Uscita di Chrome 120.

Google ha pubblicato la versione del browser web Chrome 120. È disponibile anche il rilascio stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi di Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copia (DRM), un sistema di installazione automatica degli aggiornamenti, l'abilitazione continua della sandbox, la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ durante le ricerche. Per chi ha bisogno di più tempo per aggiornare, è supportata una versione Extended Stable, accompagnata da 8 settimane di supporto. La prossima versione di Chrome, la 121, è prevista per il 23 gennaio.

Principali novità in Chrome 120:

• È iniziato un esperimento per disattivare il supporto ai cookie di terze parti impostati quando si accede a siti diversi da di dominio quella attuale. Tali cookie sono utilizzati per monitorare i movimenti dell'utente tra siti tramite codici di reti pubblicitarie, widget di social media e sistemi di web analytics. A gennaio 2024, i cookie di terze parti saranno disattivati per l'1% degli utenti del browser. Le modifiche sono parte dell'iniziativa Privacy Sandbox, mirata a raggiungere un compromesso tra la necessità degli utenti di mantenere la privacy e il desiderio delle reti pubblicitarie e dei siti di monitorare le preferenze dei visitatori.

  Invece dei cookie di tracciamento, si propone di utilizzare le seguenti API:

  • FedCM (Federated Credential Management), permette di creare servizi di identificazione unificati, garantendo la privacy e funzionando senza cookie di terze parti.
  • Private State Tokens, consente di distinguere diversi utenti senza utilizzare identificatori intersito e di trasmettere informazioni di autenticazione tra contesti diversi.
  • Topics (criticità), offre la possibilità di definire categorie di interesse per l'utente, che possono essere utilizzate per distinguere gruppi di utenti con interessi simili senza identificare singoli utenti tramite cookie di tracciamento. Gli interessi vengono calcolati in base all'attività dell'utente nel browser e memorizzati sul dispositivo dell'utente. Tramite l'API Topics, la rete pubblicitaria può ottenere informazioni generali su singoli interessi senza avere accesso a dati specifici sull'attività dell'utente.
  • Protected Audience, soluzione per il retargeting e la valutazione del pubblico (lavorando con gli utenti che hanno già visitato il sito in precedenza).
  • Il rapporto di attribuzione consente di valutare caratteristiche di efficacia della pubblicità, come clic e conversioni (acquisti sul sito dopo il clic).
  • Lo Storage Access API può essere utilizzato per richiedere all'utente l'autorizzazione per accedere al database dei cookie, se per impostazione predefinita i cookie di terze parti sono bloccati.
• In conformità con i requisiti della legge DMA (Digital Markets Act) adottata nell'Unione Europea, alcuni utenti vedranno un dialogo per scegliere il motore di ricerca predefinito, le cui funzionalità corrispondono alle impostazioni di chrome://settings/search. In Chrome 120, il dialogo sarà mostrato all'1% degli utenti, e al momento della pubblicazione di Chrome 122, raggiungerà il 100%.
• È iniziato il processo di dismissione del codec video Theora. In una fase iniziale, Theora è stato disabilitato per l'1% degli utenti, ma entro il 16 gennaio sarà disabilitato per tutti. Durante la fase di transizione, per ripristinare il codec è prevista un'impostazione «chrome://flags/#theora-video-codec». La ragione della dismissione di Theora si deve a preoccupazioni riguardanti possibili vulnerabilità nella sua implementazione, che presenta una logica di parsing dei dati binari e decodifica dei flussi complessa, simile ai recenti problemi critici con il codec VP8.
• L'interfaccia del catalogo Chrome Web Store è stata ridisegnata per semplificare la ricerca e la gestione delle estensioni. Sono state aggiunte nuove categorie di estensioni (inclusa una categoria per estensioni basate su machine learning e una sezione 'scelte dell'editore'). Nel menu » ⋮ » è stata aggiunta la possibilità di ripristinare il design precedente.
• È stata ampliata la funzionalità dell'interfaccia 'Controllo Sicurezza' (Safety check), che mostra un riepilogo delle potenziali problematiche di sicurezza, come l'uso di password compromesse, lo stato del controllo dei siti malevoli (Safe Browsing), la presenza di aggiornamenti non installati e la rilevazione di estensioni malevole. Nella nuova versione è stata proposta una modalità proattiva, che esegue periodicamente controlli di sicurezza del browser e informa l'utente in caso di problemi riscontrati. Sono state aggiunte opzioni nelle impostazioni per gestire le azioni in modalità proattiva.
• È stata implementata una barra degli strumenti adattativa che cambia in base alla dimensione della finestra.
• Nel gestore delle password è consentita la condivisione di singole password con i membri del gruppo Google Family Group, configurato tramite Google Account. È possibile concedere l'accesso a una sola password alla volta, dopo di che la password condivisa non potrà essere aggiornata o revocata dal mittente.
• L'interazione con le stampanti è stata spostata in un processo di servizio separato, il che ha migliorato la stabilità del browser e la reattività dell'interfaccia di anteprima della pagina prima della stampa.
• È stata introdotta nel TLS l'implementazione di un meccanismo di incapsulamento delle chiavi (KEM, Key Encapsulation Mechanism) che utilizza un algoritmo ibrido X25519Kyber768, resistente al cracking da parte di computer quantistici. Per la creazione di chiavi sessioni, utilizzate per crittografare i dati all'interno delle connessioni TLS, ora può essere utilizzata una combinazione del meccanismo di scambio delle chiavi X25519, basato su curve ellittiche e attualmente utilizzato nel TLS, con l'algoritmo Kyber-768, che utilizza metodi crittografici basati sulla soluzione di problemi della teoria delle reti, dove il tempo di risoluzione non differisce su computer normali e quantistici.
• Nel servizio di suggerimenti per la richiesta di autorizzazioni (Permission Suggestions Service), è stata presa in considerazione l'URL della pagina che richiede le autorizzazioni (sul server Google passerà gli hash per le URL che richiedono autorizzazione).
• Nella versione per Android è stata interrotta la compatibilità con la piattaforma Android 7.0 'Nougat'.
• È stato introdotto un framework per l'implementazione dei Close-request, che consente all'utente di richiedere la chiusura di dialoghi modali e a comparsa premendo il tasto Esc o utilizzando un gesto sullo schermo o il pulsante 'Indietro' sui dispositivi mobili. Il supporto per i Close-request è stato aggiunto ai dialoghi creati con l'elemento
  o la proprietà 'popover'. È stato anche introdotto un API CloseWatcher, che consente agli sviluppatori di applicazioni di monitorare i Close-request e reagire al loro arrivo (ad esempio, è possibile creare un gestore per il pulsante 'indietro' sui dispositivi Android).
• Nell'elemento
  è stato aggiunto il supporto per l'attributo 'name', che consente di creare gruppi definendo una serie di elementi

