Azienda Google rilascio del browser web . In contemporanea uscita stabile di un progetto open source , che funge da base per Chrome. Il browser Chrome utilizza loghi Google, ha un sistema di invio notifiche in caso di crash, la possibilità di caricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico e un invio durante la ricerca . A causa del passaggio dei programmatori al lavoro da casa in condizioni di pandemia da coronavirus SARS-CoV-2, il rilascio di Chrome 82 è stato . La prossima versione di Chrome 84 è prevista per il 14 luglio.
:
- attivazione di massa (DoH, DNS over HTTPS) sui sistemi degli utenti, le cui impostazioni di sistema indicano fornitori DNS che supportano DoH (verrà attivato DoH dello stesso fornitore DNS). Ad esempio, se un utente ha impostato il DNS 8.8.8.8, verrà attivato il servizio DoH di Google in Chrome ("https://dns.google.com/dns-query"), se il DNS è 1.1.1.1, verrà attivato il servizio DoH di Cloudflare ("https://cloudflare-dns.com/dns-query") e così via. Per escludere problemi con la risoluzione delle reti intranet aziendali, DoH non viene utilizzato per determinare l'uso del browser nei sistemi gestiti in modo centralizzato. DoH viene anche disattivato in presenza di sistemi di controllo parentale.
La gestione dell'attivazione di DoH e la modifica del fornitore DoH avviene attraverso il configuratore predefinito. - Proposto design di moduli web, ottimizzati per l'uso su schermi tattili e sistemi per persone con disabilità. Il design è stato ottimizzato da Microsoft nell'ambito dello sviluppo del browser Edge e trasferito nel codice sorgente principale di Chromium. In precedenza, parte degli elementi dei moduli era progettata per adattarsi agli elementi dei sistemi operativi, mentre parte era conforme ai più popolari stili. A causa di ciò, diversi elementi si adattavano in modo diverso per schermi tattili, sistemi per persone con disabilità e gestione da tastiera. L'obiettivo della rielaborazione era l'unificazione del design degli elementi dei moduli e l'eliminazione delle incongruenze stilistiche.
- Modificato il design della sezione impostazioni "Privacy e sicurezza", nuovi strumenti per la gestione della sicurezza. Le impostazioni sono ora più facili da trovare e più comprensibili. Sono proposte quattro sezioni di base che raccolgono strumenti relativi alla cancellazione della cronologia, alla gestione dei cookie e dei dati dei siti, alle modalità di sicurezza e ai divieti o permessi legati a siti specifici. L'utente può rapidamente attivare il blocco dei cookie di terze parti per la modalità in incognito o per tutti i siti, bloccare tutti i cookie per un sito specifico. Nuovo design è incluso solo sui sistemi di alcuni utenti, gli altri possono attivare le impostazioni tramite «chrome://flags/#privacy-settings-redesign».
Le impostazioni specifiche per i siti sono suddivise in gruppi: accesso alla posizione, alla fotocamera, al microfono, alle notifiche e all'invio di dati in background. È inoltre proposta una sezione con impostazioni aggiuntive per bloccare JavaScript, immagini e reindirizzamenti su determinati siti. È evidenziata separatamente l'ultima azione dell'utente relativa alla modifica dei permessi.
- In modalità in incognito è abilitato per impostazione predefinita il blocco di tutti i cookie impostati da siti di terze parti, comprese le reti pubblicitarie e i sistemi di web analytics. È inoltre proposta un'interfaccia avanzata per il controllo dell'installazione dei cookie sui siti. Per la gestione sono previsti i flag «chrome://flags/#improved-cookie-controls» e «chrome://flags/#improved-cookie-controls-for-third-party-cookie-blocking». Dopo l'attivazione della modalità, appare una nuova icona nella barra degli indirizzi, su cui, cliccando, si mostra il numero di cookie bloccati e si offre la possibilità di disattivare il blocco. È possibile vedere quali cookie sono consentiti e bloccati per il sito attuale nella sezione «Cookies» del menu contestuale, richiamato cliccando sul simbolo del lucchetto nella barra degli indirizzi o nelle impostazioni.
- Nelle impostazioni è proposta un nuovo pulsante «Controllo sicurezza» (Safety check), che fornisce un riepilogo di possibili problemi di sicurezza, come l'uso di password compromesse, lo stato del controllo dei siti malevoli (Safe Browsing), la presenza di aggiornamenti non installati e l'identificazione di estensioni dannose.
- Nel gestore delle password è stata aggiunta la possibilità tutti i nomi utente e le password salvate nel database delle credenziali compromesse con un avviso in caso di problemi rilevati (il controllo avviene confrontando il prefisso hash lato utente, le password e i loro hash completi non vengono inviati all'esterno). Il controllo viene effettuato su un database che comprende oltre 4 miliardi di account compromessi coinvolti in violazioni di dati degli utenti. Un avviso viene emesso anche nel caso di tentativi di utilizzo di password triviale, come "abc123".
