Chrome 86

È stato rilasciato un nuovo aggiornamento di Chrome 86 e una versione stabile di Chromium.

Le principali novità in Chrome 86:

• protezione contro l'invio non sicuro di moduli su pagine caricate tramite HTTPS, ma che inviano dati tramite HTTP.
• Il blocco di download non sicuri (http) di file eseguibili è stato ampliato per includere il blocco dei download non sicuri di archivi (zip, iso, ecc.) e per visualizzare avvisi durante il download non sicuro di documenti (docx, pdf, ecc.). Nella prossima versione ci si aspetta il blocco dei documenti e la visualizzazione di avvisi per immagini, file di testo e multimediali. Questo blocco è stato implementato poiché il download di file non crittografati può essere utilizzato per azioni dannose tramite la modifica del contenuto in attacchi MITM.
• Nel menu contestuale è visualizzata per impostazione predefinita l'opzione "Mostra sempre l'URL completo", che in precedenza richiedeva l'modifica delle impostazioni nella pagina about:flags per essere attivata. È anche possibile visualizzare l'URL completo facendo doppio clic sulla barra degli indirizzi. Ricordiamo che a partire da Chrome 76, per impostazione predefinita, l'indirizzo è mostrato senza il protocollo e il sottodominio www. In Chrome 79 è stata rimossa l'impostazione per ripristinare il vecchio comportamento, ma a seguito delle lamentele degli utenti, in Chrome 83 è stata aggiunta una nuova opzione sperimentale che include nel menu contestuale un'opzione per disattivare la nascita e mostrare l'URL completo in qualsiasi condizione.
  Per una piccola percentuale di utenti è stato avviato un esperimento che visualizza per impostazione predefinita solo il dominio nella barra degli indirizzi, senza elementi di percorso e parametri di query. Ad esempio, invece di "https://example.com/secure-google-sign-in/" verrà mostrato «example.com». Si prevede che l'implementazione della modalità proposta venga estesa a tutti gli utenti in una delle prossime versioni. Per disattivare questo comportamento, è possibile utilizzare l'opzione «Mostra sempre l'URL completo» e per visualizzare l'intero URL, è sufficiente cliccare sulla barra degli indirizzi. La motivazione del cambiamento è il desiderio di proteggere gli utenti dal phishing, che sfrutta i parametri nell'URL: i truffatori approfittano della disattenzione degli utenti per creare l'illusione di stare visitando un altro sito e compiere frodi (se per un utente tecnicamente esperto queste sostituzioni sono evidenti, i neofiti possono facilmente cadere in queste semplici manipolazioni).
• Ripresa l'iniziativa per rimuovere il supporto per FTP. In Chrome 86 FTP è disabilitato per impostazione predefinita per circa l'1% degli utenti, e in Chrome 87 la disattivazione sarà estesa al 50%, ma il supporto potrà essere ripristinato tramite il flag "—enable-ftp" o "—enable-features=FtpProtocol". In Chrome 88 il supporto FTP sarà completamente disabilitato.
• Nella versione per Android, analogamente alla versione desktop, il gestore delle password implementa un controllo dei login e delle password salvati contro un database di account compromessi, segnalando eventuali problemi o tentativi di utilizzo di password banali. Il controllo viene eseguito su un database che comprende oltre 4 miliardi di account compromessi, emersi in fuga di dati. Per garantire la privacy, viene utilizzato un confronto dell'hash-prefisso sul lato utente, e le password e i loro hash completi non vengono trasmessi esternamente.
• Nella versione per Android sono state trasferite anche il pulsante "Controllo sicurezza" (Safety check) e la modalità avanzata di protezione contro i siti pericolosi (Enhanced Safe Browsing). Il pulsante "Controllo sicurezza" fornisce un riepilogo su potenziali problemi di sicurezza, come l'uso di password compromesse, lo stato del controllo dei siti malevoli (Safe Browsing), la presenza di aggiornamenti non installati e l'individuazione di estensioni dannose. La modalità avanzata di protezione attiva controlli aggiuntivi per difendersi da phishing, attività malevole e altre minacce sul web, e include una protezione supplementare per l'account Google e i servizi Google (Gmail, Drive, ecc.). Se nella modalità normale di Safe Browsing i controlli vengono eseguiti localmente utilizzando un database scaricato periodicamente sul sistema client, nella modalità Enhanced Safe Browsing le informazioni sulle pagine e sui download vengono inviate in tempo reale per la verifica ai server Google, permettendo di rispondere prontamente alle minacce non appena vengono rilevate, senza aspettare l'aggiornamento della lista nera locale.
• È stato aggiunto il supporto per il file indicatore ".well-known/change-password", che consente ai proprietari di siti web di specificare l'indirizzo del modulo web per la reimpostazione della password. In caso di compromissione delle credenziali dell'utente, Chrome ora propone immediatamente un modulo per cambiare la password, basato sulle informazioni fornite da questo file.
• È stata implementata la nuova avvertenza "Safety Tip", visualizzata all'apertura di siti il cui dominio è molto simile a un altro e l'euristica indica un'alta probabilità di spoofing (ad esempio, è aperto goog0le.com invece di google.com).

