Google ha presentato il rilascio del browser web Chrome 104. È disponibile anche un rilascio stabile del progetto open source Chromium, che è alla base di Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di installazione automatica degli aggiornamenti, l'attivazione continua della sandbox e la fornitura di chiavi per le API di Google, nonché la trasmissione dei parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per l'aggiornamento, è disponibile un ramo separato Extended Stable, supportato per 8 settimane. Il prossimo rilascio di Chrome 105 è previsto per il 30 agosto.
Principali novità in Chrome 104:
- È stato introdotto un limite alla durata dei Cookie: tutti i nuovi o aggiornati Cookie verranno automaticamente eliminati dopo 400 giorni, anche se il tempo di scadenza impostato tramite gli attributi Expires e Max-Age supera i 400 giorni (per tali Cookie, la durata sarà ridotta a 400 giorni). I Cookie creati prima dell'introduzione della limitazione manterranno la loro durata, anche se supera i 400 giorni, ma saranno limitati in caso di aggiornamento. Questa modifica riflette i nuovi requisiti indicati nella bozza della nuova specifica.
- È stata attivata la blocco delle richieste da iframe a URL che fanno riferimento al file system locale («filesystem://»).
- Per velocizzare il caricamento della pagina è stata aggiunta una nuova ottimizzazione che consente di stabilire una connessione con l'host di destinazione al momento del clic sul link, senza aspettare di sollevare il pulsante o il dito dallo schermo tattile.
- Sono state aggiunte impostazioni per gestire l'API "Topics & Interest Group", promossa nell'ambito dell'iniziativa Privacy Sandbox. Questa permette di identificare le categorie di interesse degli utenti e di utilizzarle al posto dei cookie di tracciamento per formare gruppi di utenti con interessi simili, senza identificare singoli utenti. Inoltre, sono stati introdotti dei dialoghi informativi che vengono mostrati una sola volta, per spiegare agli utenti il funzionamento della tecnologia e per offrire l'opzione di attivarne il supporto nelle impostazioni.
- Sono stati aumentati i limiti per le chiamate nidificate delle funzioni setTimeout e setInterval, lanciate con un intervallo inferiore a 4 ms ("setTimeout(…, <4ms)"), portando il limite massimo da 5 a 100. Ciò consente di non limitare aggressivamente le singole chiamate, pur evitando abusi che potrebbero influenzare le performance del browser.
- È stata attivata l'invio di richieste di autorizzazione CORS (Cross-Origin Resource Sharing) al server principale con l'intestazione «Access-Control-Request-Private-Network: true», nel caso in cui si acceda a un sottorisorsa nella rete interna (192.168.x.x, 10.x.x.x, 172.16-31.x.x) o a localhost (127.x.x.x). In caso di conferma dell'operazione, il server deve restituire l'intestazione «Access-Control-Allow-Private-Network: true». Nella versione Chrome 104, l'esito della conferma non influisce ancora sul trattamento della richiesta: in assenza di conferma, viene visualizzato un avviso nella console web, ma la richiesta della sottorisorsa non viene bloccata. L'attivazione del blocco in assenza di conferma è attesa non prima della versione Chrome 107. Per attivare il blocco in versioni precedenti, è possibile attivare l'impostazione «chrome://flags/#private-network-access-respect-preflight-results». server L'attivazione del blocco è attesa non prima della versione Chrome 107. Per attivare il blocco in versioni precedenti, è possibile attivare l'impostazione «chrome://flags/#private-network-access-respect-preflight-results».
Conferma delle autorizzazioni server è stato inserito per migliorare la protezione contro attacchi volti all'accesso a risorse nella rete locale o sul computer dell'utente (localhost) tramite script caricati all'apertura del sito. Tali richieste vengono utilizzate da malintenzionati per eseguire attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Per proteggere da tali attacchi, nel caso di accesso a qualsiasi sotto-risorsa nella rete interna, il browser invierà una richiesta esplicita di autorizzazione per il caricamento di queste sotto-risorse.
- È stato aggiunto il meccanismo Region Capture, che consente di ritagliare il contenuto indesiderato dai video generati sulla base di catture dello schermo. Ad esempio, utilizzando l'API getDisplayMedia, un'applicazione web può organizzare la trasmissione video con il contenuto della scheda, mentre Region Capture consente di rimuovere parti di contenuto che includono i controlli della videoconferenza.
- È stato aggiunto il supporto per una nuova sintassi di media query specificata nel Media Queries Level 4, che definisce le dimensioni minime e massime dell'area visibile (viewport). La nuova sintassi consente di utilizzare normali operatori matematici di confronto e operatori logici come "not", "or" e "and". Ad esempio, invece di "@media (min-width: 400px) { … }", ora è possibile specificare "@media (width >= 400px) { … }".
- Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata), sono state aggiunte diverse nuove API. L'Origin Trial permette l'accesso a queste API da applicazioni caricate da localhost o 127.0.0.1, oppure dopo registrazione e ottenimento di un token speciale, valido per un tempo limitato per un sito specifico.
- È stata aggiunta la proprietà CSS "focusgroup" per migliorare la navigazione tra gli elementi utilizzando i tasti freccia della tastiera.
- Nell'API Secure Payment Confirmation è stata fornita la possibilità per l'utente di disabilitare il salvataggio delle informazioni sulle carte di credito. Per visualizzare il dialogo che consente di rinunciare al salvataggio delle informazioni sulle carte di credito, nel costruttore PaymentRequest() è previsto il flag "showOptOut: true".
- È stato aggiunto l'API Shared Element Transitions, che consente di creare transizioni fluide tra diverse visualizzazioni del contenuto in applicazioni web a pagina singola.
- È stata stabilizzata la supporto per le regole di speculazione (Speculation rules), che consentono ai creatori di siti web di fornire al browser informazioni sulle pagine più probabili a cui l'utente potrebbe accedere. Il browser utilizza queste informazioni per caricare e visualizzare anticipatamente il contenuto delle pagine.
- È stato stabilizzato il meccanismo di impacchettamento delle sottorepartizioni in pacchetti nel formato Web Bundle, che migliora l'efficienza nel caricamento di un gran numero di file secondari (stili CSS, JavaScript, immagini, iframe). A differenza dei pacchetti nel formato Webpack, il formato Web Bundle ha i seguenti vantaggi: nel cache HTTP non viene memorizzato il pacchetto stesso, ma i suoi componenti; la compilazione e l'esecuzione di JavaScript inizia senza attendere il caricamento completo del pacchetto; è possibile includere risorse aggiuntive, come CSS e immagini, che nel webpack devono essere codificate come stringhe JavaScript.
- È stata aggiunta la proprietà CSS object-view-box, che consente di definire la parte dell'immagine che sarà visualizzata nell'area invece dell'elemento specificato, utile ad esempio per aggiungere una cornice o un'ombra.
- Aggiunta delega delle capacità API Fullscreen, che consente a un oggetto Window di trasferire a un altro oggetto Window il diritto di chiamare requestFullscreen().
- Aggiunto l'API Fullscreen Companion Window, che consente di visualizzare contenuti a schermo intero e finestre pop-up su un altro schermo dopo aver ricevuto conferma dall'utente.
- Nella proprietà CSS overflow-clip-margin è stato aggiunto l'attributo visual-box, che determina da quale punto deve iniziare il ritaglio del contenuto che esce dai confini dell'area (può assumere i valori content-box, padding-box e border-box).
- Nell'API Async Clipboard è stata aggiunta la possibilità di definire formati specializzati per i dati trasferiti tramite il buffer degli appunti, diversi da testo, immagini e testo con markup.
- In WebGL è stata fornita la possibilità di specificare lo spazio colore per il buffer di rendering e la conversione durante l'importazione da una texture.
- Interrotta la supporto per le piattaforme OS X 10.11 e macOS 10.12.
- Interrotta la supporto per l'API U2F (Cryptotoken), che era stata precedentemente dichiarata obsoleta e disattivata per impostazione predefinita. L'API Web Authentication ha sostituito l'API U2F.
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Nel debugger è stata aggiunta la possibilità di riavviare il codice dall'inizio della funzione, dopo che un punto di interruzione è stato attivato in un punto qualsiasi del corpo della funzione. È stata aggiunta la supporto per lo sviluppo di estensioni per il pannello Recorder. Nel pannello per l'analisi delle prestazioni è stata aggiunta la possibilità di visualizzare i marcatori applicati all'app web tramite la chiamata al metodo performance.measure(). Sono state migliorate le raccomandazioni per il completamento automatico delle proprietà degli oggetti JavaScript. Durante il completamento automatico delle variabili CSS è fornita una visualizzazione in anteprima dei valori non legati ai colori.
Oltre alle novità e alla correzione di errori, nella nuova versione sono state risolte 27 vulnerabilità. Molte di queste vulnerabilità sono state individuate attraverso test automatizzati effettuati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche in grado di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per la versione attuale, Google ha erogato 22 premi per un totale di 84.000 dollari USA (un premio di $15.000, uno di $10.000, uno di $8.000, uno di $7.000, quattro premi di $5.000, uno di $4.000, tre premi di $3.000, quattro premi di $2.000 e tre premi di $1.000). L'importo di una singola ricompensa non è stato ancora determinato.
Fonte: opennet.ru