  con lo stesso nome.
• Nell'API Media Session è stato aggiunto l'evento 'enterpictureinpicture', che consente al sito di registrare un gestore che viene attivato quando il contenuto viene aperto in modalità 'picture-in-picture'.
• È stata semplificata la sintassi dei blocchi CSS nidificati: ora le regole CSS nidificate possono iniziare da qualsiasi elemento, senza la necessità di indicare prima il simbolo e commerciale o utilizzare la funzione is(). dl { dt { /* stile per dl dt */ } dd { /* stile per dl dd */ }}
• Nella proprietà CSS 'background-clip' è stato aggiunto il supporto per il parametro 'text', per visualizzare lo sfondo selezionato solo nell'area delimitata dai caratteri del testo. Ad esempio, specificando 'background: linear-gradient(60deg, red, yellow, red, yellow, red); background-clip: text; color: rgba(0, 0, 0, 0.2)' si otterrà la visualizzazione:
• In CSS è stata aggiunta una media query 'scripting', che può essere utilizzata per determinare la capacità di eseguire script, ad esempio in JavaScript, sulla pagina corrente.
• In CSS è stato aggiunto il pseudoclasse ':dir()', che permette di selezionare elementi in base alla direzione del testo (ad esempio, ':dir(ltr)' coprirà gli elementi in cui il testo è visualizzato da sinistra a destra).
• In CSS sono state aggiunte funzioni esponenziali pow(), sqrt(), hypot(), log() ed exp().
• In CSS è stata aggiunta la supporto per le proprietà mask, mask-image, mask-repeat, mask-position, mask-clip, mask-origin, mask-size, mask-composite e mask-mode per nascondere un elemento sovrapponendo un'immagine a determinati punti.
• Nell'API FontFaceSet è stato aggiunto il metodo check(), che consente di verificare se il testo può essere visualizzato utilizzando i font selezionati senza utilizzare i font caricati in FontFaceSet che non sono ancora stati completamente caricati.
• Nell'API WebGPU è stata aggiunta la possibilità di utilizzare un tipo a 16 bit in virgola mobile f16 nei shader.
• Nell'API Media Capabilities sono stati aggiunti i campi hdrMetadataType, colorGamut e transferFunction al metodo decodingInfo() per determinare il supporto per HDR.
• Nell'API MediaStreamTrack è stata aggiunta la possibilità di ottenere informazioni sui contatori dei frame video ricevuti e scartati.
• È stata aggiunta la possibilità di passare oggetti ArrayBuffer ai costruttori VideoFrame, AudioData, EncodedVideoChunk, EncodedAudioChunk e ImageDecoder per utilizzare direttamente l'array di byte senza crearne una copia.
• In conformità con la modificata specifica per migliorare la protezione contro gli attacchi XSS e per migliorare l'interoperabilità tra browser, in SVGUseElement è stata interrotta la compatibilità con URL 'data:', che precedentemente non era supportata dal motore WebKit.
• È stato aggiunto il supporto sperimentale (origin trial) per l'intestazione HTTP 'Priority', tramite la quale è possibile fornire informazioni sulla priorità di elaborazione della richiesta (RFC 9218) nella fase di primo accesso alla risorsa.
• Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Nel debugger, per impostazione predefinita, è stata abilitata l'ignoranza degli script ospitati nelle directory '/node_modules/' e '/bower_components/' con i moduli Node.js. In modalità di debug remoto è stato implementato un interruttore per scegliere tra mouse e touch screen. È stata migliorata il debug delle animazioni. Nel pannello Elements è stato aggiunto un interruttore 'media' per il debug degli elementi

Oltre alle nuove funzionalità e alla correzione di errori, nella nuova versione sono state risolte 10 vulnerabilità. Molte di queste vulnerabilità sono state individuate grazie a test automatizzati condotti con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche che consentano di aggirare tutti i livelli di protezione del browser e di eseguire codice al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, Google ha elargito 13 premi per un totale di 15.000 dollari USA per la versione attuale (un premio di $10.000, un premio di $2.000 e tre premi di $1.000).

Fonte: opennet.ru