Google ha rilasciato la versione 103 del browser web Chrome. Contemporaneamente è disponibile la versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamento automatico, l'attivazione permanente della sandboxing, la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, è disponibile un ramo Extended Stable, supportato per 8 settimane. Il prossimo rilascio di Chrome 104 è previsto per il 2 agosto.
Le principali novità in Chrome 103:
- È stato aggiunto un editor di immagini sperimentale, disponibile per modificare gli screenshot delle pagine. Nell'editor sono disponibili funzionalità come ritaglio, selezione dell'area, disegno a mano libera, scelta del colore, aggiunta di etichette testuali e creazione di forme standard e primitivi, come linee, rettangoli, cerchi e frecce. Per attivare l'editor, è necessario abilitare le impostazioni "chrome://flags/#sharing-desktop-screenshots" e "chrome://flags/#sharing-desktop-screenshots-edit". Dopo aver creato uno screenshot tramite il menu Condividi nella barra degli indirizzi, puoi accedere all'editor facendo clic sul pulsante "Modifica" sulla pagina di anteprima dello screenshot.
- Sono state ampliate le capacità del meccanismo di prerendering aggiunto in Chrome 101, che migliora la visualizzazione dei contenuti suggeriti nella barra degli indirizzi Omnibox. Il prerendering si aggiunge alla funzionalità precedentemente disponibile, che consentiva il caricamento dei suggerimenti più probabili senza attendere il clic dell'utente. Oltre al caricamento, il contenuto delle pagine correlate ai suggerimenti può ora essere renderizzato in cache (compresi l'esecuzione di script e la creazione dell'albero DOM), il che consente un'immediata visualizzazione dei suggerimenti dopo il clic. Per gestire il prerendering sono disponibili le impostazioni «chrome://flags/#enable-prerender2», «chrome://flags/#omnibox-trigger-for-prerender2» e «chrome://flags/#search-suggestion-for-prerender2».
In Chrome 103 per Android è stato aggiunto l'API Speculations Rules, che consente agli autori di siti di inviare informazioni al browser sulle pagine più probabili su cui l'utente potrebbe navigare. Il browser utilizza queste informazioni per caricare e renderizzare preventivamente i contenuti delle pagine.
- Nella versione per Android è stato implementato un nuovo gestore delle password, che offre la stessa interfaccia unificata per la gestione delle password adottata per le applicazioni Android.
- Nella versione per Android è stata aggiunta la supporto per il servizio «With Google», che consente agli utenti di esprimere gratitudine ai loro siti preferiti registrati nel servizio, inviando adesivi digitali a pagamento o gratuiti. Il servizio è attualmente disponibile solo per gli utenti negli Stati Uniti.
- Migliorato il completamento automatico dei campi per i numeri delle carte di credito e debito, ora supporta le carte salvate tramite Google Pay.
- Nella versione per Windows è attivato di default un client DNS integrato, utilizzato anche nelle versioni per macOS, Android e Chrome OS.
- Stabilito e reso disponibile a tutti l'API Local Font Access, che permette di identificare e utilizzare i font installati nel sistema e di manipolarli a un livello basso (ad esempio, filtrare e trasformare i glifi).
- Aggiunta la supporto per il codice di risposta HTTP 103, che consente di informare il client sul contenuto di alcuni header HTTP subito dopo la richiesta, senza dover attendere. un server eseguirà tutte le operazioni correlate alla richiesta e inizierà a restituire contenuti. In questo modo è possibile comunicare suggerimenti su elementi correlati alla pagina restituita, che potrebbero essere previamente caricati (ad esempio, potrebbero essere forniti dei collegamenti ai file css e javascript utilizzati nella pagina). Ricevendo informazioni su queste risorse, il browser può iniziare a scaricarle senza attendere il completamento della restituzione della pagina principale, riducendo così il tempo totale di elaborazione della richiesta.
- In modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata), è iniziata la sperimentazione dell'API Federated Credential Management (FedCM) solo nelle versioni per la piattaforma Android, permettendo di creare servizi di identificazione unificati che garantiscono la privacy e funzionano senza meccanismi di tracciamento cross-site, come la gestione dei Cookie di terze parti. L'Origin Trial prevede la possibilità di lavorare con l'API indicata da applicazioni caricate da localhost o 127.0.0.1, o dopo registrazione e ricezione di un token speciale valido per un tempo limitato per un sito specifico.
