Google ha rilasciato la versione 140 del browser web Chrome. È disponibile anche una versione stabile del progetto open-source Chromium, che costituisce la base di Chrome. Il browser Chrome si differenzia da Chromium per l'utilizzo dei loghi di Google, la presenza di un sistema per l'invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamento automatico, il Sandbox attivo per l'isolamento, la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ durante la ricerca. Per chi necessita di più tempo per l'aggiornamento, è disponibile un ramo Extended Stable, supportato per 8 settimane. Il prossimo rilascio di Chrome 141 è previsto per il 30 settembre.
Principali cambiamenti in Chrome 140:
- Per migliorare la protezione contro il tracciamento della navigazione tra i siti in modalità incognito, è stata implementata la possibilità di nascondere le informazioni sull'indirizzo IP dell'utente in contesti esterni (ad esempio, per le pagine caricate tramite iframe). Il nascondiglio si applica solo ai domini presenti nell'elenco MDL (Masked Domain List) ed è realizzato attraverso l'invio della richiesta non direttamente, ma tramite un server proxy di Google. Pertanto, il sito vedrà come ingresso Indirizzi IP l'indirizzo del proxy e non quello dell'utente.
- Per ottenere informazioni selettive sugli indirizzi IP degli utenti quando si attiva nella browser la modalità di protezione degli indirizzi IP, che invia richieste attraverso un proxy di transito, è stato implementato il meccanismo PRT (Probabilistic Reveal Token). Il PRT prevede l'invio di un'intestazione con un token crittografato, che consente di ottenere un campione casuale ridotto degli indirizzi IP reali dei clienti che hanno interagito con il sito richiesto. dominio, ma non legati a richieste specifiche. Parte dei token PRT contiene informazioni su IP reali, mentre altri no, e il contenuto del token può essere determinato solo dopo un certo periodo di tempo, decifrato con una chiave fornita da Google dopo una richiesta separata. Queste informazioni sugli indirizzi IP possono essere utilizzate nei sistemi di protezione contro le frodi e per analizzare la qualità del traffico web.
- In modalità incognito è implementato un meccanismo di "Script Blocking" che blocca selettivamente l'accesso ad alcune API JavaScript, utilizzabili per identificare l'utente in modo nascosto. Ad esempio, le differenze nel rendering delle immagini tra diversi browser possono essere considerate come un ulteriore segno di identificazione attraverso l'API Canvas. Il blocco avviene solo per contenuti di terze parti (ad esempio, incorporati nella pagina tramite tag iframe o script) quando viene rilevata un'attività specifica per l'identificazione nascosta, e per i domini presenti nella lista nera MDL (Masked Domain List), colpevoli di identificazione nascosta.
- È stata attivata la modalità OverrideDefaultOzonePlatformHintToAuto per la selezione automatica del backend nel layer Ozone, che astrae l'interazione con il sistema grafico. Questa modifica permette l'attivazione dinamica del backend Wayland su sistemi compatibili senza legarsi di default al backend X11.
- È attivata la funzione di cambio automatico della password, basata sull'uso dell'IA. Se la password è presente in database noti di account compromessi, al tentativo di accesso con quella password, Chrome visualizzerà un avviso suggerendo di cambiarla. Se si accetta, il browser genererà una password resistente agli attacchi, cambierà la password sul sito (compilando e inviando automaticamente i moduli web necessari) e salverà la nuova password nel gestore delle password.
- È stata aggiunta l'ottimizzazione DSE Prewarming (Default Search Engine Prewarming) per accelerare l'apertura della pagina con i risultati di ricerca dopo l'esecuzione di una richiesta tramite la barra degli indirizzi. Con DSE Prewarming attivo, subito dopo che il focus dell'input è stato spostato sulla barra degli indirizzi, viene effettuato il prerendering del layout della pagina con i risultati di ricerca e il caricamento delle risorse necessarie per questa pagina. Le risorse caricate vengono utilizzate anche per accelerare le richieste successive. Questa funzione è attualmente attivata per impostazione predefinita solo per una parte degli utenti.
- Sono stati ampliati i mezzi di completamento automatico dei moduli, che utilizzano un modello AI per comprendere il modulo web e compilare automaticamente i campi, basandosi su come l'utente ha precedentemente compilato moduli simili. L'impostazione "Autofill with AI" è stata rinominata in "Enhanced autofill". Nella nuova versione è stato ampliato il numero di paesi e lingue per cui è disponibile la funzione, ed è stato aggiunto il supporto per ulteriori tipi di informazioni.
