Chrome 86

Den senaste versionen av Chrome 86 och den stabila utgåvan av Chromium har släppts.

Huvudsakliga förändringar i Chrome 86:

• skydd mot osäker inmatning av formulär på sidor som laddas via HTTPS men skickar data via HTTP.
• Blockeringen av osäker nedladdning (http) av körbara filer har kompletterats med blockering av osäker nedladdning av arkiv (zip, iso osv.) och varningar vid osäker nedladdning av dokument (docx, pdf osv.). I nästa version förväntas blockering av dokument och varning för bilder, text- och multimediafiler. Blockeringen har införts eftersom nedladdning av filer utan kryptering kan användas för att utföra skadliga åtgärder genom att manipulera innehållet vid MITM-attacker.
• I kontextmenyn visas som standard alternativet "Visa alltid URL:er helt", vilket tidigare krävde en ändring av inställningarna på sidan about:flags. Den fullständiga URL:en kan också visas genom att dubbelklicka på adressfältet. Vi påminner om att sedan Chrome 76 visas adressen som standard utan protokoll och underdomän www. I Chrome 79 togs inställningen för att återfå det gamla beteendet bort, men efter användarnas missnöje lades det till en ny experimentell flagga i Chrome 83 som lägger till ett alternativ i kontextmenyn för att stänga av dölja och visa hela URL:en under alla förhållanden.
  För en liten procent av användarna har ett experiment inletts där endast domänen visas som standard i adressfältet, utan sökvägs- och frågeparametrar. Till exempel istället för "https://example.com/secure-google-sign-in/" kommer "example.com" att visas. Fullständig tillgång till det föreslagna läget för alla användare förväntas i en av de kommande versionerna. För att stänga av detta beteende kan alternativet "Visa alltid URL:er helt" användas, och för att visa hela URL:en kan man klicka på adressfältet. Motivet till förändringen anges som önskan att skydda användare mot phishing, som manipulerar parametrarna i URL:en - brottslingar utnyttjar användares ouppmärksamhet för att skapa en illusion av att de öppnar en annan webbplats och utför bedrägliga handlingar (även om sådana manipulationer är uppenbara för tekniskt kunniga användare, kan oerfarna användare enkelt gå på dessa enkla knep).
• Initiativet att ta bort FTP-stödet har återupptagits. I Chrome 86 är FTP avstängd som standard för cirka 1 % av användarna, och i Chrome 87 kommer omfattningen av avstängningen att öka till 50 %, men stödet kan återaktiveras med flaggan "—enable-ftp" eller "—enable-features=FtpProtocol". I Chrome 88 kommer FTP-stödet att stängas av helt.
• I Android-versionen, likt desktopversionen, har funktionen för att kontrollera sparade inloggningar och lösenord implementerats baserat på en databas med komprometterade konton, med varningsmeddelanden vid identifiering av problem eller användning av svaga lösenord. Kontroll utförs med en databas som omfattar över 4 miljarder komprometterade konton som varit involverade i läckor av användardata. För att skydda privatlivet tillämpas en hash-prefixjämförelse på användarsidan, och lösenorden samt deras fullständiga hashar överförs inte utanför.
• I Android-versionen har även knappen "Säkerhetskontroll" (Safety check) och det förbättrade skyddet mot farliga webbplatser (Enhanced Safe Browsing) flyttats. Knappen "Safety check" visar en sammanställning av potentiella säkerhetsproblem, såsom användning av komprometterade lösenord, status för skanning av skadliga webbplatser (Safe Browsing), tillgänglighet av obeställda uppdateringar och identifiering av skadliga tillägg. Det förbättrade skyddet aktiverar ytterligare kontroller för att skydda mot phishing, skadlig aktivitet och andra hot på webben, samt inkluderar extra skydd för Google-konton och Googles tjänster (Gmail, Drive, etc.). Om kontroller i det vanliga Safe Browsing-läget sker lokalt via en databas som periodiskt laddas ner till klientens system, skickas information om sidor och nedladdningar i realtid för kontroll till Google i Enhanced Safe Browsing, vilket möjliggör snabb reaktion på hot så snart de upptäcks, utan att vänta på att den lokala svarta listan ska uppdateras.
• Stöd för indikatorsfilen ".well-known/change-password" har lagts till, vilket ger webbplatsägare möjlighet att ange adressen till webbformuläret för att ändra lösenord. Vid upptäckten av komprometterade användardata kommer Chrome nu omedelbart att erbjuda användaren ett formulär för att ändra lösenordet, baserat på information från denna fil.
• En ny varning "Safety Tip" har implementerats, som visas när du öppnar webbplatser vars domäner är mycket lika en annan webbplats och heuristiken visar att det finns en stor risk för spoofing (till exempel om goog0le.com öppnas istället för google.com).

