Rilascio di Chrome 93

Google ha presentato il rilascio del browser web Chrome 93. È disponibile anche il rilascio stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico e la trasmissione dei parametri RLZ durante la ricerca. Il prossimo rilascio di Chrome 94 è previsto per il 21 settembre (lo sviluppo è stato spostato a un ciclo di rilascio di 4 settimane).

Le principali modifiche in Chrome 93:

• È stata aggiornata l'interfaccia del blocco con le informazioni sulla pagina (page info), che ora supporta blocchi nidificati, mentre i menu a discesa con i diritti di accesso sono stati sostituiti da interruttori. Negli elenchi viene fornita in primis la visualizzazione delle informazioni più importanti. La modifica non è attivata per tutti gli utenti; per attivarla, si può utilizzare l'impostazione 'chrome://flags/#page-info-version-2-desktop'.
• Per una piccola percentuale di utenti, a scopo sperimentale, l'indicatore di connessione sicura nella barra degli indirizzi è stato sostituito da un simbolo più neutro e non ambiguo (il lucchetto è stato sostituito dal simbolo 'V'). L'indicatore 'non sicuro' continua a essere mostrato per le connessioni stabilite senza crittografia. La ragione del cambiamento dell'indicatore è che molti utenti associano il lucchetto a una maggiore fiducia nel contenuto del sito, piuttosto che a un segno di crittografia della connessione. Secondo un sondaggio di Google, solo l'11% degli utenti comprende il significato dell'icona del lucchetto.
• Nell'elenco delle schede chiuse di recente è stata garantita la visualizzazione del contenuto dei gruppi di schede chiusi (in precedenza veniva visualizzato solo il nome del gruppo senza dettagli sul contenuto) con la possibilità di ripristinare l'intero gruppo o singole schede del gruppo. Questa possibilità non è attivata per tutti gli utenti, pertanto potrebbe essere necessario modificare l'impostazione 'chrome://flags/#tab-restore-sub-menus' per abilitarla.
• Per le aziende sono state implementate nuove impostazioni DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites e JavaScriptJitBlockedForSites, che consentono di gestire la modalità JIT-less, disattivando l'uso della compilazione JIT durante l'esecuzione di JavaScript (viene utilizzato solo l'interprete Ignition) e vietando l'allocazione di memoria eseguibile durante l'esecuzione del codice. Disattivare JIT può essere utile per aumentare la sicurezza quando si lavora con applicazioni web potenzialmente pericolose, a costo di una riduzione delle prestazioni nell'esecuzione di JavaScript di circa il 17%. È notevole che Microsoft sia andata oltre, implementando nel browser Edge una modalità sperimentale "Super Duper Secure", che consente all'utente di disattivare JIT e attivare meccanismi di protezione hardware incompatibili con JIT come CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) e CFG (Control Flow Guard) per i processi che eseguono il rendering di contenuti web. Se l'esperimento avrà successo, ci si può aspettare che venga integrato nella versione principale di Chrome.
• Nella pagina della nuova scheda è disponibile un elenco dei documenti più richiesti, salvati in Google Drive. Il contenuto dell'elenco corrisponde alla sezione Priorità in drive.google.com. Per gestire la visualizzazione del contenuto di Google Drive è possibile utilizzare le impostazioni "chrome://flags/#ntp-modules" e "chrome://flags/#ntp-drive-module".
• Per la pagina dell'apertura di una nuova scheda sono state proposte nuove schede informative che aiutano a trovare contenuti recentemente visualizzati e informazioni correlate. Le schede sono progettate per semplificare la ripresa del lavoro con informazioni la cui visualizzazione è stata interrotta; ad esempio, le schede possono aiutare a trovare la ricetta di un piatto recentemente trovata online, ma persa dopo la chiusura della pagina, o a continuare la selezione degli acquisti nei negozi. Come esperimento, sono stati offerti agli utenti due nuove schede: "Ricette" (chrome://flags/#ntp-recipe-tasks-module) per la ricerca di ricette culinarie e la visualizzazione delle ricette recentemente visualizzate; "Acquisti" (chrome://flags/#ntp-chrome-cart-module) per i promemoria sui prodotti selezionati nei negozi online.
• Nella versione per Android è stata aggiunta un'opzione di supporto per la barra di ricerca continua (chrome://flags/#continuous-search), che consente di tenere a vista i risultati di ricerca recenti su Google (la barra continua a mostrare i risultati dopo aver navigato su altre pagine).
• Nella versione per la piattaforma Android è stata aggiunta una modalità sperimentale di condivisione delle citazioni (chrome://flags/#webnotes-stylize), che consente di salvare un frammento della pagina in forma di citazione e condividerlo con altri utenti.
• Ora è obbligatorio l'uso della verifica in due passaggi per gli sviluppatori durante la pubblicazione di nuovi aggiornamenti o integrazioni nel Chrome Web Store.
• Per gli utenti dell'account Google è disponibile un'opzione per salvare le informazioni sui pagamenti nel proprio account Google.
• In modalità incognito, se viene attivata l'opzione per la pulizia dei dati di navigazione, è stato implementato un nuovo dialogo di conferma dell'operazione, che spiega che la pulizia dei dati comporterà la chiusura della finestra e la terminazione di tutte le sessioni in modalità incognito.
• A causa di incompatibilità rilevate con i firmware di alcuni dispositivi, è stata temporaneamente disabilitata la supporto per il nuovo metodo di accordo delle chiavi, resistente ai tentativi di forzatura tramite computer quantistici, introdotto in Chrome 91, basato sull'uso dell'estensione CECPQ2 (Combined Elliptic-Curve and Post-Quantum 2) in TLSv1.3, che combina il meccanismo di scambio delle chiavi classico X25519 con lo schema HRSS, basato sull'algoritmo NTRU Prime, progettato per crittografie post-quantistiche.
• I porti di rete 989 (ftps-data) e 990 (ftps) sono stati aggiunti all'elenco dei porti vietati per bloccare l'attacco ALPACA. In precedenza, per proteggere dagli attacchi di NAT slipstreaming, erano già stati bloccati i porti 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080.
• È stata interrotta la supporto per i cifrari basati sull'algoritmo 3DES in TLS. In particolare, è stato rimosso il cifrario TLS_RSA_WITH_3DES_EDE_CBC_SHA, soggetto all'attacco Sweet32.
• È stato interrotto il supporto per la distribuzione Ubuntu 16.04.
• È stata fornita la possibilità di utilizzare l'API WebOTP tra diversi dispositivi collegati tramite un comune account Google. WebOTP consente a un'app web di leggere codici di verifica monouso inviati tramite SMS. La modifica proposta consente di ricevere il codice di verifica su un dispositivo mobile con Chrome per Android e di applicarlo a un sistema desktop.
• È stata ampliata l'API User-Agent Client Hints, sviluppata come sostituto dell'intestazione User-Agent. User-Agent Client Hints consente di organizzare la restituzione selettiva dei dati su specifici parametri del browser e del sistema (versione, piattaforma, ecc.) solo dopo richiesta. server. Gli utenti, a loro volta, possono determinare quali informazioni possono essere fornite ai proprietari dei siti web. Quando si utilizza User-Agent Client Hints, l'identificatore del browser non viene trasmesso senza richiesta esplicita, e per impostazione predefinita vengono forniti solo i parametri di base, il che complica l'identificazione passiva.

