Release di Chrome 78

Azienda Google ha presentato rilascio del browser web Chrome 78. In contemporanea disponibile uscita stabile di un progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue utilizza loghi Google, ha un sistema di invio notifiche in caso di crash, la possibilità di caricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico e un invio durante la ricerca parametri RLZ. La prossima versione di Chrome 79 è prevista per il 10 dicembre.

Principali cambiamenti in Chrome 78:

• supporto per l'interfaccia Supporto sperimentale per "DNS su HTTPS" (DoH, DNS over HTTPS), che sarà attivato in modo selettivo per determinate categorie di utenti le cui impostazioni di sistema specificano già fornitori DNS che supportano DoH. Ad esempio, se un utente ha impostato il DNS 8.8.8.8 nelle impostazioni di sistema, allora nel Chrome verrà attivato il servizio DoH di Google ("https://dns.google.com/dns-query"), se il DNS è 1.1.1.1, allora verrà attivato il servizio DoH di Cloudflare ("https://cloudflare-dns.com/dns-query") e così via.

  Per gestire l'attivazione del DoH è prevista una impostazione "chrome://flags/#dns-over-https". Sono supportati tre modalità operative: "secure", "automatic" e "off". In modalità "secure", gli host vengono determinati solo sulla base di valori sicuri precedentemente memorizzati nella cache (ottenuti tramite una connessione sicura) e richieste tramite DoH, non è previsto il ripristino su DNS normale. In modalità "automatic", se DoH e la cache sicura non sono disponibili, è consentito ottenere dati dalla cache non sicura e utilizzare il tradizionale DNS. In modalità "off", viene inizialmente controllata la cache globale e se non ci sono dati, la richiesta viene inviata tramite DNS di sistema.

• Nei mezzi di sincronizzazione è stata introdotta la supporto preliminare per il clipboard condiviso, che non è ancora attivato per tutti gli utenti. Negli istanze di Chrome collegate a un unico account ora è possibile accedere al contenuto degli appunti di un altro dispositivo, incluso la possibilità di condividere il clipboard tra un sistema mobile e uno desktop. Il contenuto del clipboard è crittografato utilizzando la crittografia end-to-end, che impedisce l'accesso al testo sui server Google;
• Per alcune categorie di utenti, è stata introdotta la possibilità sperimentale di cambiare il tema e personalizzare lo schermo mostrato all'apertura di una nuova scheda. Nel menu «Imposta», visualizzato nell'angolo in basso a destra dello schermo della nuova scheda, oltre alla selezione dell'immagine di sfondo, è stata aggiunta la possibilità di modificare il metodo di disposizione delle scorciatoie e di cambiare il tema. Le scorciatoie possono essere proposte automaticamente basandosi sui siti più frequentemente visitati, selezionate dall'utente o disattivate. Il tema può essere scelto da un insieme di temi predefiniti o creando un tema personalizzato in base alla selezione dei colori desiderati nella palette. Per attivare queste nuove possibilità è possibile utilizzare i flag «chrome://flags/#ntp-customization-menu-v2» e
  «chrome://flags/#chrome-colors»;
• Per le aziende, nella barra degli indirizzi è abilitata per impostazione predefinita la possibilità di cercare file nel Google Drive. La ricerca avviene non solo per i titoli, ma anche per il contenuto dei documenti, tenendo conto della cronologia delle aperture passate;
  
• È stato incluso il componente Password Checkup, che verrà attivato progressivamente per alcune categorie di utenti (per attivazione forzata è previsto il flag «chrome://flags/#password-leak-detection»). In precedenza, Password Checkup veniva fornito come estensione esterna, destinato ad analizzare l'affidabilità delle password utilizzate dall'utente. Quando si tenta di accedere a qualsiasi sito, Password Checkup verifica il nome utente e la password rispetto a un database di credenziali compromesse, emettendo un avviso in caso di problemi riscontrati (la verifica viene effettuata sulla base del prefisso hash lato utente). La verifica viene eseguita su un database che copre oltre 4 miliardi di account compromessi coinvolti in perdite di dati degli utenti. Un avviso viene emesso anche quando si tenta di utilizzare password banali come «abc123»;
• È stata aggiunta la possibilità di avviare una chiamata da un dispositivo Android associato allo stesso account Google. Nel browser desktop, l'utente può evidenziare un numero di telefono nel testo, fare clic con il tasto destro e reindirizzare l'operazione di effettuazione della chiamata al dispositivo Android, dopo di che sul telefono apparirà una notifica che consente di avviare la chiamata;
• Il formato del suggerimento visualizzato al passaggio del mouse sopra il titolo della scheda è stato modificato. Il suggerimento ora appare come un blocco a comparsa, che mostra il testo completo del titolo e l'URL della pagina. Questo blocco è utile per una rapida ricerca della pagina desiderata quando si aprono un numero molto elevato di schede (invece di sfogliare le schede, è possibile passare il mouse sopra la barra delle schede e trovare la pagina cercata). In futuro, si prevede di garantire la visualizzazione di un'anteprima della pagina in questo blocco;
• È stata aggiunta un'opzione sperimentale (chrome://flags/#enable-force-dark) per forzare l'uso del tema scuro durante la navigazione sui siti. Per garantire la visualizzazione scura del sito, viene utilizzata l'inversione dei colori;
• È stata aggiunta supporto della specifica CSS Properties and Values API Level 1, che consente di registrare proprietà CSS personalizzate, che hanno sempre un tipo specifico, che consentono di impostare un valore predefinito e che consentono di legare effetti di animazione. Per registrare una proprietà, è possibile utilizzare il metodo registerProperty() o la regola CSS «@property», ad esempio:

