Rilascio di Chrome 100

L'azienda Google ha presentato il rilascio del browser web Chrome 100. È disponibile contemporaneamente la versione stabile del progetto open source Chromium, che costituisce la base di Chrome. Il browser Chrome si distingue per l'utilizzo dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamenti automatici e la trasmissione dei parametri RLZ durante la ricerca. La prossima versione di Chrome 101 è prevista per il 26 aprile.

Principali modifiche in Chrome 100:

• Con l'arrivo della versione 100, composta da tre cifre invece di due, non si escludono malfunzionamenti su alcuni siti che utilizzano librerie errate per l'analisi del valore User-Agent. In caso di problemi, è prevista l'impostazione "chrome://flags##force-major-version-to-minor", che consente di ripristinare l'output nell'intestazione User-Agent della versione 99, pur utilizzando la versione 100.
• Chrome 100 è contrassegnato come ultima versione con il contenuto completo dell'User-Agent. Nella prossima versione inizierà la riduzione delle informazioni nell'intestazione HTTP User-Agent e nei parametri JavaScript navigator.userAgent, navigator.appVersion e navigator.platform. Nell'intestazione rimarranno solo le informazioni sul nome del browser, versione principale del browser, piattaforma e tipo di dispositivo (telefono cellulare, PC, tablet). Per ottenere dati aggiuntivi, come la versione esatta e informazioni dettagliate sulla piattaforma, sarà necessario utilizzare l'API User Agent Client Hints. Per i siti che non trovano sufficienti le nuove informazioni e che non sono ancora pronti a passare a User Agent Client Hints, è prevista la possibilità di restituire l'intero User-Agent fino a maggio 2023.
• È stata aggiunta un'opzione sperimentale per mostrare un indicatore di download nella barra degli indirizzi, cliccando sul quale viene mostrato lo stato dei file in installazione e già scaricati, simile alla pagina chrome://downloads. Per attivare l'indicatore è prevista l'impostazione "chrome://flags#download-bubble".
• È stata ripristinata la possibilità di disattivare l'audio cliccando sull'indicatore di riproduzione mostrato sul pulsante della scheda (in precedenza l'audio poteva essere disattivato tramite il menu contestuale). Per abilitare questa funzionalità è stata aggiunta l'impostazione "chrome://flags#enable-tab-audio-muting".
• Aggiunta l'impostazione «chrome://flags/#enable-lens-standalone» per disabilitare l'applicazione del servizio Google Lens per la ricerca per immagine (voce «Trova immagine» nel menu contestuale).
• Quando si concede l'accesso condiviso alla scheda (tab-sharing), ora viene evidenziata con una cornice blu solo la parte con il contenuto trasmesso all'altro utente, anziché l'intera scheda.
• Logo del browser aggiornato. Rispetto alla versione del 2014, il nuovo logo si distingue per un cerchio leggermente più grande al centro, colori più vivaci e l'assenza di ombre ai confini tra i colori.
• Modifiche nella versione per Android:
  • Interrotta la supporto per la modalità risparmio dati «Lite», che riduceva il bitrate durante lo streaming video e applicava una compressione aggiuntiva per le immagini. Si segnala che la modalità è stata rimossa a causa della diminuzione dei costi delle tariffe nelle reti mobili e dello sviluppo di altri metodi per ridurre il traffico.
  • Aggiunta la possibilità di eseguire azioni con il browser dalla barra degli indirizzi. Ad esempio, digitando «cancellare la cronologia», il browser offre di passare al modulo di cancellazione della cronologia delle attività, oppure «modificare le password» e il browser aprirà il gestore delle password. Questa funzionalità è stata implementata nella versione Chrome 87 per i sistemi desktop.
  • Supporto per l'accesso all'account Google tramite scansione di un codice QR visualizzato su un altro dispositivo.
  • Visualizzazione di una finestra di conferma dell'operazione quando si tenta di chiudere tutte le schede in una sola volta.
  • Sulla pagina di apertura di una nuova scheda è apparso un interruttore tra la visualizzazione degli RSS (Following) e dei contenuti raccomandati (Discover).
  • Interrotta la possibilità di utilizzare i protocolli TLS 1.0/1.1 nel componente Android WebView. Nel browser stesso, il supporto per TLS 1.0/1.1 è stato rimosso nella versione Chrome 98. Nella versione attuale, una modifica analoga è stata applicata alle applicazioni mobili che utilizzano il componente WebView, le quali non potranno più connettersi a server che non supportano TLS 1.2 o TLS 1.3.
• Durante il controllo dei certificati utilizzando il meccanismo di Certificate Transparency per la convalida del certificato, è ora richiesta la presenza di registrazioni SCT firmate (signed certificate timestamp) in due log diversi gestiti da operatori diversi (in precedenza era necessaria una registrazione nel log di Google e in un log di un altro operatore). Certificate Transparency fornisce la gestione di log pubblici e indipendenti di tutti i certificati emessi e revocati, consentendo audit indipendenti di tutte le modifiche e delle azioni delle autorità di certificazione, e permette di monitorare qualsiasi tentativo di creazione occulta di registrazioni falsificate.

