Hamarosan lesújt a Chrome HTTP-hóhéra

A fejlesztők puttonyában mindjárt két fontos biztonsági újítás is van, igaz már mindkettőt láthattuk jönni. Az egyik ilyen a mezei HTTP-t használó oldalak kiemelése: a Google már idén februárban megígérte, hogy júliusban, a Chrome 68-as verziójával kezdődően egyértelműen jelzi majd, hogy a HTTPS nélküli weblapok nem biztonságosak, most pedig már itt van a küszöbön a szigorítást ígérő Chrome verzió.

Szerencsére HTTPS használati arányok folyamatosan javulnak, tavaly év eleje óta a titkosítást használó weboldalak aránya 51 százalékról 71-re emelkedett, illetve az egymillió legnézettebb weboldalnak már 20 százalék helyett mintegy fele irányítja át az érkezőket HTTPS kapcsolatra. Ahogy arra kapcsolódó blogposztjában Troy Hunt biztonsági szakértő is kitér, az utóbbi évben tapasztalt, lendületes átállási hullám épp a Google-éhoz hasonló kezdeményezéseknek köszönhető, a hagyományos HTTP mellett felbukkanó, feltűnő "nem biztonságos" tábla sokaknak elég motivációt nyújtott a váltáshoz.

De a HTTPS egyszerűbb bevezetése is komoly hatással lehetett az adoptációra, az olyan, automatizált, ingyenes tanúsítványkibocsátók mint a Let's Encrypt ugyanis nagyságrendekkel könnyebbé teszik a technológia bevezetését. Korábban a nehézkes és drága procedúra sok oldalt riasztott el a HTTPS bevezetésétől, a Let's Encrypt kezdeményezés azonban hatalmas sikernek bizonyult - a megoldás néhány hónap alatt messze a legnépszerűbb tanúsítványibocsátóvá nőtte ki magát. A Google egyébként maga is bőven kínál segítséget a folyamathoz a fejlesztőknek - napokon belül pedig a retorziókat is elkezdi kiosztani azoknak, akik még nem vették a fáradtságot az átállásra.

Ha már a biztonságnál járunk, szintén említést érdemel a már most, a Chrome 67-tel elérhető Site Isolation, amely a böngésző minden egyes weboldal dokumentumait külön renderelő folyamathoz köti, ezáltal meggátolva az oldalak közötti átjárhatóságra építő sérülékenységeket. A megoldás további előnye, hogy egy-egy esetlegesen összeomló oldal nem rántja magával a külön folyamatban futó lapokat. A megoldás már tavaly óta elérhető volt az extra biztonságot igénylő vállalati felhasználók számára, ugyanakkor a Google szerint mára eleget csiszoltak rajta, hogy azt a cég alapértelmezetten is bekapcsolja minden Chrome-használónak, Windows, Mac, Linux és Chrome OS platformokon egyaránt - illetve a Spectre sebezhetőség által jelentett fenyegetés miatt is idejét látta a cég a funkció széles körű aktiválásának. Noha a megoldás egész biztosan jobb védelmet hoz, a nagyobb biztonsági nincs ingyen, a Site Isolation miatt a böngésző érezhetően több memóriát fogyaszt - tavaly, mikor a megoldás még nagyvállalatokat célzott, a cég 10-20 százalékkal megnövekedett RAM-étvágyról beszélt, azt egyelőre nem tudni pontosan, ebből sikerült-e lefaragni az elmúlt időszakban.

De nem csak a Chrome pajzsát éri a tatarozás, a szoftver asztali verzióját külsőre is alaposan átszabja a cég: ahogy az a Chrome Canary verziójában már tetten érhető, nagy lendülettel közeledik a Material Design frissítés az asztali kiadásra is. Ennek első lépése, hogy a böngésző felső sávjában elhelyezkedő lapfülek közül már csak az éppen aktív fül körvonalait rajzolja meg a szoftver, a többi a háttérbe olvad, és csak egy kis függőleges elválasztóvonalat kap. Emellett az aktív fül sem a megszokott trapéz formában jelenik meg, helyette egy a Google-től megszokott Material Design tervezési elvhez sokkal jobban illeszkedő, lekerekített sarkú téglalapon vonul fel az adott oldal címe-logója. Mindezek mellett az URL sáv végei is lekerekednek. A megjelenés érdekes módon leginkább a Firefox előző, Australis néven ismert interfészére emlékeztet, kissé modernizált kivitelben. Az új külsővel a cég egy évtizede megszokott formatervtől köszön el - a frissített megjelenés a Chrome Canary azaz fejlesztői kiadásában már kipróbálható, azt viszont nem tudni, pontosan mikor jut el a stabil változatba is.

A Gitlab mint DevSecOps platform (x) Gyere el Radovan Baćović (Gitlab, Data Engineer) előadására a november 7-i DevOps Natives meetupon.

A dizájnfrissítéseket a Google a "Material-refresh for Windows, Linux, and Chrome OS" pakk néven emlegeti - noha a listából a macOS kimaradt, azonban a böngésző egyik fejlesztője François Beaufort Google+ posztjában elárulta, hogy a két flag módosításával, méghozzá az chrome://flags/#top-chrome-md "Refresh"-re állításával és a chrome://flags/#views-browser-windows bekapcsolásával ők is kipróbálhatják az átszabott Chrome felületet.

De mobilra is jut az újdonságokból: az XDA Developers egy a Chromium Gerritben felfedezett commitban szúrta ki, hogy a böngésző Androidra szánt verziójánál már a háttérben futó tabok időzített leállítása is a csőben van. A funkció 5 perc inaktivitás után lekapcsolná a használaton kívüli lapok háttértevékenységét - ahogy az oldal rámutat, ezt a fejlesztők egy alapértelmezetten bekapcsolt funkciónak szánták, végül azonban nem tűnt fel a stabil kiadásban. Ez mindenesetre hamarosan változhat, a megoldás ugyanis egy néhány napja frissített, újabb commitban is feltűnt. A koncepció előnyeit vélhetően nem kell túlságosan részletezni: azzal, hogy a böngésző 5 perc után leállítja a nem használt tabokat, jelentős erőforrások szabadíthatók fel az androidos eszközökön, az alkalmazás továbbá az akkumulátorral is jóval kíméletesebben bánik. Értelemszerűen akadnak majd kivételek a szigorú korlátozások alól, ilyenek például a Chrome-tól megismert picture-in-picture módban lejátszott videók, vagy háttérben játszott zene. A megoldást a cég házon belül már bő öt hónapja teszteli, és az XDA értesülései alapján ezalatt az idő alatt az esetlegesen felmerülő hibák zömét már ki tudták gyomlálni.