Google ha pubblicato il rilascio del browser web Chrome 127. È disponibile anche la versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi di Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamenti automatici, l'attivazione costante della sandbox per l'isolamento, la fornitura di chiavi per le API Google e la trasmissione dei parametri RLZ durante le ricerche. Per chi ha bisogno di ulteriore tempo per aggiornare, è supportata una versione Extended Stable, che viene mantenuta per 8 settimane. Il prossimo rilascio di Chrome 128 è previsto per il 20 agosto.
Le principali novità in Chrome 127:
- Nel modo 'incognito' è attivata per impostazione predefinita la funzione 'HTTPS-First', che esegue un reindirizzamento automatico delle richieste HTTP verso HTTPS. Per garantire la funzionalità con siti che non supportano HTTPS, è implementato un fallback su HTTP, se dopo il passaggio non è possibile eseguire la richiesta su HTTPS o ci sono problemi con i certificati. Quando si tenta di aprire un sito su HTTP, viene visualizzato un avviso speciale.
- Nello store principale dei certificati radice (Chrome Root Store) è stata decisa la revoca della fiducia verso l'ente di certificazione Entrust a causa di molteplici violazioni dei requisiti per le autorità di certificazione, come il mancato rispetto dei tempi di risposta per i certificati problematici, ritardi nel ritiro dei certificati, una cattiva gestione dei rapporti sugli incidenti e il non rispetto delle normative durante il rilascio. certificati TLS. di livello EV (Extended Validation), che richiedono la verifica dei documenti di appartenenza al dominio e la conferma del proprietario delle risorse. Poiché non sono state intraprese azioni correttive per affrontare le problematiche riscontrate, i certificati TLS rilasciati da Entrust dopo il 31 ottobre 2024 saranno considerati non affidabili in Chrome. I certificati emessi prima del 31 ottobre continueranno a essere percepiti come normali.
- È iniziato il processo di graduale cessazione del supporto per la seconda versione del manifesto di Chrome, che definisce le capacità e le risorse disponibili per le estensioni scritte utilizzando l'API WebExtensions. La disabilitazione delle estensioni che utilizzano la seconda versione del manifesto riguarda attualmente solo una parte degli utenti delle versioni beta di Chrome (non delle versioni stabili). Il completamento della migrazione alla terza versione del manifesto è previsto entro giugno 2025.
- Attivando la protezione avanzata del browser (Safe Browsing > Protezione avanzata), è stata implementata la trasmissione a server Google di ulteriore telemetria contenente informazioni sulle pagine visitate, se su queste pagine vengono utilizzati API per avviare la vibrazione (Vibration) o per il completo controllo del mouse (PointerLock) e della tastiera (Keyboard). Se la pagina aperta è presente in un elenco di blocco, all'utente viene mostrato un avviso pertinente e l'azione delle API contrassegnate viene disabilitata.
- Sono stati conclusi i lavori per l'aggiornamento del sistema di controllo dei file caricati in modalità di protezione avanzata del browser (Safe Browsing > Protezione avanzata), in cui è inclusito l'invio di file eseguibili e archivi sospetti ai server di Google per verificarne la presenza di virus e malware. Per controllare la sicurezza degli archivi crittografati (.zip, .7z e .rar) caricati, il browser chiederà all'utente la password per decrittografare l'archivio. L'utente può rifiutarsi di effettuare il controllo o inserire la password, dopo di che il browser invierà il file con la password ai server di Google per la verifica. In modalità standard (non avanzata) di Safe Browsing verrà comunque richiesta la password, ma invece di inviare il contenuto dell'archivio ai server di Google per la verifica, verranno inviati solo i metadati e gli hash dei file contenuti nell'archivio. Sono state implementate avvertenze più evidenti per il download di file pericolosi, che vengono visualizzate non nella barra inferiore, ma sotto la barra superiore.
- È stata proposta una prima implementazione della specifica di Accesso alla Rete Privata, che limita la possibilità di caricare risorse da siti pubblicamente accessibili che fanno riferimento a host nella rete interna (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8, ecc.). Il caricamento di tali risorse è ora consentito solo aprendo la pagina in un contesto sicuro (tramite HTTPS). In futuro, si prevede di limitare completamente l'accesso incontrollato alle sottoreti intranet interne dalle pagine aperte su siti pubblici poiché tali richieste vengono utilizzate da malintenzionati per effettuare attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Gli esperimenti con il blocco sono iniziati nel 2022 con Chrome 98, ma a causa di vulnerabilità individuate, il blocco è stato rinviato.
- In modalità 'Origin trials' è stata implementata una blocco sperimentale dell'accesso all'IP 0.0.0.0, poiché questo IP può essere utilizzato per eludere il blocco dell'accesso all'IP 127.0.0.1 (localhost) su piattaforme Linux e macOS.