  * Stöd för back-forward-cache har implementerats, vilket ger omedelbar navigering med "Tillbaka" och "Framåt" knapparna eller när du navigerar bland tidigare besökta sidor på den aktuella webbplatsen. Cachen aktiveras genom inställningen chrome://flags/#back-forward-cache.
• Optimering av CPU-resursanvändning för fönster utanför synfältet. Chrome kontrollerar om webbläsarfönstret kan övertäckas av andra fönster och utesluter rendering av pixlar i överlappande områden. Denna optimering aktiverades för en liten procentandel av användarna i Chrome 84 och 85 och är nu aktiverad för alla. Jämfört med tidigare versioner har även inkompatibiliteten med virtualiseringssystem åtgärdats, vilket ledde till tomma vita sidor.
• Resursbegränsningar för bakgrundsfanerna har förstärkts. Sådana flikar kan nu inte konsumera mer än 1 % av CPU-resurserna och kan aktiveras högst en gång per minut. Efter fem minuter i bakgrunden fryses flikar, utom för de flikar där multimedia innehåll spelas eller registreras.
• Arbetet med att standardisera HTTP-headern User-Agent har återupptagits. I den nya versionen aktiveras stöd för User-Agent Client Hints-mekanismen för alla användare, vilket utvecklas som ett alternativ till User-Agent. Den nya mekanismen innebär selektiv överföring av specifika data om webbläsarens och systemets parametrar (version, plattform, etc.) endast efter begäran från servern och ger användarna möjlighet att selektivt tillhandahålla sådan information till webbplatsägarena. Vid användning av User-Agent Client Hints överförs identifieraren inte som standard utan ett uttryckligt begärande, vilket gör passiv identifiering omöjlig (endast webbläsarens namn anges som standard).
  Indikeringen av en tillgänglig uppdatering och behovet av att starta om webbläsaren för installation har förändrats. Istället för en färgad pil i användarkontots avatar visas nu meddelandet "Update".
• Översättningen av webbläsaren har genomförts med fokus på inkluderande terminologi. I policyerna har orden "whitelist" och "blacklist" ersatts med "allowlist" och "blocklist" (de tidigare tillagda policyn kommer fortsätta att fungera, men ett varningsmeddelande om att de går över till en föråldrad status kommer att visas). I koden och filnamnen har hänvisningar till "blacklist" ersatts med "blocklist". Användarvänliga hänvisningar till "blacklist" och "whitelist" ersattes redan i början av 2019.
  En experimentell funktion för att redigera sparade lösenord har lagts till, aktiveras med flaggan "chrome://flags/#edit-passwords-in-settings".
• API:et för Native File System har nu övergått till att vara stabilt och allmänt tillgängligt, vilket möjliggör skapandet av web-applikationer som interagerar med filer i det lokala filsystemet. Det nya API:et kan exempelvis vara efterfrågat i integrerade utvecklingsmiljöer, text-, bild- och videoredigerare som körs i webbläsaren. För att få möjlighet till direkt läsning och skrivning av filer, eller för att använda dialogrutor för att öppna och spara filer samt navigera i kataloginnehåll, måste applikationen begära speciellt godkännande från användaren.
• En CSS-väljare ":focus-visible" har lagts till, som använder samma heuristik som webbläsaren gör för att avgöra om fokusindikatorn ska visas (när fokus flyttas till en knapp med tangentbordsgenvägar visas indikationen, men inte vid mus-klick). Den tidigare tillgängliga CSS-väljaren ":focus" markerar alltid fokus. Dessutom har ett alternativ för "Quick Focus Highlight" lagts till i inställningarna, där ett extra fokusindikatör visas bredvid aktiva element när det är aktiverat, vilket gör det synligt även om stilstöden för visuell fokusmarkering har stängts av via CSS.
