Azienda Google rilascio del browser web . In contemporanea uscita stabile di un progetto open source , che funge da base per Chrome. Il browser Chrome utilizza loghi Google, ha un sistema di invio notifiche in caso di crash, la possibilità di caricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico e un invio durante la ricerca . La prossima versione di Chrome 85 è prevista per il 25 agosto.
:
- supporto per i protocolli TLS 1.0 e TLS 1.1. Per accedere ai siti tramite una connessione sicura, il server deve fornire supporto per almeno TLS 1.2, altrimenti il browser mostrerà un errore. Secondo Google, attualmente circa lo 0,5% dei caricamenti di pagine web continua a essere effettuato utilizzando versioni obsolete di TLS. La disattivazione è stata effettuata in conformità con IETF (Internet Engineering Task Force). La ragione per cui è stata abbandonata la versione TLS 1.0/1.1 è la mancanza di supporto per crittografie moderne (ad esempio ECDHE e AEAD) e la necessità di mantenere vecchie crittografie, la cui affidabilità è messa in discussione ai giorni nostri (ad esempio, è richiesta la supporto per TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, per la verifica dell'integrità e l'autenticazione vengono utilizzati MD5 e SHA-1). L'impostazione che consente di ripristinare TLS 1.0/1.1 sarà mantenuta fino a gennaio 2021.
- È garantita la blocco (senza crittografia) file eseguibili e l'aggiunta di messaggi di avviso durante il caricamento non sicuro di archivi. In futuro si prevede di interrompere gradualmente completamente il supporto per il caricamento di file senza crittografia. Il blocco è stato implementato poiché il caricamento di file senza crittografia può essere utilizzato per compiere azioni dannose mediante la sostituzione dei contenuti durante attacchi MITM.
- supporto iniziale , sviluppato come alternativa all'intestazione User-Agent. Il meccanismo Client Hints offre come sostituto di User-Agent una serie di intestazioni "Sec-CH-UA-*", che consentono di organizzare la restituzione selettiva di dati su parametri specifici del browser e del sistema (versione, piattaforma, ecc.) solo dopo una richiesta da parte del server. L'utente ha la possibilità di specificare quali parametri sono ammissibili per la restituzione e fornire selettivamente tali informazioni ai proprietari dei siti. Nell'utilizzo di Client Hints, l'identificatore non viene inviato per impostazione predefinita senza una richiesta esplicita, il che rende impossibile l'identificazione passiva (per impostazione predefinita viene indicato solo il nome del browser). da fino all'anno prossimo.
- l'attivazione
più rigoroso scambio di Cookie tra siti, che è stato a causa di COVID-19. Per le richieste non HTTPS, è vietato il trattamento dei cookie di terze parti impostati durante la visita a siti diversi dal dominio della pagina attuale. Questi cookie vengono utilizzati per il monitoraggio dei movimenti dell'utente tra i siti nei codici delle reti pubblicitarie, nei widget dei social media e nei sistemi di web-analytics.Si ricorda che per gestire la trasmissione dei cookie viene utilizzato l'attributo SameSite specificato nell'intestazione Set-Cookie, che per impostazione predefinita sarà impostato su "SameSite=Lax", limitando l'invio dei cookie per le sottoricheste intersito, come la richiesta di un'immagine o il caricamento di contenuti tramite iframe da un altro sito. I siti possono sovrascrivere il comportamento predefinito di SameSite, impostando esplicitamente il valore SameSite=None al momento dell'impostazione del cookie. Tuttavia, il valore SameSite=None per i cookie può essere impostato solo in modalità Secure (vale per le connessioni tramite HTTPS). La modifica sarà applicata gradualmente, inizialmente per una piccola percentuale di utenti, espandendo poi progressivamente la copertura.
- È stata aggiunta un'implementazione sperimentale , attivabile tramite l'impostazione "chrome://flags/#enable-heavy-ad-intervention". Il blocco consente di disattivare automaticamente i blocchi pubblicitari iframe dopo aver superato le soglie di traffico e carico della CPU. Il blocco scatta se nel thread principale sono stati spesi più di 60 secondi di tempo di CPU in totale o 15 secondi in un intervallo di 30 secondi (consuma il 50% delle risorse per più di 30 secondi), e quando sono stati caricati più di 4 MB di dati dalla rete.
