Azienda Google rilascio del browser web . In contemporanea uscita stabile di un progetto open source , che funge da base per Chrome. Il browser Chrome utilizza loghi Google, ha un sistema di invio notifiche in caso di crash, la possibilità di caricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico e un invio durante la ricerca . Il prossimo rilascio di Chrome 80 è programmato per il 4 febbraio.
:
- il componente Password Checkup, progettato per analizzare l'affidabilità delle parole chiave utilizzate dagli utenti. Quando si tenta di accedere a qualsiasi sito, Password Checkup verifica il login e la password rispetto a un database di account compromessi, fornendo un avviso in caso di problemi (la verifica avviene sulla base del prefisso hash lato utente). La verifica avviene su un database che comprende oltre 4 miliardi di account compromessi che sono stati coinvolti in leak delle informazioni degli utenti. Viene anche emesso un avviso quando si tenta di utilizzare password triviali, come «abc123». Per gestire l'attivazione di Password Checkup nella sezione «Sync and Google Services», è stata implementata un'impostazione speciale.
- È stata introdotta una nuova tecnologia per l'individuazione del phishing in tempo reale. In passato, la verifica avveniva attraverso l'accesso a blacklist caricate localmente di Safe Browsing, aggiornate circa ogni 30 minuti, il che si è rivelato insufficiente, ad esempio, in condizioni in cui i malintenzionati cambiano frequentemente dominio. Il nuovo metodo consente di controllare gli URL al volo con una verifica preliminare attraverso whitelist, contenenti hash di migliaia di siti popolari e affidabili. Se il sito aperto è assente nella whitelist, il browser controlla l'URL sui server di Google, trasmettendo i primi 32 bit dell'hash SHA-256 del link, dai quali vengono rimossi eventuali dati personali. Secondo Google, il nuovo approccio consente di aumentare l'efficacia delle segnalazioni per nuovi siti di phishing del 30%.
- È stata aggiunta una protezione proattiva contro la trasmissione delle credenziali Google e di qualsiasi password salvata nel gestore delle password attraverso pagine di phishing. Quando si tenta di inserire una password salvata su un sito dove quella password non viene solitamente utilizzata, all'utente verrà mostrato un avviso riguardo a un'azione potenzialmente pericolosa.
- Per le connessioni che utilizzano TLS 1.0 e 1.1 ora viene mostrato un indicatore di connessione non sicura. Il supporto completo per TLS 1.0 e 1.1 in Chrome 81, previsto per il 17 marzo 2020.
- È stata aggiunta la possibilità di mettere in pausa le schede inattive, consentendo di scaricare automaticamente dalla memoria le schede che sono in background da più di 5 minuti e non stanno eseguendo azioni significative. La decisione sulla idoneità di una scheda per la sospensione è presa sulla base di un'euristica. Il controllo dell'attivazione della funzione avviene tramite il flag «chrome://flags/#proactive-tab-freeze».
- blocco dei contenuti misti sulle pagine aperte tramite HTTPS per garantire che le pagine aperte tramite https:// contengano solo risorse caricate tramite un canale di comunicazione sicuro. Sebbene i tipi più pericolosi di contenuti misti, come script e iframe, siano già bloccati per impostazione predefinita, immagini, file audio e video possono ancora essere caricati tramite http://. L'indicatore di contenuti misti utilizzato in precedenza per tali inserimenti è stato considerato inefficace e fuorviante per gli utenti, poiché non fornisce una valutazione chiara della sicurezza della pagina. Ad esempio, tramite la sostituzione delle immagini, un attaccante potrebbe inserire cookie di tracciamento delle azioni dell'utente, tentare di sfruttare vulnerabilità nei gestori delle immagini o commettere frodi sostituendo le informazioni presentate nell'immagine. Per disabilitare il blocco dei contenuti misti, è stata aggiunta una particolare impostazione, richiamabile dal menu visualizzabile cliccando sull'icona del lucchetto.
- È stata aggiunta un'opzione sperimentale per la condivisione del contenuto degli appunti tra le versioni desktop e mobile di Chrome. Negli istanze di Chrome collegate allo stesso account ora è possibile accedere al contenuto degli appunti di un altro dispositivo, compresa la possibilità di condividere il proprio appunto tra il sistema mobile e quello desktop. Il contenuto degli appunti è crittografato utilizzando una crittografia end-to-end, che impedisce l'accesso al testo sui server di Google. La funzione viene attivata tramite le opzioni chrome://flags#shared-clipboard-receiver, chrome://flags#shared-clipboard-ui e chrome://flags#sync-clipboard-service.
- Nella barra degli indirizzi, in determinati momenti (ad esempio, durante il salvataggio della password) con la sincronizzazione del profilo disattivata, è visibile il nome dell'account Google attualmente attivo accanto all'avatar, affinché l'utente possa identificare con precisione l'account attivo corrente.
