Google rilascio del browser web . Contemporaneamente versione stabile di un progetto open source , che costituisce la base di Chrome. Il browser Chrome l'uso dei loghi Google, la presenza di un sistema di notifiche in caso di crash, la possibilità di scaricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici e trasmissione durante la ricerca . La prossima versione di Chrome 80 è prevista per il 4 febbraio.
:
- il componente Password Checkup, progettato per analizzare l'affidabilità delle password utilizzate dall'utente. Durante il tentativo di accesso a qualsiasi sito, Password Checkup verifica le credenziali di accesso in base a un database di account compromessi, fornendo un avviso in caso di problemi riscontrati (il controllo avviene utilizzando un prefisso hash lato utente). Questo controllo avviene su un database che comprende oltre 4 miliardi di account compromessi emersi in violazioni di database utente. Un avviso viene anche fornito nel caso di utilizzo di password banali, come «abc123». Per gestire l'attivazione di Password Checkup nella sezione «Sync and Google Services», è stata implementata una specifica impostazione.
- È stata presentata una nuova tecnologia di rilevamento del phishing in tempo reale. In precedenza, il controllo avveniva attraverso l'accesso a blacklist caricate localmente di Safe Browsing, che venivano aggiornate circa ogni 30 minuti, il che si è rivelato insufficiente, ad esempio, in condizioni di frequenti cambi di dominio da parte dei malintenzionati. Il nuovo metodo permette di controllare gli URL al volo con una verifica preliminare mediante whitelist, che includono gli hash di migliaia di siti web popolari e affidabili. Se il sito web visitato non è presente nella whitelist, il browser controlla l'URL sul server di Google, trasmettendo i primi 32 bit dell'hash SHA-256 del link, da cui vengono rimossi eventuali dati personali. Secondo le stime di Google, il nuovo approccio consente di aumentare del 30% l'efficacia delle notifiche per nuovi siti di phishing.
- È stata aggiunta una protezione proattiva contro la trasmissione delle credenziali di Google e di qualsiasi password salvata nel gestore delle password tramite pagine di phishing. Quando si tenta di inserire una password salvata su un sito dove questa password non viene di solito utilizzata, l'utente riceverà un avviso su un'azione potenzialmente pericolosa.
- Per le connessioni che utilizzano TLS 1.0 e 1.1 ora viene mostrato un indicatore di connessione non sicura. Il supporto completo per TLS 1.0 e 1.1 in Chrome 81, previsto per il 17 marzo 2020.
- È stata aggiunta la funzionalità di sospensione delle schede inattive, che consente di scaricare automaticamente dalla memoria le schede che rimangono in background per più di 5 minuti e non eseguono azioni significative. La decisione sulla idoneità di una scheda per la sospensione viene presa in base a un'euristica. Il controllo dell'attivazione della funzione è gestito tramite il flag "chrome://flags/#proactive-tab-freeze".
- il blocco dei contenuti misti sulle pagine aperte tramite HTTPS per garantire che le pagine aperte su https:// contengano solo risorse caricate attraverso un canale sicuro. Anche se i tipi di contenuti misti più pericolosi, come script e iframe, sono già bloccati per impostazione predefinita, le immagini, i file audio e i video possono ancora essere caricati tramite http://. Il precedente indicatore di contenuti misti per tali embed è stato ritenuto inefficace e fuorviante, poiché non fornisce una chiara valutazione della sicurezza della pagina. Ad esempio, attraverso la sostituzione delle immagini, un attaccante può inserire cookie di tracciamento delle azioni dell'utente, tentare di sfruttare vulnerabilità nei gestori di immagini o effettuare falsificazioni, sostituendo le informazioni presentate nell'immagine. Per disabilitare il blocco dei contenuti misti è stata aggiunta una specifica impostazione, richiamabile tramite il menu a discesa che appare cliccando sull'icona del lucchetto.
- È stata aggiunta una funzionalità sperimentale per la condivisione del contenuto degli appunti tra le versioni desktop e mobile di Chrome. Negli istanze di Chrome collegate allo stesso account, ora è possibile accedere al contenuto degli appunti di un altro dispositivo, incluso il supporto per la condivisione degli appunti tra il sistema mobile e desktop. Il contenuto degli appunti è cifrato con crittografia end-to-end, che impedisce l'accesso al testo sui server di Google. La funzione può essere attivata tramite le opzioni chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui e chrome://flags#sync-clipboard-service.
- Nella barra degli indirizzi, in determinati momenti (ad esempio, durante il salvataggio di una password), con la sincronizzazione del profilo disattivata, oltre all'avatar viene mostrato il nome dell'account Google attuale, in modo che l'utente possa identificare con precisione l'account attivo.