- modalità avanzata di protezione dai siti pericolosi (Enhanced Safe Browsing), in cui vengono attivate ulteriori verifiche per proteggere da phishing, attività dannose e altre minacce sul Web. Viene applicata anche una protezione aggiuntiva per l'account Google e per i servizi Google (Gmail, Drive, ecc.). Mentre nella normale modalità Safe Browsing i controlli vengono effettuati localmente su un database scaricato periodicamente sul sistema client, in Enhanced Safe Browsing le informazioni sulle pagine e i download vengono inviate in tempo reale al servizio Google Safe Browsing per un controllo lato Google, permettendo una risposta rapida alle minacce immediatamente dopo il loro rilevamento, senza attendere l'aggiornamento della lista nera locale.
Per migliorare l'efficienza, viene supportato un controllo preliminare sui whitelist, che includono hash di migliaia di siti popolari e affidabili. Se il sito web aperto non è presente nella whitelist, il browser controlla l'URL sul server di Google, inviando i primi 32 bit dell'hash SHA-256 del link, da cui vengono estratte eventuali informazioni personali. Secondo Google, il nuovo approccio consente di aumentare del 30% l'efficacia degli avvisi per i nuovi siti di phishing.
- Invece del fissaggio automatico delle icone delle estensioni accanto alla barra degli indirizzi, è stato implementato un nuovo menu, contrassegnato dall'icona di un puzzle, che elenca tutte le estensioni disponibili e le loro autorizzazioni. Dopo l'installazione dell'estensione, l'utente deve ora attivare esplicitamente il fissaggio sulla barra delle icone dell'estensione, valutando nel contempo le autorizzazioni fornite all'estensione. Per evitare che l'estensione venga persa, subito dopo l'installazione viene visualizzato un indicatore con informazioni sulla nuova estensione. Il nuovo menu è attivato per impostazione predefinita per una determinata percentuale di utenti, mentre gli altri possono attivarlo tramite l'impostazione "chrome://flags/#extensions-toolbar-menu".
- È stata aggiunta l'impostazione "chrome://flags/#omnibox-context-menu-show-full-urls", la cui attivazione fa apparire nel menu contestuale della barra degli indirizzi l'opzione "Mostra sempre l'URL completo", che impedisce la modifica dell'URL. Ricordiamo che in Chrome 76 la barra degli indirizzi è stata impostata su mostrare i collegamenti senza "https://", "http://" e "www.". Per disattivare questo comportamento era disponibile un'impostazione, ma in Chrome 79 è stata rimossa, e gli utenti hanno perso la possibilità di visualizzare l'URL completo nella barra degli indirizzi.
- A tutti gli utenti è stata attivata la funzione di raggruppamento delle schede ("chrome://flags/#tab-groups"), che consente di raggruppare più schede simili in gruppi visivamente distinti. A ciascun gruppo può essere attribuito un colore e un nome. Inoltre, è stata proposta una possibilità sperimentale di ridurre e ampliare i gruppi, che al momento non funziona su tutti i sistemi. Ad esempio, più articoli non letti possono essere temporaneamente ridotti, lasciando solo l'etichetta, in modo che non occupino spazio durante la navigazione, e quando si ritorna alla lettura, possono essere ripristinati. Per attivare la modalità è disponibile l'impostazione "chrome://flags/#tab-groups-collapse".
- È stata attivata la visualizzazione predefinita degli avvisi quando si tenta di (senza cifratura) file eseguibili da collegamenti su pagine HTTPS (in Chrome 84, il download di file eseguibili sarà bloccato e verrà emesso un avviso per gli archivi). Si segnala che il download di file non cifrati può essere utilizzato per attività dannose tramite la sostituzione dei contenuti durante attacchi MITM. Inoltre, il download di file avviato da blocchi iframe isolati.
- All'attivazione di Adobe Flash è stata aggiunta una notifica riguardante la cessazione del supporto per questa tecnologia a dicembre 2020.
- È stata implementata la tecnologia , che consente di bloccare le manipolazioni del DOM che possono portare a scripting intersito (DOM XSS), ad esempio, in caso di un'elaborazione errata dei dati forniti dall'utente nei blocchi eval() o nelle assegnazioni di «.innerHTML», il che può causare l'esecuzione di codice JavaScript nel contesto di una pagina specifica. Trusted types richiede una preelaborazione dei dati prima di passarli a funzioni a rischio. Ad esempio, quando Trusted types è attivato, l'esecuzione di «anElement.innerHTML = location.href» genererà un errore e richiederà l'uso di oggetti speciali TrustedHTML o TrustedScript durante l'assegnazione. L'attivazione dei Trusted Types avviene tramite CSP (Content-Security-Policy).
- nuovi header HTTP Cross-Origin-Embedder-Policy e Cross-Origin-Opener-Policy, che consentono di attivare una modalità di isolamento cross-origin per un uso sicuro di operazioni privilegiate nella pagina, come SharedArrayBuffer, Performance.measureMemory() e le API di profiling che possono essere utilizzate per attacchi tramite canali laterali, come Spectre. La modalità di isolamento cross-origin non consente nemmeno di modificare la proprietà document.domain.