  Nella nuova versione è stata implementata la supporto per il parametro Sec-CH-UA-Bitness per restituire dati sulla bitness della piattaforma, che può essere utilizzata per fornire file binari ottimizzati. Per impostazione predefinita, viene inviata la piattaforma Sec-CH-UA-Platform con informazioni generali sulla piattaforma. Nel valore UADataValues, restituito durante la chiamata a getHighEntropyValues(), per impostazione predefinita viene restituita una serie di parametri generali, se non è possibile fornire una variante dettagliata. Nel oggetto NavigatorUAData è stato aggiunto il metodo toJSON, che consente di utilizzare costrutti come JSON.stringify(navigator.userAgentData).

• È stata stabilizzata e proposta per impostazione predefinita la possibilità di impacchettare risorse in pacchetti nel formato Web Bundle, adatti per organizzare un caricamento più efficiente di un gran numero di file associati (stili CSS, JavaScript, immagini, iframe). Tra gli svantaggi del supporto attuale per i pacchetti di file JavaScript (webpack), che si sta cercando di risolvere in Web Bundle: nel cache HTTP può rimanere il pacchetto stesso, ma non le sue componenti; la compilazione e l'esecuzione possono iniziare solo dopo il caricamento completo del pacchetto; risorse aggiuntive, come CSS e immagini, devono essere codificate come stringhe JavaScript, il che porta ad un aumento delle dimensioni e all'esecuzione di un'ulteriore fase di parsing.
• È stato attivato l'API WebXR Plane Detection, che fornisce informazioni sulle superfici piane nell'ambiente virtuale 3D. L'API specificata consente di evitare un'elaborazione intensiva delle risorse dei dati ottenuti tramite la chiamata a MediaDevices.getUserMedia(), utilizzando implementazioni personalizzate degli algoritmi di visione artificiale. Ricordiamo che l'API WebXR consente di unificare il lavoro con diverse classi di dispositivi per la realtà virtuale, dai caschi 3D fissi a soluzioni basate su dispositivi mobili.
• Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) sono stati aggiunti diversi nuovi API. L'Origin Trial implica la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, valido per un tempo limitato per un sito web specifico.
  • È stata proposta l'API Multi-Screen Window Placement, che consente di posizionare le finestre su qualsiasi schermo collegato al sistema attuale, oltre a salvare la posizione della finestra e, se necessario, espandere la finestra a schermo intero. Ad esempio, utilizzando l'API indicata, un'applicazione web per la visualizzazione di presentazioni può organizzare la visualizzazione delle diapositive su uno schermo, mostrando le note per il relatore su un altro.
  • Nell'intestazione Cross-Origin-Embedder-Policy, che gestisce la modalità di isolamento Cross-Origin e consente di definire le regole per un uso sicuro delle operazioni privilegiate sulla pagina, è stata aggiunta la supporto per il parametro "credentialless" per disabilitare la trasmissione di informazioni correlate all'autenticazione, come cookie e certificati client.
  • Per le applicazioni web installabili in modo autonomo (PWA, Progressive Web Apps), che gestiscono il rendering del contenuto della finestra e l'elaborazione degli input, è stato fornito un overlay con elementi di controllo della finestra, come un'area con il titolo e pulsanti per espandere/ridurre la finestra. L'overlay estende l'area disponibile per le modifiche a tutta la finestra e consente di aggiungere i propri elementi nell'area del titolo.
  • È stata aggiunta la possibilità di creare applicazioni PWA che possono essere utilizzate come gestori di URL. Ad esempio, l'applicazione music.example.com può registrarsi come gestore per l'URL https://*.music.example.com e tutti i reindirizzamenti da applicazioni esterne a questi collegamenti, come messaggeri e client di posta, porteranno all'apertura di queste applicazioni PWA, anziché a una nuova scheda nel browser.