- Attivata per l'1% degli utenti «DNS over HTTPS» (DoH). L'esperimento coinvolge solo gli utenti i cui setting di sistema indicano già fornitori DNS che supportano DoH. Ad esempio, se un utente ha impostato DNS 8.8.8.8, il servizio DoH di Google sarà attivato in Chrome («https://dns.google.com/dns-query»); se il DNS è 1.1.1.1, sarà attivato il servizio DoH di Cloudflare («https://cloudflare-dns.com/dns-query»), e così via. Per gestire l'attivazione di DoH è disponibile l'impostazione «chrome://flags/#dns-over-https». Sono supportati tre modalità di funzionamento: «sicuro», «automatico» e «disattivato». Nella modalità «sicuro», gli host sono determinati solo in base ai valori sicuri precedentemente memorizzati nella cache (ottenuti tramite connessione sicura) e le richieste tramite DoH, senza possibilità di tornare a un DNS tradizionale. Nella modalità «automatico», se DoH e la cache sicura non sono disponibili, è consentito l'accesso ai dati dalla cache non sicura e tramite DNS tradizionale. Nella modalità «disattivato», prima viene controllata la cache generale e, se non ci sono dati, la richiesta viene inviata tramite DNS di sistema.
- Aggiunta sperimentale caching del contenuto renderizzato durante la navigazione tramite i pulsanti avanti e indietro, che consente di ridurre notevolmente i ritardi durante tale tipo di navigazione grazie al completo caching dell'intera pagina, evitando il ri-rendering e il caricamento delle risorse. L'ottimizzazione è particolarmente evidente nella versione mobile, dove l'aumento delle prestazioni durante la navigazione raggiunge il 19%. La modalità può essere attivata tramite l'opzione «chrome://flags#back-forward-cache».
- impostazione «chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains», che consentiva di ripristinare la visualizzazione del protocollo nella barra degli indirizzi (ora tutti i link vengono sempre visualizzati senza https:// e http://, e senza «www.»).
- Nelle build per Windows è stata inclusa l'isolamento sandbox del servizio di riproduzione audio. È stata proposta la proprietà AudioSandboxEnabled per gestire l'attivazione dell'isolamento.
- Nel sistema di amministrazione centralizzato per le imprese è stata implementata la possibilità di definire regole che determinano la quantità di memoria che un'istanza del browser può utilizzare prima che le schede in background vengano scaricate. La memoria liberata dopo il download della scheda diventa disponibile per l'uso e il contenuto della scheda viene ricaricato al momento del passaggio su di essa.
- In Linux è stato introdotto un gestore integrato per la verifica dei certificati, che ha sostituito il precedente sistema NSS. Questo gestore integrato continua a utilizzare il deposito NSS per la verifica, ma impone requisiti più severi nella gestione dei certificati mal formattati e certificati autonomamente, in cui tutti i certificati devono necessariamente essere emessi da un'autorità di certificazione.
- Nella versione per piattaforma Android la possibilità di assegnare icone adattive per le applicazioni web installate, funzionanti in modalità Progressive Web Apps (PWA). Le icone adattive possono adattarsi all'interfaccia utilizzata dal produttore del dispositivo, ad esempio, possono essere rotonde, quadrate o avere angoli arrotondati.
- API , che fornisce accesso a componenti per la creazione di realtà virtuale e aumentata. L'API permette di unificare il lavoro con diverse classi di dispositivi, dai visori di realtà virtuale fissi come Oculus Rift, HTC Vive e Windows Mixed Reality, fino a soluzioni basate su dispositivi mobili come Google Daydream View e Samsung Gear VR. Tra le applicazioni in cui può essere utilizzato il nuovo API ci sono programmi per la visualizzazione di video a 360°, sistemi di visualizzazione di spazi tridimensionali, creazione di cinema virtuali per la presentazione di video, e conduzione di esperimenti per la creazione di interfacce 3D per negozi e gallerie;
- in modalità Origin Trials (funzionalità sperimentali che richiedono un’apposita ) sono state proposte diverse nuove API. L'Origin Trial prevede la possibilità di utilizzare l'API indicata da applicazioni caricate da localhost o 127.0.0.1, oppure dopo aver completato la registrazione e ottenuto un codice speciale, valido per un tempo limitato per un sito specifico.
- Per tutti gli elementi HTML è stato proposto l'attributo "rendersubtree", che garantisce la fissazione della visualizzazione dell'elemento DOM. Assegnando all'attributo il valore "invisible", il contenuto dell'elemento non verrà renderizzato e controllato, consentendo di ottimizzare il rendering. Impostando il valore "activatable", il browser rimuoverà l'attributo invisibile, renderizzerà il contenuto e lo renderà visibile.
- È stata aggiunta una variante dell'API basato sul meccanismo Promise, offre un modo più sicuro per gestire la disattivazione dell'auto-blocco dello schermo e il passaggio dei dispositivi in modalità di risparmio energetico.
- È stata realizzata la possibilità di utilizzare l'attributo per tutti gli elementi HTML e SVG su cui può essere impostato il focus di input.