- È stata proposta una nuova implementazione del sistema di ispezione degli accessi alle risorse tramite rete — OOR-CORS (Out-Of-Renderer Cross-Origin Resource Sharing). La vecchia implementazione poteva ispezionare solo i componenti principali del motore Blink, XHR e l'API Fetch, ma non copriva le richieste HTTP effettuate da alcuni moduli interni. La nuova implementazione risolve questo problema.
- Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) sono stati aggiunti diversi nuovi API. L'Origin Trial implica la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, valido per un tempo limitato per un sito web specifico.
- API , che consente di creare applicazioni web in grado di interagire con i file nel file system locale. Ad esempio, la nuova API può essere utilizzata negli ambienti di sviluppo integrati eseguiti nel browser, nei editor di testo, immagini e video. Per ottenere la possibilità di scrittura e lettura diretta dei file, utilizzare i dialoghi per aprire e salvare file, nonché per navigare attraverso il contenuto delle directory, l'app richiede una conferma speciale da parte dell'utente;
- Sanitizer.replaceElementWithChildren() per valutare il consumo di memoria durante l'elaborazione di un'applicazione web o di una pagina web. Può essere utilizzato per analizzare e ottimizzare il consumo di memoria nelle applicazioni web, oltre a rilevare una crescita regressiva del consumo di memoria.
- Sanitizer.replaceElementWithChildren() per pianificare l'esecuzione di attività (callback di JavaScript) con vari livelli di priorità (blocca il lavoro dell'utente, crea modifiche visibili e lavoro in background). Per modificare la priorità e annullare le attività è possibile utilizzare l'oggetto TaskController.
- API , che consente alle applicazioni di creare i propri gestori di dati, utilizzati nella codifica e decodifica di WebRTC MediaStreamTrack. Ad esempio, l'API può essere utilizzata per organizzare la crittografia end-to-end dei flussi trasmessi attraverso un server di transito.
- È stato aggiunto l'API per rilevare e decodificare codici a barre in un'immagine specifica. L'API funziona solo su dispositivi Android con il pacchetto Google Play Services installato.
- Aggiunto il meta-tag , che consente al sito di garantire il pieno supporto per la modalità scura senza l'uso di trasformazioni CSS.
- Aggiunta la possibilità di utilizzare moduli JavaScript in .
- In IndexedDB aggiunto un nuovo argomento
«durability», che consente di gestire il salvataggio dei dati su disco. Passando il valore «relaxed» invece del predefinito «strict», si può sacrificare l'affidabilità a favore delle prestazioni (in precedenza, Chrome scriveva sempre i dati su disco dopo la registrazione di ogni transazione). - Nella funzione selector() è stata aggiunta la funzione @supports, che consente di determinare la presenza di selettori CSS (ad esempio, è possibile prima verificare la disponibilità di un selettore prima di associarlo a stili CSS).
@supports selector(::before) {
div { background: green };
} - In Intl.DateTimeFormat la proprietà fractionalSecondDigits per configurare il formato di visualizzazione delle frazioni di secondo.
- Nel motore V8 il monitoraggio di ArrayBuffer nel garbage collector. Per i moduli WebAssembly è consentito richiedere fino a 4 GB di memoria.
- nuovi strumenti per gli sviluppatori web. Ad esempio, è stata introdotta la modalità di emulazione della percezione della pagina da parte di persone con problemi di vista e varie forme di daltonismo. È stata inoltre aggiunta la modalità di emulazione del cambiamento della lingua, il cui cambiamento influisce sull'API Intl.*, *.prototype.toLocaleString, navigator.language, Accept-Language e così via.
Nell'interfaccia di ispezione dell'attività di rete è stato aggiunto un debugger COEP (Cross-Origin Embedder Policy), che consente di valutare le ragioni per cui il caricamento di determinate risorse viene bloccato in rete. È stata aggiunta la parola chiave cookie-path per filtrare le richieste in cui i cookie sono associati a un determinato .
Aggiunta la modalità di fissaggio degli strumenti per sviluppatori nella parte sinistra dello schermo.
Riprogettata l'interfaccia per il monitoraggio del codice JavaScript a lungo termine.
- A causa dell'infezione da COVID-19, alcune modifiche pianificate sono state rinviate. Ad esempio, del codice per lavorare con FTP a tempo indeterminato. del supporto per i protocolli TLS 1.0/1.1 fino al rilascio di Chrome 84. L'iniziale
supporto per l'identificativo Client Hints (alternativa a User-Agent) è anche a Chrome 84. Il lavoro sulla è stato spostato all'anno prossimo.
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono stati risolti . Molte delle vulnerabilità sono state identificate grazie ai test automatizzati con strumenti quali , , , e . Non sono state identificati problemi critici che consentono di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale rilascio, Google ha assegnato 28 premi per un totale di 76 mila dollari USA (un premio da $20000, un premio da $10000, due premi da $7500, due premi da $5000, due premi da $3000, due premi da $2000, due premi da $1000 e otto premi da $500). L'importo di 7 premi non è ancora stato determinato.
Fonte: opennet.ru