• I läget Origin Trials (experimentella funktioner som kräver separat aktivering) har flera nya API:er lagts till. Origin Trial innebär möjlighet att arbeta med det angivna API:et från applikationer som laddas från localhost eller 127.0.0.1, eller efter registrering och erhållande av en speciell token som gäller under en begränsad tid för en specifik webbplats.
• API:et WebHID för låg nivå åtkomst till HID-enheter (Human Interface Device, tangentbord, möss, spelkontroller, pekplattor), vilket gör det möjligt att implementera logik för arbete med HID-enheter i JavaScript för att kunna arbeta med ovanliga HID-enheter utan specifika drivrutiner i systemet. Det nya API:et är främst inriktat på att ge stöd för spelkontroller.
• API Skärminformation utökar API Fönsterplaceringens möjligheter med stöd för konfigurationer med flera skärmar. Till skillnad från window.screen, möjliggör den nya API:et manipulering av fönsterplaceringen i det gemensamma skärmutrymmet av flermonitor system, utan att vara begränsad till den aktuella skärmen.
• Meta-taggen battery-savings, genom vilken webbplatsen kan informera webbläsaren om behovet av att aktivera energibesparingslägen och optimera CPU-belastning.
• API COOP Rapportering för att informera om potentiella överträdelser av Cross-Origin-Embedder-Policy (COEP) och Cross-Origin-Opener-Policy (COOP), utan att tillämpa faktiska begränsningar.
• I API Credential Management föreslås en ny typ av autentiseringsuppgifter PaymentCredential, som ger en extra bekräftelse på genomförda betalningstransaktioner. Den kontrollerande parten, exempelvis en bank, har möjlighet att generera en offentlig nyckel PublicKeyCredential, som kan begäras av säljaren för att ge en extra säker bekräftelse av betalningen.
• I API PointerEvents för att definiera lutningen av stylus har stöd för höjdvinklar (vinkeln mellan stylus och skärmen) och azimut (vinkeln mellan X-axeln och projektionen av stylus på skärmen) lagts till, istället för TiltX och TiltY (vinklarna mellan stylusplanet och en av axlarna och Y-Z plan). Även funktioner för konvertering mellan höjd/azimut och TiltX/TiltY har lagts till.
• Kodningen av mellanslag i URL har ändrats, eftersom den i protokollhanterare – metoden navigator.registerProtocolHandler() nu ersätter mellanslag med "" istället för " + ", vilket enhetliggör beteendet med andra webbläsare som Firefox.
• I CSS har den pseudo-elementet "::marker" lagts till, vilket möjliggör anpassning av färg, storlek, form och typ av siffror och punkter för listor i block
  och
  .
  1. Stöd för HTTP-huvudet Document-Policy har lagts till, vilket möjliggör att ställa in åtkomstregler för dokument, liknande sandbox-isolationsmekanismen för iframe, men mer universell. Genom Document-Policy kan man till exempel begränsa användningen av lågkvalitativa bilder, stänga av långsamma JavaScript API:er, ställa in regler för inläsning av iframes, bilder och skript, begränsa den totala storleken på dokumentet och trafiken, förbjuda metoder som leder till omritning av sidan och stänga av Scroll-To-Text funktionen.
  2. I elementet
     har stöd för parametrarna 'inline-grid', 'grid', 'inline-flex' och 'flex' lagts till, som definieras genom CSS-egenskapen 'display'.
  3. Metoden ParentNode.replaceChildren() har lagts till för att ersätta alla barnobjekt i en förälder med ett annat DOM-objekt. Tidigare kunde noder ersättas med en kombination av metoderna node.removeChild() och node.append() eller node.innerHTML och node.append().
  4. Spektrumet av URL-scheman som är tillåtna för åsidosättande via registerProtocolHandler() har utökats. Till listan över scheman har decentraliserade protokoll som cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns och ssb lagts till, vilket möjliggör definiering av länkar till objekt oavsett webbplats eller gateway som tillhandahåller åtkomst till resursen.