- Per gli utenti degli Stati Uniti, è attivato il chatbot integrato nel browser Gemini, che può spiegare il contenuto della pagina visualizzata e rispondere a domande correlate senza cambiare scheda. È supportata l'interazione testuale e vocale con Gemini. In futuro, è prevista l'inclusione del chatbot anche per gli utenti di altri paesi.
- A tutti gli utenti è stata attivata la possibilità di unirsi a gruppi già creati di schede condivise, con cui possono lavorare contemporaneamente più utenti. Il supporto per la creazione di gruppi è attualmente disponibile solo per gli utenti delle versioni di test (Beta/Dev/Canary), ed è previsto che possano creare un insieme di schede e condividerlo con altri utenti, che vedranno le stesse schede sui loro dispositivi. Qualora uno dei partecipanti cambi scheda nel gruppo, la modifica verrà immediatamente riflessa anche sui dispositivi degli altri utenti.
- È stata modificata la visualizzazione degli avvisi mostrati quando si tenta di aprire un sito senza HTTPS, nel caso in cui nelle impostazioni (chrome://settings/security) sia impostato il regime di connessioni sicure. Invece di una pagina di avviso, verrà visualizzato un dialogo sotto la barra degli indirizzi che blocca il caricamento dei dati non crittografati fino a quando l'utente non effettuerà una scelta.
- Nelle richieste relative al prefetching o al prerendering delle risorse (<link rel=prefetch> o <link rel=prerender>), è stata introdotta l'invio dell'intestazione HTTP «Sec-Purpose». L'intestazione HTTP «Purpose: prefetch» precedentemente utilizzata per questi scopi è stata dichiarata obsoleta, ma al momento non è disabilitata per impostazione predefinita per garantire la compatibilità.
- Nell'API ToggleEvent è stata aggiunta la proprietà source, che contiene un oggetto Element che rappresenta il controllo che ha innescato il cambiamento di stato, in risposta al quale è stato generato l'evento Toggle. Ad esempio, quando l'utente fa clic su un elemento «<button>» con l'attributo «popovertarget», durante l'apertura di un popup verrà generato un evento ToggleEvent, la cui proprietà «source» consentirà di capire quale elemento «<button>» è stato premuto.
- È stata aggiunta la possibilità di utilizzare le funzioni counter() e counters() all'interno del testo alternativo nella proprietà «content» (ad esempio, ‘content: «Capitolo» counter(chapter);’).
- È stata aggiunta la proprietà CSS «caret-animation», che consente di controllare l'animazione del cursore nei campi di input (ad esempio, il lampeggiamento del cursore può essere sostituito da un'animazione personalizzata). Sono state inoltre aggiunte le proprietà animation-timing-function, animation-iteration-count, animation-direction e animation-play-state per gestire gli effetti delle animazioni transitorie.
- Nella regola CSS «@font-face» è stata implementata la supporto della proprietà font-variation-settings per personalizzare i glifi nei caratteri variabili (spessore delle linee, larghezza dei simboli, inclinazione dei simboli, ecc.)
- In CSS è stata aggiunta la supporto per l'aritmetica tipizzata, che consente di utilizzare espressioni come «calc(10em / 1px)» e «calc(20% / 0.5em * 1px)».
- Sono stati aggiunti i metodi Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 e Uint8Array.fromHex per la conversione tra Uint8Array e dati in formato base64 o rappresentazione esadecimale.
- Negli strumenti per sviluppatori web sono state ampliate le funzionalità relative all'applicazione dell'AI per il debug dei problemi di prestazioni. È stato aggiunto il supporto per l'emulazione del comportamento utilizzando l'intestazione HTTP «Save-Data».
Oltre alle novità e correzioni di bug, la nuova versione ha risolto 6 vulnerabilità. Molte di queste vulnerabilità sono state individuate grazie ai test automatizzati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state rilevate criticità che consentono di bypassare tutti i livelli di sicurezza del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, Google ha riconosciuto 4 premi per un totale di 10.000 dollari (composti da uno premio di $5000, $4000 e $1000). L'importo di una singola ricompensa non è ancora stato definito.
Fonte: opennet.ru