  * È stato implementato il supporto per la cache di retrocessione (Back-forward cache), che consente un passaggio istantaneo quando si utilizzano i pulsanti "Indietro" e "Avanti" o si naviga tra le pagine già visualizzate dello stesso sito. La cache può essere attivata tramite l'impostazione chrome://flags/#back-forward-cache.
• Ottimizzazione del consumo delle risorse CPU delle finestre al di fuori dell'area visibile. Chrome verifica se la finestra del browser è oscurata da altre finestre ed esclude il rendering dei pixel nelle aree sovrapposte. Questa ottimizzazione è stata attivata per una piccola percentuale di utenti nelle versioni 84 e 85 di Chrome ed è ora attivata per tutti. Rispetto alle versioni precedenti, è stata inoltre risolta l'incompatibilità con i sistemi di virtualizzazione, che causava la visualizzazione di pagine bianche vuote.
• Rafforzato il trimming delle risorse per le schede in background. Tali schede ora non possono consumare più dell'1% delle risorse CPU e possono attivarsi non più di una volta al minuto. Dopo cinque minuti di inattività in background, le schede vengono congelate, tranne quelle in cui viene riprodotto contenuto multimediale o che stanno registrando.
• È stata ripresa l'integrazione dell'intestazione HTTP User-Agent. Nella nuova versione è stata attivata per tutti gli utenti la supporto meccanismo User-Agent Client Hints, sviluppato come sostituto del User-Agent. Questo nuovo meccanismo prevede l'invio selettivo dei dati sui parametri specifici del browser e del sistema (versione, piattaforma, ecc.) solo su richiesta del server, offrendo agli utenti la possibilità di fornire queste informazioni ai proprietari dei siti. Utilizzando User-Agent Client Hints, l'identificatore non viene inviato per impostazione predefinita senza una richiesta esplicita, rendendo impossibile l'identificazione passiva (per impostazione predefinita viene indicato solo il nome del browser).
  È stata modificata l'indicazione della disponibilità degli aggiornamenti e la necessità di riavviare il browser per l'installazione. Invece della freccia colorata nel campo dell'avatar dell'account, ora appare la dicitura 'Update'.
• È stata completata la traduzione del browser per l'uso di una terminologia inclusiva. Nei nomi delle politiche, le parole "whitelist" e "blacklist" sono state sostituite da "allowlist" e "blocklist" (le politiche già aggiunte continueranno a funzionare, ma verrà visualizzato un avviso che segnala il cambiamento a una versione obsoleta). Nel codice e nei nomi dei file, i riferimenti a "blacklist" sono stati sostituiti con "blocklist". I riferimenti visibili all'utente a "blacklist" e "whitelist" sono stati sostituiti già all'inizio del 2019.
  È stata aggiunta una funzione sperimentale per modificare le password salvate, attivabile tramite il flag "chrome://flags/#edit-passwords-in-settings".
• È stato rilasciato come stabile e pubblico l'API Native File System, che consente di creare applicazioni web che interagiscono con i file nel filesystem locale. Ad esempio, la nuova API potrebbe essere utile negli ambienti di sviluppo integrati, nei editor di testo, immagini e video eseguiti nel browser. Per ottenere la possibilità di scrivere e leggere file direttamente o di utilizzare dialoghi per aprire e salvare file, nonché per navigare nel contenuto delle cartelle, l'applicazione richiede una conferma speciale da parte dell'utente.
• È stato aggiunto il selettore CSS ":focus-visible", che utilizza la stessa euristica impiegata dai browser per decidere quando mostrare l'indicatore di cambio focus (l'indicatore appare quando il focus è spostato su un pulsante con combinazioni di tasti, mentre non appare con un clic del mouse). In precedenza, il selettore CSS ":focus" evidenziava sempre il focus. Inoltre, nelle impostazioni è stata aggiunta l'opzione "Quick Focus Highlight"; quando attivata, un indicatore di focus aggiuntivo verrà mostrato accanto agli elementi attivi e rimarrà visibile anche se gli stili per l'evidenziazione del focus sono disabilitati tramite CSS.
• Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata), sono state aggiunte diverse nuove API. L'Origin Trial permette l'accesso a queste API da applicazioni caricate da localhost o 127.0.0.1, oppure dopo registrazione e ottenimento di un token speciale, valido per un tempo limitato per un sito specifico.
• L'API WebHID fornisce accesso a basso livello ai dispositivi HID (Human Interface Device, come tastiere, mouse, gamepad e touchpad), consentendo di implementare la logica per interagire con i dispositivi HID in JavaScript, utile per gestire dispositivi HID rari senza la necessità di driver specifici nel sistema. Questa nuova API è principalmente pensata per supportare i gamepad.
• L'API Screen Information amplia le funzionalità della gestione delle finestre API supportando configurazioni multi-schermo. A differenza di window.screen, questa nuova API consente di manipolare la posizione delle finestre nello spazio dello schermo comune dei sistemi con più monitor, senza limitarsi allo schermo attuale.
• Il meta-tag battery-savings consente al sito di informare il browser della necessità di attivare modalità di risparmio energetico e ottimizzazione del carico sulla CPU.
• L'API COOP Reporting è progettata per informare riguardo a potenziali violazioni delle politiche di isolamento Cross-Origin-Embedder-Policy (COEP) e Cross-Origin-Opener-Policy (COOP), senza applicare restrizioni effettive.
• Nell'API Credential Management è stato introdotto un nuovo tipo di credenziali, PaymentCredential, che fornisce un'ulteriore conferma dell'operazione di pagamento effettuata. L'entità che verifica, come ad esempio una banca, ha la possibilità di generare una chiave pubblica PublicKeyCredential, che può essere richiesta dal venditore per una conferma di pagamento sicura aggiuntiva.
• Nell'API PointerEvents è stata aggiunta la supporto per gli angoli di altezza (l'angolo tra la penna e lo schermo) e azimut (l'angolo tra l'asse X e la proiezione della penna sullo schermo) per determinare l'inclinazione della penna, invece degli angoli TiltX e TiltY (gli angoli tra il piano della penna e uno degli assi e il piano degli assi Y e Z). Sono state anche aggiunte funzioni di conversione tra altezza/azimut e TiltX/TiltY.
• Изменено кодирование пробела в URL, при его вычислении в обработчиках протокола — метод navigator.registerProtocolHandler() теперь заменяет пробелы на «%20» вместо «+», что унифицирует поведение с другими браузерами, такими как Firefox.
• In CSS è stato aggiunto il pseudo-elemento "::marker", che consente di personalizzare il colore, la dimensione, la forma e il tipo di numeri e punti per le enumerazioni nei blocchi
  e
  .
  1. È stata aggiunta la supporto per l'intestazione HTTP Document-Policy, che consente di impostare regole di accesso ai documenti simili al meccanismo di isolamento sandbox per iframe, ma più universale. Ad esempio, tramite Document-Policy è possibile limitare l'uso di immagini di bassa qualità, disabilitare API JavaScript lente, configurare le regole di caricamento per iframe, immagini e script, limitare la dimensione totale del documento e il traffico, vietare metodi che portano a un ridisegno della pagina, disabilitare la funzione Scroll-To-Text.
  2. Nel elemento <fieldset> è stata aggiunta la supporto per i parametri ‘inline-grid’, ‘grid’, ‘inline-flex’ e ‘flex’, definiti tramite la proprietà CSS ‘display’.
  3. È stato aggiunto il metodo ParentNode.replaceChildren() per sostituire tutti gli elementi figli del nodo genitore con un altro nodo DOM. In precedenza, per la sostituzione dei nodi si poteva utilizzare una combinazione dei metodi node.removeChild() e node.append() oppure node.innerHTML e node.append().