Il blocco scatta solo se prima del superamento dei limiti l'utente non ha interagito con l'elemento pubblicitario (ad esempio, non ha fatto clic su di esso), il che, considerando i limiti sul traffico, consente di bloccare la riproduzione automatica di video pesanti negli annunci senza un'attivazione esplicita da parte dell'utente. Le misure proposte libereranno gli utenti da annunci con implementazioni di codice inefficaci o attività predatorie intenzionali (ad esempio, quelle che eseguono il mining). Secondo le statistiche di Google, la pubblicità soggetta ai criteri di blocco costituisce solo lo 0,30% di tutti i blocchi pubblicitari, ma tali annunci consumano il 28% delle risorse CPU e il 27% del traffico totale pubblicitario.
- È stato effettuato un lavoro per ridurre il consumo delle risorse CPU quando la finestra del browser non è in vista dell'utente. Chrome ora controlla se la finestra del browser è coperta da altre finestre ed esclude il rendering dei pixel nelle aree di sovrapposizione. L'attivazione della nuova funzionalità avverrà gradualmente: selettivamente per alcuni utenti, l'ottimizzazione sarà attivata in Chrome 84, mentre per gli altri in Chrome 85.
- Attivata per impostazione predefinita la protezione contro , ad esempio, lo spam delle richieste di ricezione delle notifiche push. Poiché tali richieste interrompono il lavoro dell'utente e distolgono l'attenzione dalle azioni nei dialoghi di conferma, invece di un dialogo separato nella barra degli indirizzi verrà visualizzato un suggerimento informativo non richiedente azioni da parte dell'utente, con un avviso di blocco della richiesta di autorizzazione, che si riduce automaticamente a un indicatore con un'immagine di una campana barrata. Cliccando sull'indicatore è possibile attivare o rifiutare l'autorizzazione richiesta in qualsiasi momento.
- È stato garantito il ricordo della scelta dell'utente all'apertura dei gestori di protocolli esterni: l'utente può scegliere "consenti sempre per questo sito" per un determinato gestore e il browser ricorderà questa decisione legata al sito corrente.
- È stata aggiunta la protezione contro la modifica delle impostazioni dell'utente senza esplicito consenso. Se un'estensione modifica il motore di ricerca predefinito proposto o la pagina visualizzata per la nuova scheda, il browser mostrerà ora una finestra di dialogo con la richiesta di confermare l'operazione proposta o di annullare la modifica.
- implementazione della protezione contro il caricamento di contenuti multimediali misti (quando su una pagina HTTPS vengono caricati risorse tramite http://). Su pagine aperte con HTTPS, i link "http://" saranno ora automaticamente sostituiti con "https://" nei blocchi relativi al caricamento delle immagini (in precedenza erano stati sostituiti script e iframe, l'auto-sostituzione delle risorse audio e video è prevista per il prossimo rilascio). Se un'immagine non è disponibile tramite https, il suo caricamento viene bloccato (manualmente è possibile segnalare il blocco tramite il menu accessibile tramite il simbolo del lucchetto nella barra degli indirizzi).
- Aggiunta la supporto all'API sviluppata come SMS Receiver API, che consente di organizzare l'inserimento su una pagina web di una password usa e getta, dopo aver ricevuto un SMS con il codice di conferma, recapitato su uno smartphone Android dell'utente, su cui è in esecuzione il browser. La conferma tramite SMS, ad esempio, può essere utilizzata per verificare il numero di telefono fornito dall'utente durante la registrazione. Se in precedenza l'utente doveva aprire l'app per gestire gli SMS, copiare il codice negli appunti, tornare al browser e incollare il codice, la nuova API consente di automatizzare questo processo e ridurlo a un solo tocco.
- Espanso l'API
per gestire la riproduzione di animazioni web. Nella nuova versione è stata aggiunta la supporto per operazioni di compositing, che consentono di controllare come vengono combinati gli effetti e forniscono nuovi gestori da attivare al verificarsi di eventi di sostituzione dei contenuti. L'API Web Animations supporta ora anche Promise per definire la sequenza di presentazione dell'animazione e migliorare il controllo di come l'animazione interagisce con altre funzionalità dell'applicazione. - Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) sono stati aggiunti diversi nuovi API. L'Origin Trial implica la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, valido per un tempo limitato per un sito web specifico.
- API per l'accesso del Service worker ai cookie HTTP, che funge da alternativa asincrona all'uso di document.cookie.
- API per determinare l'inattività dell'utente, consentendo di identificare il tempo in cui l'utente non interagisce con la tastiera/mouse, è attivato lo screensaver, lo schermo è bloccato o il lavoro è svolto su un altro monitor. La notifica dell'applicazione sull'inattività avviene tramite l'invio di una notifica dopo aver raggiunto una soglia di inattività prestabilita.