• È stata fornita la possibilità di caricare file CSS utilizzando l'espressione "import", analogamente al caricamento di moduli JavaScript, il che è conveniente per la creazione di elementi personalizzati e consente di evitare di specificare gli stili tramite codice JavaScript. import sheet from './styles.css' assert { type: 'css' }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• È stato fornito un nuovo metodo statico AbortSignal.abort(), che restituisce un oggetto AbortSignal, per il quale è già stato impostato il parametro aborted. Invece di molte righe di codice per creare un oggetto AbortSignal nello stato aborted, ora è possibile utilizzare una sola riga "return AbortSignal.abort()".
• È stato aggiunto al elemento Flexbox il supporto per le parole chiave start, end, self-start, self-end, left e right, completando le parole chiave center, flex-start e flex-end con strumenti per semplificare l'allineamento della posizione degli elementi flex.
• Nel costruttore Error() è stata implementata una nuova proprietà facoltativa «cause» che consente di collegare facilmente gli errori tra loro. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• È stata aggiunta al proprietà HTMLMediaElement.controlsList il supporto per la modalità noplaybackrate, che disabilita gli elementi dell'interfaccia del browser che consentono di modificare la velocità di riproduzione del contenuto multimediale.
• È stato aggiunto l'intestazione Sec-CH-Prefers-Color-Scheme, che consente di inviare informazioni sulla preferenza di schema di colore scelta dall'utente durante l'invio della richiesta. Questo è utile nelle media query «prefers-color-scheme» e permette al sito di ottimizzare il caricamento dei CSS associati e di evitare transizioni visibili da altri schemi.
• È stata aggiunta la proprietà Object.hasOwn, una versione semplificata di Object.prototype.hasOwnProperty, implementata come un metodo statico. Object.hasOwn({ prop: 42 }, 'prop') // → true
• Nel compilatore JIT Sparkplug, destinato a velocizzare notevolmente l'esecuzione della compilazione grezza, è stata aggiunta una modalità di esecuzione batch delle operazioni. Questo riduce le spese generali di commutazione della memoria tra modalità di scrittura ed esecuzione. Sparkplug ora compila più funzioni contemporaneamente e chiama mprotect una sola volta per modificare i diritti di accesso dell'intero gruppo. La modalità proposta riduce notevolmente il tempo di compilazione (fino al 44%) senza impatti negativi sulle prestazioni di esecuzione di JavaScript.
• Nella versione per Android sono stati disattivati i meccanismi di protezione contro gli attacchi tramite canali laterali, come Spectre, incorporati nel motore V8, poiché ritenuti meno efficaci rispetto all'isolamento dei siti in processi separati. Nella versione desktop, tali meccanismi erano già stati disattivati a partire dalla release di Chrome 70. La disattivazione di controlli non necessari ha consentito di incrementare le prestazioni dal 2 al 15%.
• Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Nella modalità di ispezione delle foglie di stile è stata fornita la possibilità di modificare le query formate utilizzando l'espressione @container. Nella modalità di ispezione della rete è stata implementata l'anteprima delle risorse nel formato Web bundle. Nel web console sono state aggiunte opzioni al menu contestuale per copiare le righe come letterali JavaScript o JSON. È stata semplificata la risoluzione degli errori correlati a CORS (Cross-Origin Resource Sharing).

Oltre alle innovazioni e alle correzioni di bug nella nuova versione, sono state eliminate 27 vulnerabilità. Molte di queste vulnerabilità sono state individuate attraverso test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche che possano aggirare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la segnalazione di vulnerabilità, Google ha assegnato 19 premi per l'attuale rilascio, per un totale di 136500 dollari USA (tre premi di $20000, un premio di $15000, tre premi di $10000, un premio di $7500, tre premi di $5000 e tre premi di $3000). L'importo di 5 premi non è ancora stato determinato.

Fonte: opennet.ru