  4. È stata ampliata la gamma di schemi URL ammissibili per la sovrascrittura tramite registerProtocolHandler(). Sono stati inclusi nel l'elenco degli schemi protocolli decentralizzati come cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns e ssb, il che consente di definire collegamenti agli elementi indipendentemente dal sito o dal gateway che fornisce accesso alla risorsa.
  5. Nell'API Asynchronous Clipboard è stata aggiunta la supporto per il formato text/html per copiare e incollare HTML attraverso il clipboard (quando si scrive e si legge nel clipboard viene effettuata una pulizia delle strutture HTML pericolose). Questa modifica consente, ad esempio, di organizzare nei web editor il copia e incolla di testo formattato con immagini e link.
  6. In WebRTC è stata aggiunta la possibilità di collegare gestori di dati personalizzati, invocati nelle fasi di codifica o decodifica del WebRTC MediaStreamTrack. Questa funzionalità può essere utilizzata per aggiungere supporto alla crittografia end-to-end dei dati trasmessi attraverso server intermedi.
     Nel motore JavaScript V8, l'implementazione di Number.prototype.toString è stata accelerata del 75%. Negli async classes è stata aggiunta la proprietà .name con valore vuoto. È stato eliminato il metodo Atomics.wake, che era stato rinominato in Atomics.notify per allinearsi con la specifica ECMA-262. Il codice del toolkit di fuzzing JS-Fuzzer è stato reso accessibile.
  7. Nel precedente rilascio, il compilatore di base Liftoff per WebAssembly ha introdotto il supporto per le istruzioni vettoriali SIMD, consentendo un'accelerazione nei calcoli. Secondo i test, questa ottimizzazione ha permesso di aumentare la velocità in alcuni test fino a 2,8 volte. Un'altra ottimizzazione ha significativamente accelerato le chiamate a funzioni JavaScript importate da WebAssembly.
  8. Strumenti per gli sviluppatori web ampliati: nel pannello Media sono state aggiunte informazioni sui lettori utilizzati per la riproduzione di video sulla pagina, comprese informazioni sugli eventi, i log, i valori delle proprietà e i parametri di decodifica dei fotogrammi (ad esempio, è possibile identificare le cause di perdita di fotogrammi e problemi di interazione da JavaScript).
  9. Nel menu contestuale del pannello Elements è stata aggiunta la funzione per creare screenshot di un elemento selezionato (ad esempio, è possibile scattare uno screenshot del sommario o di una tabella).
  10. Nella console web, il pannello di avviso sui problemi è stato sostituito con un messaggio normale, e i problemi relativi ai cookie di terze parti sono nascosti di default nella scheda Issues e devono essere attivati con un'apposita opzione.
  11. Nella scheda Rendering è stato aggiunto il pulsante «Disabilita i font locali», che consente di simulare l'assenza di font locali, mentre nella scheda Sensors è stata introdotta l'opzione per simulare l'inattività dell'utente (per le applicazioni che utilizzano l'API Idle Detection).
  12. Nel pannello Application è fornita un'informativa dettagliata su ogni iframe, finestra aperta e pop-up, inclusi i dati sull'isolamento Cross-Origin tramite COEP e COOP.

  È iniziata la sostituzione dell'implementazione del protocollo QUIC con quella sviluppata nella specifica IETF, al posto della variante di Google QUIC.
  Oltre alle nuove funzionalità e alle correzioni di bug, nella nuova versione sono state risolte 35 vulnerabilità. Molte di queste sono state scoperte grazie a test automatici utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Una vulnerabilità (CVE-2020-15967, accesso a un'area di memoria liberata nel codice per l'interazione con Google Payments) è stata classificata come critica, permettendo di eludere tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità, Google ha erogato 27 premi per l'attuale rilascio, per un totale di 71.500 dollari (un premio di 15.000 dollari, tre premi da 7.500 dollari, cinque premi da 5.000 dollari, due premi da 3.000 dollari, un premio da 200 dollari e due premi da 500 dollari). L'ammontare di 13 premi non è ancora stato definito.

  Prelevato da Opennet.ru

  Fonte: linux.org.ru