  CSS.registerProperty({
  name: «—my-font-size»,
  syntax: «‹length›»,
  initialValue: «0px»,
  inherits: false
  });

• In modalità Origin Trials (funzionalità sperimentali che richiedono una registrazione separata attivazione) sono stati proposti diversi nuovi API. L'Origin Trial prevede la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, che ha una validità limitata per un sito specifico.
  • API Native File System, che consente di creare applicazioni web in grado di interagire con i file nel file system locale. Ad esempio, la nuova API può essere utilizzata negli ambienti di sviluppo integrati eseguiti nel browser, nei editor di testo, immagini e video. Per ottenere la possibilità di scrittura e lettura diretta dei file, utilizzare i dialoghi per aprire e salvare file, nonché per navigare attraverso il contenuto delle directory, l'app richiede una conferma speciale da parte dell'utente;
    
  • Il meccanismo Signed HTTP Exchanges (SXG), che consente di pubblicare su altri siti copie verificate delle pagine web, che appaiono per l'utente come le pagine originali (senza modificare l'URL), è stato ampliato con la possibilità di caricare risorse secondarie (CSS, JS, immagini, ecc.) dal sito originale. L'origine della risorsa è specificata tramite l'intestazione HTTP Link, in cui è anche indicato un hash di verifica per la verifica di ciascuna risorsa. Con questa nuova possibilità, i fornitori di contenuti possono creare un singolo file HTML firmato, che include anche tutte le risorse secondarie collegate;
  • API SMS Receiver, che consente a un'app web di accedere ai messaggi SMS, ad esempio, per automatizzare la verifica delle operazioni basate su un codice usa e getta inviato via SMS. L'accesso è concesso solo agli SMS che contengono un tag speciale, che definisce il legame del messaggio a un'app web specifica;
• È stata notevolmente aumentata la velocità di caricamento degli oggetti ArrayBuffer tramite Web Socket. Sulla piattaforma Linux si segnala un aumento della velocità di caricamento di 7,5 volte, su Windows di 4,1 volte, su macOS di 7,8 volte;
• È stata aggiunta la possibilità di definire in percentuale i valori di opacità nelle proprietà CSS opacity, stop-opacity, fill-opacity, stroke-opacity e shape-image-threshold. Ad esempio, invece di 'opacity: 0.5', ora è possibile specificare 'opacity: 50%';
• Nell'API User Timing è consentito il passaggio di etichette temporali arbitrarie nelle chiamate a performance.measure() e performance.mark() per misurazioni tra di esse, oltre a specificare metadati arbitrarî;
• Nell'API Media Session è stata aggiunta supporto per la definizione di gestori del cambiamento di posizione nello stream (seekto), oltre ai gestori di pausa e avvio della riproduzione già disponibili;
• Nel motore JavaScript V8 è attivato modalità di parsing in background degli script al volo man mano che vengono caricati in rete. L'ottimizzazione implementata ha consentito di ridurre del 5–20% il tempo di compilazione degli script. Nella nuova versione è stata anche aumentata l'efficienza nella destrutturazione degli oggetti (trasformazione di 'const {x, y} = object;' in 'const x = object.x; const y = object.y;'). È stata migliorata la velocità di elaborazione delle espressioni RegExp con corrispondenze non corrispondenti.
  È stata significativamente aumentata (del 9-20%) la velocità di chiamata delle funzioni JavaScript da WebAssembly e viceversa. Durante la compilazione del bytecode è stata migliorata l'efficienza della costruzione delle tabelle di binding per le posizioni sorgente, che ha consentito di ridurre il consumo di memoria su
  1-2.5%.
  
• Espansi strumenti per gli sviluppatori web. Il pannello di audit può ora essere utilizzato in combinazione con altre funzionalità, come il blocco delle richieste e la sovrascrittura dei download. È stata aggiunta la supporto per il debug dei gestori di pagamento tramite API Payment. Nel pannello di analisi delle prestazioni sono state aggiunte etichette LCP (Largest Contentful Paint), che riflettono il tempo di rendering degli elementi più grandi;
  
• Rimosso meccanismo di blocco per il cross-site scripting XSS Auditor, ritenuto inefficace (gli aggressori hanno già da tempo applicato metodi per eludere la protezione dell'XSS Auditor) e che introduce nuovi vettori di perdita di dati;
• Nella versione per Android è stata garantita la possibilità di utilizzare un tema scuro per i menu, le impostazioni e la modalità di navigazione nei siti aperti.

Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono stati risolti 37 vulnerabilità. Molte delle vulnerabilità sono state identificate grazie ai test automatizzati con strumenti quali AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche in grado di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema oltre l'ambiente sandbox. Nell'ambito del programma di premi monetari per la scoperta di vulnerabilità per l'attuale rilascio, Google ha riconosciuto 21 premi per un totale di 59500 dollari USA (un premio di 20000 dollari, un premio di 15000 dollari, un premio di 5000 dollari, due premi di 3000 dollari, tre premi di 2000 dollari, cinque premi di 1000 dollari e cinque premi di 500 dollari). L'importo di 4 premi non è ancora stato definito.

Fonte: opennet.ru