Rilascio di Chrome 97

L'azienda Google ha presentato il rilascio del browser web Chrome 97. È contemporaneamente disponibile il rilascio stabile del progetto open source Chromium, che costituisce la base di Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, la presenza di un sistema di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamenti automatici e la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, è mantenuta separatamente una branche Extended Stable, accompagnata da 8 settimane, in cui è stato formulato un aggiornamento per la precedente versione di Chrome 96. Il prossimo rilascio di Chrome 98 è programmato per il 1 febbraio.

Le principali novità in Chrome 97:

• Per alcuni utenti, nel configuratore è stato attivato un nuovo interfaccia di gestione dei dati memorizzati nel browser ("chrome://settings/content/all"). La caratteristica principale di questo nuovo interfaccia è l'orientamento alla configurazione dei permessi e la pulizia simultanea di tutti i cookie del sito, senza possibilità di visualizzare informazioni dettagliate su singoli cookie o di rimuovere selettivamente cookie. Secondo Google, l'accesso alla gestione dei cookie singoli per un utente medio, non esperto nelle complessità dello sviluppo web, potrebbe portare a violazioni impreviste nel funzionamento dei siti a causa di modifiche imprudenti di singoli parametri, oltre a disattivare casualmente meccanismi di protezione della privacy attivati tramite i cookie. Per coloro che necessitano di operare su cookie singoli, si consiglia di utilizzare la sezione di gestione degli archivi negli strumenti per sviluppatori web (Applicaion/Storage/Cookie).
• Nella sezione con le informazioni sul sito è stata implementata la visualizzazione di una breve descrizione del sito (ad esempio, descrizioni da Wikipedia), se nelle impostazioni è attivata la modalità di ottimizzazione della ricerca e della navigazione (opzione "Migliora ricerche e navigazione").
• Migliorato il supporto per il completamento automatico dei campi nei web form. I suggerimenti con le opzioni di autocompletamento ora vengono visualizzati con un leggero spostamento e sono dotati di icone informative per una visione in anteprima più comoda e una chiara identificazione della relazione con il campo da compilare. Ad esempio, l'icona del profilo indica che il completamento automatico proposto riguarda i campi relativi all'indirizzo e alle informazioni di contatto.
• Garantita la rimozione dalla memoria dei gestori dei profili utente dopo la chiusura delle relative finestre del browser. In passato, i profili rimanevano in memoria e continuavano a svolgere attività legate alla sincronizzazione e all'esecuzione di script di estensioni in background, causando un'impropria spreco di risorse sui sistemi in cui venivano utilizzati più profili contemporaneamente (ad esempio, profilo ospite e associazione a un account Google). Inoltre, è stata garantita una pulizia più accurata dei dati che rimangono durante il lavoro con il profilo.
• Migliorata la pagina delle impostazioni dei motori di ricerca («Impostazioni>Gestisci motori di ricerca»). Disattivata l'attivazione automatica dei motori, le cui informazioni vengono fornite aprendo un sito tramite lo script OpenSearch: ora i nuovi motori per gestire le query di ricerca dalla barra degli indirizzi devono essere attivati manualmente nelle impostazioni (i motori attivati automaticamente in precedenza continueranno a funzionare senza modifiche).
• A partire dal 17 gennaio, il catalogo Chrome Web Store non accetterà più estensioni che utilizzano la seconda versione del manifesto di Chrome, ma gli sviluppatori delle estensioni precedentemente aggiunte potranno continuare a pubblicare aggiornamenti come prima.
• Aggiunta la supporto sperimentale per la specifica WebTransport, che definisce il protocollo e l'API JavaScript associato per l'invio e la ricezione di dati tra il browser e server. Il canale di comunicazione è organizzato sopra HTTP/3 utilizzando il protocollo QUIC come trasporto. WebTransport può essere utilizzato al posto del meccanismo WebSockets, offrendo ulteriori funzionalità come la gestione della trasmissione in più flussi, flussi unidirezionali, consegna senza considerare l'ordine di invio dei pacchetti (out-of-order), modalità di consegna affidabili e non affidabili. Inoltre, WebTransport può essere utilizzato invece del meccanismo Server Push, dal quale Google ha rinunciato su Chrome.
• Negli oggetti JavaScript Array e TypedArrays sono stati aggiunti i metodi findLast e findLastIndex, che consentono di cercare elementi restituendo il risultato rispetto alla fine dell'array. [1,2,3,4].findLast((el) => el % 2 === 0) \/\/ → 4 (ultimo elemento pari)
• Gli elementi HTML chiusi (senza l'attributo «open») <details>, ora sono disponibili per la ricerca e i link, e si aprono automaticamente quando si utilizza la ricerca nella pagina e si naviga nei frammenti (ScrollToTextFragment).
• Limitazioni della Content Security Policy (CSP) negli header di risposta server ora si applicano anche ai worker dedicati, che prima erano considerati documenti separati.
• È stato garantito un esplicito richiamo all'autorizzazione per il caricamento di qualsiasi sottorisorsa dalla rete interna: prima di accedere alla rete interna o a localhost sul server principale, ora viene inviato un richiamo CORS (Cross-Origin Resource Sharing) con l'intestazione «Access-Control-Request-Private-Network: true», che richiede la conferma dell'operazione attraverso il ritorno dell'intestazione «Access-Control-Allow-Private-Network: true».
• È stata aggiunta la proprietà CSS font-synthesis, che consente di gestire la possibilità di sintesi da parte del browser di mancanze nel disegno dei caratteri (oblique, bold e small-cap), assenti nella famiglia di caratteri selezionata.
• Per le trasformazioni CSS, nella funzione perspective() è stato implementato il parametro ‘none’, che viene trattato come un valore infinito durante l'animazione.
• Nell'intestazione HTTP Permissions-Policy (Feature Policy), utilizzata per delegare autorizzazioni e abilitare funzionalità estese, è stata aggiunta la supporto per il valore keyboard-map, permettendo l'uso dell'API Keyboard. È stato implementato il metodo Keyboard.getLayoutMap(), che consente di determinare quale tasto è stato premuto tenendo conto di diverse disposizioni di tastiera (ad esempio, se un tasto è stato premuto con la disposizione russa o inglese).
• È stato aggiunto il metodo HTMLScriptElement.supports(), che unifica la definizione di nuove funzionalità disponibili nell'elemento «script», ad esempio, è possibile conoscere l'elenco dei valori supportati per l'attributo «type».
• Il processo di normalizzazione delle nuove righe durante l'invio di web form è stato allineato con i motori dei browser Gecko e WebKit. La normalizzazione dei caratteri di nuova riga e di ritorno a capo (sostituzione di /r e /n con \r\n) in Chrome ora avviene nella fase finale, e non all'inizio dell'elaborazione dell'invio del modulo (cioè, i gestori intermedi che utilizzano l'oggetto FormData vedranno i dati come aggiunti dall'utente, e non in forma normalizzata).
• Sono stati standardizzati i nomi delle proprietà per l'API Client Hints, sviluppata come sostituto dell'intestazione User-Agent e che consente di fornire selettivamente dati su specifici parametri del browser e del sistema (versione, piattaforma, ecc.) solo su richiesta del server. Le proprietà ora sono prefissate con «sec-ch-«, ad esempio, sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink e sec-ch-ect.
• Applicata la seconda fase della cessazione del supporto per l'API WebSQL, le cui chiamate da script di terze parti saranno ora bloccate. In futuro, è previsto di cessare gradualmente il supporto per WebSQL, indipendentemente dal contesto di utilizzo. Il gestore WebSQL è basato su codice SQLite e potrebbe essere stato utilizzato da malintenzionati per sfruttare vulnerabilità in SQLite.
• Per la piattaforma Windows è stata attivata una build con controlli di integrità del flusso di esecuzione (CFG, Control Flow Guard), che bloccano i tentativi di iniezione di codice nel processo di Chrome. Inoltre, ai servizi di rete eseguiti in processi separati è stata ora applicata l'isolamento sandbox, limitando le capacità del codice in questi processi.
• In Chrome per Android è stato attivato il meccanismo di aggiornamento dinamico del registro dei certificati emessi e revocati (Certificate Transparency), che era già stato attivato nelle build per i sistemi desktop.
• Apportati miglioramenti agli strumenti per sviluppatori web. È stato implementato il supporto sperimentale per la sincronizzazione delle impostazioni di DevTools tra diversi dispositivi. Aggiunta una nuova scheda Registratore, che consente di registrare, riprodurre e analizzare le azioni dell'utente sulla pagina.