- Nell'API Client Hints, sviluppata come sostituzione dell'intestazione User-Agent e che consente di restituire selettivamente dati su parametri specifici del browser e del sistema (versione, piattaforma, ecc.) solo su richiesta server, è stata aggiunta la possibilità di sostituire nella lista degli identificatori del browser nomi fittizi, analogamente a quanto utilizzato nel meccanismo GREASE (Generate Random Extensions And Sustain Extensibility) di TLS. Ad esempio, oltre a ‘»Chrome»; v=»103″‘ e ‘»Chromium»; v=»103″‘, è possibile aggiungere un identificatore casuale di un browser inesistente ‘»(Not;Browser»; v=»12″‘. Tale sostituzione consentirà di identificare problemi con il trattamento degli identificatori di browser sconosciuti, costringendo browser alternativi a fingersi altri browser popolari per superare il controllo delle liste di browser consentiti.
- I file in formato immagine AVIF sono stati aggiunti alla lista di quelli consentiti per la condivisione tramite l'API iWeb Share.
- È stato aggiunto il supporto per il formato di compressione «deflate-raw», che consente l'accesso a un flusso compresso grezzo senza intestazioni e blocchi finali di servizio, utilizzabile, ad esempio, per la lettura e scrittura di file zip.
- Per gli elementi dei web form è stata introdotta la possibilità di utilizzare l'attributo «rel», consentendo di applicare al collegamento nelle web form il parametro «rel=noreferrer» per disattivare la trasmissione dell'intestazione Referer, oppure «rel=noopener» per disabilitare la proprietà Window.opener e vietare l'accesso al contesto da cui è avvenuto il passaggio.
- L'implementazione dell'evento popstate è stata allineata al comportamento di Firefox. L'evento popstate ora viene generato immediatamente dopo la modifica dell'URL senza attendere l'evento load.
- Per le pagine aperte senza HTTPS e all'interno di blocchi iframe, è vietato accedere alle API Gamepad e Battery Status.
- Nell'oggetto SerialPort è stato aggiunto il metodo forget() per rinunciare ai diritti precedentemente ottenuti dall'utente per accedere alla porta seriale.
- Nella proprietà CSS overflow-clip-margin è stato aggiunto l'attributo visual-box, che determina da quale punto dovrebbe iniziare il ritaglio del contenuto che esce dai limiti dell'area (può assumere i valori content-box, padding-box e border-box).
- All'interno dei blocchi iframe con attributo sandbox, è vietato chiamare protocolli esterni e avviare applicazioni esterne. Per annullare queste restrizioni è necessario utilizzare le proprietà allow-popups, allow-top-navigation e allow-top-navigation-with-user-activation.
- Il supporto per l'elemento è stato interrotto, in quanto non ha più senso dopo la cessazione del supporto per i plugin.
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Ad esempio, nel pannello Stili è stata aggiunta la possibilità di definire il colore di un punto al di fuori della finestra del browser. È stato migliorato l'anteprima dei valori dei parametri nel debugger. È stata aggiunta la possibilità di modificare l'ordine dei pannelli nell'interfaccia Elementi.
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono state risolte 14 vulnerabilità. Molte di queste vulnerabilità sono state scoperte grazie a test automatizzati utilizzando gli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Una delle problematiche (CVE-2022-2156) è stata classificata come critica, poiché consente di aggirare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. I dettagli su questa vulnerabilità non sono ancora stati divulgati; si sa solo che è causata da un accesso a un blocco di memoria rilasciato (use-after-free).
Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per la versione attuale, Google ha assegnato 9 premi per un totale di 44.000 dollari USA (un premio di 20.000 dollari, un premio di 7.500 dollari, un premio di 7.000 dollari, due premi da 3.000 dollari e premi di 2.000, 1.000 e 500 dollari). L'entità della ricompensa per vulnerabilità critiche non è ancora stata definita.
Fonte: opennet.ru