- Attivato per l'1% degli utenti "DNS over HTTPS" (DoH, DNS over HTTPS). Sperimentano solo gli utenti che hanno già impostato nei parametri di sistema provider DNS che supportano DoH. Ad esempio, se l'utente ha impostato nei parametri di sistema il DNS 8.8.8.8, il servizio DoH di Google sarà attivato in Chrome ("https://dns.google.com/dns-query"), se il DNS è 1.1.1.1, sarà attivato il servizio DoH di Cloudflare ("https://cloudflare-dns.com/dns-query"), ecc. Per gestire l'attivazione di DoH è prevista l'impostazione "chrome://flags/#dns-over-https". Sono supportati tre modalità operative: "secure", "automatic" e "off". In modalità "secure", gli host sono determinati solo sulla base dei valori sicuri precedentemente memorizzati nella cache (ottenuti tramite connessione sicura) e delle richieste tramite DoH; non viene applicato il ripristino al DNS tradizionale. In modalità "automatic", se DoH e la cache sicura non sono disponibili, è consentito il recupero dei dati dalla cache non sicura e l'accesso tramite DNS tradizionale. In modalità "off", inizialmente viene verificata la cache generale e, se non ci sono dati, la richiesta viene inviata tramite DNS di sistema.
- Aggiunto un caching sperimentale del contenuto riprodotto al cambio di pagina con i pulsanti di avanti e indietro, che consente di ridurre notevolmente i ritardi durante questo tipo di navigazione grazie alla memorizzazione nella cache dell'intera pagina, senza richiedere un nuovo rendering e il caricamento delle risorse. L'ottimizzazione è particolarmente evidente nella versione per dispositivi mobili, dove l'aumento delle prestazioni durante la navigazione raggiunge il 19%. La modalità è attivata tramite l'opzione "chrome://flags#back-forward-cache".
- impostazione "chrome://flags/#omnibox-ui-hide-steady-state-url-scheme-and-subdomains", che consentiva di mostrare nuovamente il protocollo nella barra degli indirizzi (ora tutti i link vengono sempre visualizzati senza https:// e http://, e senza "www.").
- Nelle build per Windows è stata attivata l'isolamento della sandbox per il servizio di riproduzione audio. È stato proposto un attributo AudioSandboxEnabled per gestire l'attivazione dell'isolamento.
- Nel sistema di amministrazione centralizzato per le imprese è stata implementata la possibilità di definire regole che stabiliscono la quantità di memoria che un'istanza del browser può utilizzare prima che le schede in background vengano scaricate. La memoria liberata dopo il caricamento della scheda torna disponibile per l'uso e il contenuto della scheda viene nuovamente caricato al momento del passaggio ad essa.
- In Linux è attivato un gestore integrato per la verifica dei certificati, che ha sostituito il precedente sistema NSS. Il gestore integrato continua a utilizzare il deposito NSS durante la verifica, ma impone requisiti più severi nella gestione di certificati mal codificati e autonomamente firmati (tutti i certificati devono essere necessariamente firmati da un'autorità di certificazione).
- Nella versione per la piattaforma Android la possibilità di assegnare icone adattive per le applicazioni web installate che funzionano in modalità Progressive Web Apps (PWA). Le icone adattive possono adattarsi all'interfaccia utilizzata dal produttore del dispositivo, come essere tonde, quadrate o con angoli smussati.
- API , fornendo accesso a componenti per creare realtà virtuale e aumentata. L'API consente di unificare il lavoro con diverse classi di dispositivi, dai visori di realtà virtuale fissi, come Oculus Rift, HTC Vive e Windows Mixed Reality, a soluzioni basate su dispositivi mobili, come Google Daydream View e Samsung Gear VR. Tra le applicazioni in cui può essere applicata la nuova API, si citano programmi per la visualizzazione di video in modalità 360°, sistemi di visualizzazione dello spazio tridimensionale, creazione di cinema virtuali per la proiezione di video, esperimenti per la creazione di interfacce 3D per negozi e gallerie;
- In modalità Origin Trials (funzionalità sperimentali che richiedono una registrazione separata ) sono stati proposti diversi nuovi API. L'Origin Trial prevede la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, che ha una validità limitata per un sito specifico.
- Per tutti gli elementi HTML è stato proposto l'attributo «rendersubtree», che garantisce la fissazione della visualizzazione dell'elemento DOM. Assegnando all'attributo il valore «invisible», il contenuto dell'elemento non verrà disegnato e verificato, permettendo così di ottimizzare il rendering. Impostando il valore «activatable», il browser rimuoverà l'attributo invisibile, disegnerà il contenuto e lo renderà visibile.
- Aggiunta una variante API basato sul meccanismo Promise, che fornisce un modo più sicuro per gestire la disattivazione della blocco automatico dello schermo e il passaggio dei dispositivi in modalità di risparmio energetico.
- Implementata la possibilità di applicare l'attributo per tutti gli elementi HTML e SVG sui quali può essere impostato il focus di input.
- Per le immagini e i video il calcolo del rapporto d'aspetto basato sugli attributi Width o Height, che può essere utilizzato per determinare la dimensione dell'immagine tramite CSS nella fase in cui l'immagine non è ancora stata caricata (risolve il problema del ridimensionamento della pagina dopo il caricamento delle immagini).