  5. I API:et för Asynchronous Clipboard har stöd för formatet text/html lagts till för att kopiera och klistra in HTML via urklippet (under skrivning och läsning i urklippet utförs en rengöring av farliga HTML-strukturer). Denna ändring gör det möjligt att organisera infogning och kopiering av formaterad text med bilder och länkar i webbredigerare.
  6. WebRTC har fått möjlighet att ansluta egna databehandlare, som anropas under kodning eller avkodning av WebRTC MediaStreamTrack. Denna funktion kan till exempel användas för att lägga till stöd för end-to-end-kryptering av data som överförs genom mellanservrar.
     I JavaScript-motorn V8 har implementeringen av Number.prototype.toString påskyndats med 75%. Till de asynkrona klasserna har en egenskap .name med ett tomt värde lagts till. Metoden Atomics.wake, som tidigare döptes om till Atomics.notify för att överensstämma med specifikationen ECMA-262, har tagits bort. Koden för verktyget för fuzzing-testning, JS-Fuzzer, har öppnats.
  7. I den tidigare versionens inledande (baseline) kompilator, Liftoff för WebAssembly, har möjligheten att använda vektoriserade instruktioner SIMD lagts till för att accelerera beräkningarna. Testerna visar att optimeringen har ökat hastigheten för vissa tester med 2,8 gånger. En annan optimering har möjliggjort en betydande ökning av hastigheten vid anrop av av JavaScript-importerade funktioner från WebAssembly.
  8. Verktygen för webbutvecklare har utökats: I Media-panelen har information om spelare som används för att spela upp video på sidan lagts till, inklusive data om händelser, loggar, värden på egenskaper och parametrar för dekodning av ramar (till exempel kan orsaken till ramförlust och problem vid interaktion från JavaScript fastställas).
  9. I kontextmenyn för panelen Element har möjligheten att skapa skärmbilder av det valda elementet lagts till (till exempel kan du skapa en skärmbild av innehållsförteckningen eller tabellen).
  10. I webbkonsolen har varningspanelen om problem ersatts med ett vanligt meddelande, och problem med tredjepartscookies döljs som standard under fliken Problem och aktiveras med en speciell kryssruta.
  11. Under fliken Rendering har en knapp för 'Inaktivera lokala typsnitt' lagts till, vilket gör att du kan simulera en avsaknad av lokala typsnitt, och under fliken Sensorn finns det nu möjlighet att simulera användarens inaktivitet (för appar som använder Idle Detection API).
  12. I panelen Tillämpning finns detaljerad information om varje iframe, öppet fönster och pop-ups, inklusive data om Cross-Origin-isolering med hjälp av COEP och COOP.

  Implementeringen av QUIC-protokollet har påbörjats, där den version som utvecklas enligt IETF-specifikationen ersätter Googles variant av QUIC.
  Förutom nyheterna och buggfixarna i den nya versionen har 35 sårbarheter åtgärdats. Många av sårbarheterna upptäcktes som ett resultat av automatiserad testning med verktyg som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer och AFL. En sårbarhet (CVE-2020-15967, åtkomst till frigjord minnesområde i koden för interaktion med Google Payments) har märkts som kritisk, vilket innebär att den möjliggör att kringgå alla nivåer av webbläsarsäkerhet och köra kod i systemet utanför sandbox-miljön. Inom ramen för programmet för belöningar för att upptäcka sårbarheter har Google för den aktuella versionen betalat ut 27 belöningar på totalt 71500 dollar (en belöning på 15000 dollar, tre belöningar på 7500 dollar, fem belöningar på 5000 dollar, två på 3000 dollar, en på 200 dollar och två belöningar på 500 dollar). Storleken på 13 av belöningarna är för närvarande inte fastställd.

  Taget från Opennet.ru

  Källa: linux.org.ru