  Quando si visualizzano errori nella console web, è garantita la visualizzazione dei numeri di colonna correlati al problema, facilitando il debug di problemi nel codice JavaScript minimizzato. Aggiornato l'elenco dei dispositivi che possono essere simulati per valutare la visualizzazione della pagina su dispositivi mobili. Nell'interfaccia di modifica dei blocchi HTML (Modifica come HTML) è stata aggiunta la evidenziazione della sintassi e la possibilità di completamento automatico dell'input.

  

Oltre alle novità e alle correzioni di bug, nella nuova versione sono state risolte 37 vulnerabilità. Molte di queste vulnerabilità sono state individuate grazie a test automatizzati condotti con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Una delle vulnerabilità è stata classificata come problema critico, in grado di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema, al di fuori dell'ambiente sandbox. I dettagli sulla vulnerabilità critica (CVE-2022-0096) non sono ancora stati resi noti, si sa solo che è collegata all'accesso a un'area di memoria già liberata nel codice per la gestione degli archivi interni (API Storage).

Nell'ambito del programma per il pagamento di premi in denaro per la scoperta di vulnerabilità per l'attuale rilascio, Google ha erogato 24 premi per un totale di 54.000 dollari USA (tre premi da 10.000$, due premi da 5.000$, un premio da 4.000$, tre premi da 3.000$ e un premio da 1.000$). L'importo di 14 premi deve ancora essere definito.

Fonte: opennet.ru