Google ha rilasciato la versione 131 del browser web Chrome. È disponibile anche la versione stabile del progetto open source Chromium, che costituisce la base di Chrome. Chrome si differenzia da Chromium per l'uso dei loghi Google, per la presenza di un sistema di invio notifiche in caso di crash, per i moduli per la riproduzione di contenuti video protetti da copyright (DRM), per un sistema di aggiornamenti automatici, per la costante attivazione della Sandbox e per la fornitura di chiavi per le API di Google e la trasmissione di parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per aggiornare, è supportato un ramo Extended Stable con un supporto separato di 8 settimane. Il prossimo rilascio di Chrome 132 è previsto per il 14 gennaio.
Le principali novità in Chrome 131:
- Nell'visualizzatore PDF integrato è stata ampliata la capacità di riconoscere il testo nei documenti PDF scansionati, dove il testo è presente come immagine. Il testo viene riconosciuto localmente utilizzando un motore di riconoscimento ottico dei caratteri (OCR) integrato, basato su machine learning. A differenza delle versioni precedenti, i documenti scansionati vengono automaticamente convertiti in una rappresentazione testuale, per la quale sono disponibili funzionalità di evidenziazione, ricerca e copia negli appunti.
- Introdotta la possibilità di attivare controlli avanzati nel sistema di distribuzione della memoria PartitionAlloc, che consentono di bloccare le vulnerabilità causate da accessi a zone di memoria già liberate (use-after-free). Di default, questi controlli sono disattivati a causa del possibile impatto negativo sulle prestazioni. Tuttavia, per le implementazioni in cui la sicurezza è più importante delle prestazioni, sono ora disponibili politiche aziendali separate per attivare la protezione aggiuntiva.
- Nel deposito integrato dei certificati root (Chrome Root Store) è stato revocato il riconoscimento all'autorità di certificazione Entrust a causa di numerosi violazioni dei requisiti per le autorità di certificazione, mancata reattività ai certificati problematici, ritardi nel revocare i certificati, report di incidenti inadeguati e violazioni delle regole di emissione per il livello EV (Extended Validation), che richiedono la verifica della documentazione di proprietà del dominio e la conferma del proprietario delle risorse. A causa dell'assenza di azioni correttive per le carenze riscontrate, i certificati TLS emessi da Entrust dopo l'11 novembre 2024 saranno considerati non attendibili in Chrome. I certificati rilasciati prima dell'11 novembre continueranno ad essere considerati normali. certificati TLS. Nella versione per Android è stata introdotta la possibilità di collegare provider di riempimento automatico di moduli e salvataggio delle password di terze parti, non dipendenti dall'API di Accessibilità.
- Nella versione per Android è stata semplificata la connessione all'account Google e la gestione della sincronizzazione dei dati tra diversi browser. La sincronizzazione non viene più presentata come una funzione separata nelle impostazioni, ma è stata unita alla funzione di collegamento all'account Google, consentendo di utilizzare e salvare informazioni come password e segnalibri nell'Account Google.
- È iniziata l'attivazione graduale per gli utenti della nuova modalità di risparmio energetico (Energy saver), in cui vengono automaticamente sospese le schede che utilizzano molte risorse CPU, ma che non producono suono e sono nascoste da più di 5 minuti. Sono esclusi solo le schede legate alla gestione di dispositivi esterni o a videoconferenze audio e video (tali schede vengono identificate in base all'accesso alle API per USB, Bluetooth, fotocamera, dispositivi di input e microfono, così come all'organizzazione del canale di comunicazione tramite RTCDataChannel o MediaStreamTrack). Per gestire l'attivazione della sospensione automatica è possibile utilizzare l'impostazione "chrome://flags/#freezing-on-energy-saver".
- Aggiunti modalità sperimentali di risparmio della memoria (Memory saver) - Moderate, Balanced e Maximum, che consentono di scegliere il metodo per liberare memoria da schede inattive. In modalità Moderate la memoria delle schede viene disattivata solo quando c'è scarsità di memoria nel sistema, in modalità Maximum le schede vengono disattivate dopo un breve periodo di inattività, mentre in modalità Balanced le schede inattive vengono disattivate in base alla memoria libera nel sistema.
- Aggiunte impostazioni aggiuntive relative alle prestazioni, ad esempio la possibilità di specificare siti che devono rimanere sempre attivi (senza rallentamenti in background), scelta del modo di indicazione visiva delle schede disattivate e visualizzazione del consumo di memoria nei tooltip delle schede.
- Sono state aggiunte impostazioni aggiuntive relative alle prestazioni, come la possibilità di specificare i siti che rimangono sempre attivi (senza rallentamenti in background), la scelta del metodo di visualizzazione delle schede disattivate e la visualizzazione del consumo di memoria nei suggerimenti delle schede.
- È stato aggiunto lo strumento "Performance Detection" che identifica potenziali problemi di prestazioni nelle pagine visitate e visualizza una notifica con raccomandazioni per risolvere il problema con un solo clic. Ad esempio, per accelerare la scheda attuale, il browser può suggerire di disattivare altre schede che consumano molte risorse.