  Per gli utenti che hanno attivato la modalità Safe Browsing, l'audit delle registrazioni SCT utilizzate nei log di Certificate Transparency è attivato per impostazione predefinita. Questo cambiamento porterà all'invio di ulteriori richieste a Google per verificare il corretto funzionamento del log. Le richieste di verifica vengono inviate molto raramente, circa una volta ogni 10.000 connessioni TLS. In caso di problemi, i dati relativi alla catena di certificati problematica e agli SCT verranno trasmessi a Google (vengono trasmessi solo dati sui certificati e sugli SCT già pubblicamente disponibili).
• Attivando la modalità avanzata di protezione dai siti pericolosi (Enhanced Safe Browsing) e accedendo all'account Google, i dati inviati a servers Google sugli incidenti ora includono token legati all'account Google, il che consente di potenziare la protezione contro phishing, attività malevole e altre minacce sul web. Per le sessioni in modalità incognito, tali dati non vengono trasmessi.
• Nella versione desktop di Chrome è stata introdotta la possibilità di rifiutare avvisi sull'uso di password compromesse.
• È stato aggiunto l'API Multi-Screen Window Placement, attraverso il quale è possibile ottenere informazioni sui monitor collegati al computer e organizzare il posizionamento delle finestre sugli schermi desiderati. Con il nuovo API è anche possibile selezionare con precisione la posizione delle finestre visualizzate e determinare il passaggio alla modalità schermo intero, avviato tramite il metodo Element.requestFullscreen(). Tra gli esempi di utilizzo del nuovo API si citano applicazioni per la presentazione (output su proiettori e visualizzazione delle note sullo schermo del laptop), applicazioni finanziarie e sistemi di monitoraggio (posizionamento di grafici su schermi diversi), applicazioni mediche (visualizzazione di immagini su schermi separati ad alta risoluzione), giochi, editor grafici e altri tipi di applicazioni multi-finestra.
• In modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) è stata implementata la supporto all'accesso alle Media Source Extensions da worker dedicati, che può essere utilizzato, ad esempio, per migliorare le prestazioni della riproduzione di dati multimediali in buffer creando un oggetto MediaSource in un worker separato e trasmettendo i risultati della sua elaborazione all'HTMLMediaElement nel thread principale. L'Origin Trial implica la possibilità di utilizzare il suddetto API da applicazioni caricate da localhost o 127.0.0.1, oppure dopo la registrazione e l'ottenimento di un token speciale valido per un tempo limitato per un sito specifico.
• È stato stabilizzato e reso disponibile a tutti l'API Digital Goods, destinato a semplificare l'organizzazione degli acquisti nelle web-applicazioni. Fornisce un collegamento ai servizi di distribuzione dei beni, e in Android offre un wrapper sopra l'API Android Play Billing.
• È stato aggiunto il metodo AbortSignal.throwIfAborted(), che consente di gestire l'interruzione dell'esecuzione del segnale tenendo conto dello stato del segnale e della causa della sua interruzione.
• Nell'oggetto HIDDevice è stato aggiunto il metodo forget(), che consente di revocare le autorizzazioni di accesso all'input dell'utente.
• Nella proprietà CSS mix-blend-mode, che definisce il metodo di miscelazione quando si sovrappongono elementi, è stata aggiunta la supporto al valore "plus-lighter" per evidenziare le intersezioni di due elementi con pixel comuni.
• Nell'oggetto NDEFReader è stato aggiunto il metodo makeReadOnly(), che consente di utilizzare i tag NFC in modalità di sola lettura.
• Nell'API WebTransport progettato per l'invio e la ricezione di dati tra il browser e il server, è stata aggiunta l'opzione serverCertificateHashes per l'autenticazione della connessione al server tramite hash del certificato senza utilizzare Web PKI (ad esempio, quando ci si connette a server o a una macchina virtuale non nella rete pubblica).
• Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Le funzionalità del pannello Recorder sono state ampliate, consentendo di registrare, riprodurre e analizzare le azioni dell'utente sulla pagina. Durante la visualizzazione del codice durante il debug, vengono visualizzati i valori delle proprietà passando il cursore sui classi o funzioni. Nell'elenco dei dispositivi emulati, il User-Agent per iPhone è stato aggiornato alla versione 13_2_3. Nel pannello di navigazione dei CSS è stata implementata la possibilità di visualizzare e modificare le regole '@supports'.

Oltre alle novità e alle correzioni di bug, nella nuova versione sono state eliminate 28 vulnerabilità. Molte di queste vulnerabilità sono state identificate tramite test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state rilevate problematiche critiche che consentirebbero di eludere tutti i livelli di sicurezza del browser per eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, per la versione attuale, Google ha elargito 20 premi per un totale di 51 mila dollari USA (un premio di $16000, due premi di $7000, tre premi di $5000 e un premio ciascuno di $3000, $2000 e $1000. L'importo di 11 premi deve ancora essere definito.

Fonte: opennet.ru