppet fönster och pop-up-fönster, inklusive data om Cross-Origin-isolering via COEP och COOP.
     

     
  10. Arbetet har påbörjats ersättning av protokollimplementationen QUIC med ett alternativ som utvecklas i IETF-specifikationen, istället för Googles variant QUIC.

  Förutom nyheterna och buggfixarna har nya versionen åtgärdat 35 sårbarheter. Många av sårbarheterna har upptäckts genom automatiserad testning med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. En sårbarhet (CVE-2020-15967, åtkomst till frigjord minnesområde i koden för interaktion med Google Payments) har markerats som kritisk, vilket betyder att den tillåter ompassering av alla skyddsnivåer i webbläsaren och körning av kod i systemet utanför sandbox-miljön. Inom ramen för programmet för belöningar för upptäckta sårbarheter har Google betalat ut 27 belöningar på totalt 71500 USD för den aktuella versionen (en belöning på 15000 USD, tre belöningar på 7500 USD, fem belöningar på 5000 USD, två på 3000 USD, en på 200 USD och två belöningar på 500 USD). Störrelsen på 13 belöningar har ännu inte bestämts.

  Källa: opennet.ru