- In TLS 1.3 e QUIC, l'algoritmo di encapsulamento delle chiavi (KEM, Key Encapsulation Mechanism) "X25519Kyber768", resistente agli attacchi dei computer quantistici, è stato aggiornato per utilizzare la specifica finale ML-KEM (CRYSTALS-Kyber), standardizzata dal National Institute of Standards and Technology (NIST) degli Stati Uniti. X25519Kyber768 rappresenta una combinazione di X25519 ECDH e dell'algoritmo ML-KEM, che utilizza metodi crittografici basati sulla risoluzione di problemi della teoria delle griglie, il cui tempo di risoluzione non differisce tra computer tradizionali e quantistici.
- Nella funzione di ricerca tramite immagine utilizzando Google Lens, disponibile tramite il menu contestuale, è stata aggiunta la possibilità di sovrapporre la traduzione in un'altra lingua (il testo tradotto viene visualizzato sopra il testo originale nell'immagine).
- È stata aggiunta l'API Direct Sockets, che consente di stabilire connessioni TCP e UDP dirette con sistemi esterni, nonché di creare socket in ascolto per ricevere connessioni. Alla prima tentativo di connessione con un nuovo host, viene visualizzata una richiesta di conferma. La necessità di aggiungere una nuova API è dovuta alla possibilità di interagire con dispositivi di rete che utilizzano protocolli proprietari che operano su TCP e UDP e non supportano l'interazione tramite HTTPS o WebSockets.
- Nella modalità "Origin trials" è stata implementata l'API Summarizer per riassumere il testo (fornendo una sintesi), utilizzando un grande modello linguistico.
- Nella modalità "Origin trials" è stata aggiunta l'API Playout Statistics, che stabilisce l'interfaccia AudioContext.playoutStats per ottenere statistiche sulla qualità e sui ritardi nella riproduzione del suono tramite le API WebAudio.
- Per proteggere da abusi, è stata aggiunta una richiesta di conferma dei permessi nell'uso dell'API Keyboard Lock e Pointer Lock del sito, che forniscono un controllo aggiuntivo sulla tastiera e sul mouse (ad esempio, è possibile nascondere il puntatore del mouse predefinito e fornire una gestione personalizzata del movimento del mouse). È possibile controllare lo stato dell'autorizzazione tramite l'API Permissions.
- È consentito specificare ulteriori tag all'interno dell'elemento HTML «<select>», oltre ai tag standard «<option>», «<optgroup>» e «<hr>». La modifica è stata apportata in preparazione per l'implementazione in future versioni personalizzate di «<select>», che ampliando le possibilità di personalizzazione dei menu.
- Nelle proprietà CSS "clip-path", "fill", "stroke" e "marker-*" è stata aggiunta la supporto per specificare risorse SVG esterne. Ad esempio, ora è possibile specificare 'clip-path: url("resources.svg#myPath").'
- È stata modificata la modalità di eredità delle proprietà di stile per la selezione del testo definite attraverso i pseudoclassi «::selection» e «::target-text», che ora è allineata con il modello di eredità delle pseudoclassi «::highlight», «::spelling-error» e «::grammar-error», e dipende non dalla struttura del documento (catena di elementi HTML), ma da come viene selezionato il testo (catene di selezione). Nell'esempio seguente, il colore degli elementi annidati con testo nel paragrafo «<p class="»blue»">» ora sarà selezionato in base allo stile della pseudoclasse «::selection», piuttosto che allo stile del colore specificato per il paragrafo. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Questo è <em>testo</em> . </p>
- Sono state rimosse le limitazioni che impedivano di impostare le proprietà CSS "display" per gli elementi HTML "" e "
". In CSS è stato aggiunto il pseudo-elemento "::details-content" per personalizzare il formato del blocco espandibile e ritrattabile.
- È stata aggiunta la proprietà CSS "font-variant-emoji" per regolare lo stile di visualizzazione degli Emoji. Ad esempio, è possibile scegliere la rappresentazione testuale o grafica.
- Nella regola CSS @page, destinata a modificare il layout della pagina prima della stampa o dell'esportazione in formato PDF, è ora possibile definire aree per posizionare contenuti nell'area dei margini della pagina, ad esempio per aggiungere un titolo personalizzato, una nota laterale o un piè di pagina.
- La proprietà CSS "inset-area", utilizzata per gestire la visualizzazione degli elementi legati alla posizione di altri elementi (CSS Anchor Positioning), è stata dichiarata obsoleta. In conformità con la raccomandazione del gruppo di lavoro per la standardizzazione del CSS, la proprietà "position-area" le è completamente equivalente.
- Le funzionalità degli strumenti per gli sviluppatori web sono state ampliate. Nel pannello Performance sono state aggiunte nuove funzioni per l'analisi delle prestazioni. È stata proposta una scheda sperimentale con assistente AI, in cui è possibile ottenere risposte relative alla debug o chiarire alcuni aspetti legati al CSS in forma di chat.
Oltre alle nuove funzionalità e alla correzione di errori, nella nuova versione sono state risolte 12 vulnerabilità. Molte di queste vulnerabilità sono state identificate grazie a test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Una problematica è stata classificata con un alto livello di pericolo (riguarda il codice per la gestione delle estensioni nel motore Blink). Non sono state individuate problematiche critiche che possano eludere tutti i livelli di sicurezza del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità per la versione attuale, Google ha erogato 8 premi per un totale di 1.000 dollari USA (un premio da $1000). L'importo di 7 premi non è stato ancora determinato.
Fonte: opennet.ru