- Per immagini e video calcolo del rapporto di aspetto basato sugli attributi Width o Height, che può essere utilizzato per determinare la dimensione dell'immagine tramite CSS nella fase in cui l'immagine non è ancora caricata (risolve il problema di ristrutturazione della pagina dopo il caricamento delle immagini).
- È stata aggiunta la proprietà CSS , che imposta automaticamente la dimensione del carattere variabile in coordinate ottiche «», se il font le supporta. Questa modalità consente di scegliere la forma del glifo ottimale per le dimensioni specificate, ad esempio, utilizzando glifi più contrastanti per i titoli.
- È stata aggiunta la proprietà CSS , che consente di utilizzare qualsiasi simbolo al posto dei punti nelle liste, ad esempio «-», «+», «★» e «▸».
- Se non è possibile eseguire Worklet.addModule(), ora restituisce un oggetto con informazioni dettagliate sulla natura dell'errore, che permette di valutare con maggiore precisione la causa dell'errore (problemi di connessione, sintassi errata, ecc.).
- L'elaborazione degli elementi è stata interrotta quando vengono spostati tra i documenti. Durante il trasferimento tra documenti, l'esecuzione degli eventi script correlati «error» e «load» è stata disabilitata.
- Nel motore JavaScript V8 ottimizzazione della gestione della modifica della visualizzazione dei campi negli oggetti, che ha portato a un'esecuzione del codice AngularJS nel test Speedometer più veloce del 4%.
- In V8 è stata anche ottimizzata la gestione dei getter definiti nelle API incorporate, come Node.nodeType e Node.nodeName, in assenza di un gestore IC (inline caching). Questa modifica ha ridotto i costi temporali di IC runtime di circa il 12% durante l'esecuzione dei test Backbone e jQuery del set Speedometer.
- È stata implementata la cache dei risultati del meccanismo OSR (called on-stack replacement), che sostituisce il codice ottimizzato durante l'esecuzione della funzione (consentendo di iniziare a utilizzare codice ottimizzato per funzioni a lungo termine senza attendere una nuova esecuzione). La cache OSR consente di riutilizzare i risultati dell'ottimizzazione durante le esecuzioni successive della funzione, senza dover affrontare nuovamente il processo di ottimizzazione.
In alcuni test, le modifiche hanno consentito di aumentare le prestazioni di picco dal 5% al 18%.
- Modifiche agli strumenti per gli sviluppatori web:
- modalità di debug per identificare le cause del blocco della richiesta o dell'invio dei cookie.
- Nel pannello con l'elenco dei cookie è stata aggiunta la possibilità di visualizzare rapidamente il valore del cookie selezionato facendo clic su una riga specifica.
- È stata aggiunta la possibilità di simulare diverse impostazioni per le media query prefers-color-scheme e prefers-reduced-motion (ad esempio, per testare il comportamento della pagina con un tema scuro o con gli effetti animati disattivati).
- È stata modernizzata la scheda Coverage, che consente di valutare il codice utilizzato e non utilizzato. È stata aggiunta la possibilità di filtrare le informazioni per tipo (JavaScript, CSS). Le informazioni sull'uso del codice sono state aggiunte anche nella visualizzazione del codice sorgente.
- È stata aggiunta la possibilità di debug per identificare le cause delle richieste a determinate risorse di rete dopo la registrazione dell'attività di rete (è possibile visualizzare il tracciamento delle chiamate del codice JavaScript che ha portato al caricamento della risorsa).
- È stata aggiunta l'impostazione "Settings > Preferences > Sources > Default Indentation" per definire il tipo di rientro (2/4/8 spazi o tabulazione) nel codice visualizzato nei pannelli Console e Sources.
- Nel pannello con l'elenco dei cookie è stata aggiunta la possibilità di visualizzare rapidamente il valore del cookie selezionato facendo clic su una riga specifica.
Oltre alle novità e alle correzioni di bug, la nuova versione ha risolto 51 vulnerabilità. Molte di queste vulnerabilità sono emerse grazie ai test automatizzati condotti con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Due problemi (CVE-2019-13725, accesso a memoria già liberata nel codice per il supporto Bluetooth, e CVE-2019-13726, overflow del buffer nel gestore delle password) sono stati contrassegnati come critici, ovvero consentono di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. È la prima volta che vengono individuate due vulnerabilità critiche nel medesimo ciclo di sviluppo in Chrome. La prima vulnerabilità è stata scoperta dai ricercatori di Tencent Keen Security Lab e alla competizione Tianfu Cup, mentre la seconda è stata trovata da Sergey Glazunov di Google Project Zero.
Nel contesto del programma di ricompensa per la segnalazione di vulnerabilità per la versione attuale, Google ha distribuito 37 premi per un totale di 80.000 dollari (un premio di 20.000 dollari, un premio di 10.000 dollari, due premi di 7.500 dollari, quattro premi di 5.000 dollari, un premio di 3.000 dollari, due premi di 2.000 dollari, due premi di 1.000 dollari e otto premi di 500 dollari). L'importo di 15 premi deve ancora essere stabilito.
Fonte: opennet.ru