- È stata aggiunta la proprietà CSS , che regola automaticamente la dimensione del carattere variabile (variable font) nelle coordinate ottiche «», se il carattere lo supporta. La modalità consente di scegliere la forma ottimale del glifo per la dimensione specificata, ad esempio utilizzare glifi più contrastanti per i titoli.
- È stata aggiunta la proprietà CSS , che consente di utilizzare qualsiasi simbolo al posto dei punti nelle liste, ad esempio «-», «+», «★» e «▸».
- Nel caso in cui non sia possibile eseguire Worklet.addModule(), ora viene restituito un oggetto con informazioni dettagliate sulla natura dell'errore, che consente di valutare più accuratamente la causa dell'errore (problemi di connessione di rete, sintassi errata, ecc.).
- Interrotta l'elaborazione degli elementi durante il loro spostamento tra documenti. Durante il trasferimento tra documenti sono stati disabilitati anche l'esecuzione degli eventi associati agli script «error» e «load».
- Nel motore JavaScript V8 ottimizzazione del trattamento delle modifiche di visualizzazione nei campi degli oggetti, che ha permesso l'esecuzione del codice AngularJS nel set di test Speedometer di essere completata con un 4% di velocità in più.
- In V8 è stata ottimizzata anche l'elaborazione dei getter definiti nelle API integrate, come Node.nodeType e Node.nodeName, in assenza di un gestore IC (inline caching). La modifica ha ridotto di circa il 12% i costi di tempo al runtime dell'IC durante l'esecuzione dei test di Backbone e jQuery dal set Speedometer.
- È stata implementata la memorizzazione nella cache dei risultati del meccanismo OSR (called on-stack replacement), che consente di sostituire il codice ottimizzato durante l'esecuzione della funzione (permette di iniziare a utilizzare il codice ottimizzato per funzioni che durano a lungo, senza aspettarne il riavvio). La memorizzazione nella cache dell'OSR consente di utilizzare i risultati di ottimizzazione anche durante il successivo riavvio della funzione, senza la necessità di una nuova ottimizzazione.
In alcuni test, la modifica ha consentito di aumentare la prestazione massima del 5-18%.
- Modifiche agli strumenti per sviluppatori web:
- una modalità di debug per identificare le cause del blocco della richiesta o della restituzione di cookie.
- Nel pannello con l'elenco dei cookie è stata aggiunta la possibilità di visualizzare rapidamente il valore del cookie selezionato facendo clic su una riga specifica.
- È stata aggiunta la possibilità di simulare diverse impostazioni per le media query prefers-color-scheme e prefers-reduced-motion (ad esempio, per testare il comportamento della pagina con un tema di sistema scuro o con effetti animati disabilitati).
- È stata modernizzata la visualizzazione della scheda Coverage, che consente di valutare il codice utilizzato e non utilizzato. È stata aggiunta la possibilità di filtrare le informazioni in base al loro tipo (JavaScript, CSS). Le informazioni sull'uso del codice sono state aggiunte anche nella visualizzazione del codice sorgente.
- È stata aggiunta la possibilità di eseguire il debug delle cause delle richieste di determinate risorse di rete dopo la registrazione dell'attività di rete (è possibile visualizzare la traccia della chiamata al codice JavaScript che ha portato al caricamento della risorsa).
- È stata aggiunta l'impostazione 'Settings > Preferences > Sources > Default Indentation' per determinare il tipo di rientro (2/4/8 spazi o tabulazione) nel codice visualizzato nei pannelli Console e Sources.
- Nel pannello con l'elenco dei cookie è stata aggiunta la possibilità di visualizzare rapidamente il valore del cookie selezionato facendo clic su una riga specifica.
Oltre alle innovazioni e alla correzione di errori, la nuova versione ha eliminato 51 vulnerabilità. Molte di queste vulnerabilità sono state scoperte grazie ai test automatizzati effettuati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Due problemi (CVE-2019-13725, accesso a un'area di memoria già liberata nel codice per il supporto Bluetooth, e CVE-2019-13726, overflow della memoria nell'editor delle password) sono stati contrassegnati come critici, cioè consentono di eludere tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Per la prima volta sono state identificate due vulnerabilità critiche all'interno dello stesso ciclo di sviluppo di Chrome. La prima vulnerabilità è stata scoperta dai ricercatori della Tencent Keen Security Lab e alla competizione Tianfu Cup, mentre la seconda è stata trovata da Sergey Glazunov di Google Project Zero.
Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale release, Google ha assegnato 37 premi per un totale di 80000 dollari USA (un premio di 20000 dollari, un premio di 10000 dollari, due premi di 7500 dollari, quattro premi di 5000 dollari, un premio di 3000 dollari, due premi di 2000 dollari, due premi di 1000 dollari e otto premi di 500 dollari). L'importo di 15 premi non è ancora stato definito.
Fonte: opennet.ru