- Nella versione per la piattaforma Android, l'interfaccia per l'associazione all'account Google e la sincronizzazione dei dati, come le password salvate e i segnalibri, è stata semplificata. La sincronizzazione è ora integrata nel processo di accesso all'account e non viene presentata come una funzionalità separata nelle impostazioni.
- Nella versione per la piattaforma Android, è stata aggiornata l'interfaccia di gestione delle password. Gli utenti che si sono connessi al proprio account Google, ma non hanno attivato la sincronizzazione, possono ora salvare e utilizzare le password associate al loro account Google.
- È stata aggiunta l'impostazione «Attivazione automatica della modalità schermo intero» (Automatic Fullscreen, chrome://settings/content/automaticFullScreen), che consente ai siti web di attivare automaticamente la modalità schermo intero utilizzando il metodo Element.requestFullscreen() senza conferma da parte dell'utente, e consente anche di visualizzare finestre di dialogo del browser senza uscire dalla modalità schermo intero. Per impostazione predefinita, l'impostazione è disattivata e può essere attivata in relazione a siti web e applicazioni web specifiche. In combinazione con l'API Window Management e le impostazioni delle notifiche pop-up (chrome://settings/content/popups), la nuova funzione semplifica l'uso di funzionalità come l'apertura di una finestra pop-up a schermo intero su un altro monitor, la visualizzazione di contenuti a schermo intero su tutti gli schermi o su uno schermo aggiuntivo, e il passaggio del contenuto a schermo intero da un display all'altro.
- È stata aggiunta la proprietà CSS font-size-adjust, che consente di modificare la dimensione delle lettere minuscole in relazione alla dimensione delle lettere maiuscole definita dalla proprietà "font-size". Questo può essere utile, ad esempio, per mantenere il livello di leggibilità del testo quando si utilizza un font alternativo in assenza di quello principale. Nei font che hanno diversi rapporti di altezza delle lettere minuscole rispetto alla dimensione del font, la dimensione delle lettere può differire notevolmente, rendendo il testo difficile da leggere quando si passa da un font come Verdana a Times.
- Nell'API per il routing statico dei Service Worker (Service Worker Static Routing), che consente di definire come devono essere caricati determinati risorse e di disattivare la chiamata al Service Worker per le risorse che possono essere recuperate dalla cache o caricate direttamente, è stata aggiunta la possibilità di utilizzare l'operazione logica "not" per invertire le condizioni di corrispondenza delle richieste.
- È garantito il trasferimento degli eventi di attivazione generati dall'interazione dell'utente con il contenuto in una finestra aperta in modalità "picture-in-picture" (in finestra flottante) alla finestra principale del modo. Questa modifica consente di utilizzare l'API User Activation (navigator.userActivation) nella pagina principale da cui è stata aperta la finestra "picture-in-picture" per determinare l'interazione dell'utente con tale finestra (ad esempio, è possibile sapere se l'utente ha cliccato con il mouse nella finestra "picture-in-picture" o se la pagina è stata solo caricata e rimane intatta).
- Sono state apportate migliorie agli strumenti per gli sviluppatori web. Durante la visualizzazione degli stili CSS sono stati aggiunti collegamenti alle posizioni corrispondenti nel documento cui si riferiscono le proprietà CSS per il controllo della visualizzazione degli elementi legati alla posizione di altri elementi (CSS Anchor Positioning). Durante la visualizzazione del codice HTML sono stati aggiunti collegamenti a cui si riferisce l'attributo "popovertarget". Nel pannello di ispezione delle attività di rete è stata aggiunta una nuova impostazione predefinita per simulare la velocità di accesso "Fast 4G" (l'impostazione predefinita "Fast 3G" è stata rinominata in "Slow 4G", e "Slow 3G" in "3G"). Nel pannello di analisi delle prestazioni, durante il tracciamento, vengono mostrati dettagli sugli eventi di invio e ricezione dei messaggi tramite WebSocket.
Oltre alle nuove funzionalità e alla correzione di errori, nella nuova versione sono state risolte 24 vulnerabilità. Molte di queste vulnerabilità sono state scoperte grazie a test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. A 5 problemi è stato assegnato un alto livello di gravità. Non sono state trovate problematiche critiche che possano bypassare tutti i livelli di protezione del browser e eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di premi per la segnalazione di vulnerabilità per la versione attuale, Google ha assegnato 16 premi per un totale di 47,5 mila dollari USA (uno da $11000, uno da $5000, uno da $3000 e uno da $500, due da $8000, tre da $2000). L'importo di 6 premi non è ancora stato determinato.
Fonte: opennet.ru