- Modalità , consente allo sviluppatore di utilizzare un'isolamento più completo dell'elaborazione dei contenuti in un processo separato legato all'origine (origin — dominio + porta + protocollo), piuttosto che al sito, a costo di interrompere il supporto per alcune funzionalità obsolete, come l'esecuzione sincrona di script che utilizzano document.domain e la chiamata a postMessage() per inviare messaggi a istanze di WebAssembly.Module. In altre parole, l'Origin Isolation consente di organizzare una separazione in diversi processi basata sul dominio delle risorse, piuttosto che sul sito con tutti gli inclusi esterni nelle pagine.
- API per utilizzare istruzioni SIMD vettoriali nelle applicazioni in formato WebAssembly. Per garantire l'indipendenza dalla piattaforma, è disponibile un nuovo tipo a 128 bit, che può rappresentare diversi tipi di dati impacchettati, e varie operazioni vettoriali di base per l'elaborazione di dati impacchettati. SIMD consente di aumentare le prestazioni attraverso il parallelismo nell'elaborazione dei dati e sarà utile nella compilazione di codice nativo in WebAssembly. Per abilitare il supporto SIMD, è possibile utilizzare l'impostazione «chrome://flags/#enable-webassembly-simd».
- Stabilizzato e ora distribuito al di fuori degli Origin Trials
API , che fornisce metadati sul contenuto che era stato precedentemente memorizzato nella cache da applicazioni web funzionanti in modalità Progressive Web Apps (PWS). L'applicazione può salvare nel browser vari dati, comprese immagini, video e articoli, e in caso di perdita della connessione di rete, può utilizzarli attraverso l'API Cache Storage e IndexedDB. L'API Content Indexing consente di aggiungere, trovare e rimuovere tali risorse. In questo browser, tale API è già utilizzata per elencare le pagine e i dati multimediali disponibili per la visualizzazione offline. - Versione stabilizzata dell'API basato sul meccanismo Promise, che fornisce un modo più sicuro per gestire la disattivazione della blocco automatico dello schermo e il passaggio dei dispositivi in modalità di risparmio energetico.
- Nella versione per la piattaforma Android supporto per i collegamenti alle applicazioni, consentendo un rapido accesso alle azioni standard più richieste nell'applicazione. Per creare collegamenti, è sufficiente aggiungere elementi nel manifesto dell'applicazione web nel formato PWA (Progressive Web Apps).
- È consentito l'uso dell'API per i Web Worker , che consente di definire un gestore per la generazione di rapporti, invocato quando si accede a funzioni obsolete. Il rapporto generato, su scelta dell'utente, può essere salvato, inviato al server o elaborato da uno script JavaScript.
- L'API è stata aggiornata , consentendo di connettere un gestore che riceverà notifiche sui cambiamenti delle dimensioni degli elementi specificati nella pagina. In ResizeObserverEntry sono state aggiunte tre nuove proprietà: contentBoxSize, borderBoxSize e devicePixelContentBoxSize per ottenere informazioni più dettagliate, fornite sotto forma di array di oggetti ResizeObserverSize.
- È stata aggiunta la parola chiave «» per ripristinare lo stile di un elemento al valore predefinito.
- Rimosso il prefisso per le proprietà CSS «-webkit-appearance» e «-webkit-ruby-position», che ora sono disponibili come «" e "«.
- In JavaScript supporto per la marcatura dei metodi e delle proprietà di classe come private, dopo di che l'accesso a esse sarà consentito solo all'interno della classe (precedentemente solo i campi potevano essere privati). Per contrassegnare metodi e proprietà come privati, si deve anteporre il simbolo «#» al nome del campo.
- In JavaScript highlightsFromPoint() (weak reference) agli oggetti JavaScript, consentendo di mantenere un riferimento all'oggetto senza bloccarne la rimozione da parte del garbage collector. È stato inoltre aggiunto il supporto per i finalizzatori, che consentono di definire un gestore da invocare dopo l'esecuzione del garbage collector per l'oggetto specificato.
- Ottimizzato l'avvio delle applicazioni su WebAssembly, grazie all'implementazione nel compilatore iniziale (baseline) Liftoff e . Sono stati migliorati gli strumenti di debug per WebAssembly, aumentando notevolmente le prestazioni del debug con l'uso di punti di interruzione (in precedenza, durante il debug, veniva utilizzato un interprete, ora il compilatore Liftoff).
- Nei strumenti per sviluppatori web pphttps://developers.google.com/web/updates/2020/05/devtools è stata aggiornata]] la pannello per l'analisi delle prestazioni. È stata aggiunta una panoramica sulle metriche (Total Blocking Time), che mostra quanto a lungo la pagina sembra accessibile, ma in realtà non lo è (cioè, la pagina è già stata renderizzata, ma l'esecuzione del thread principale è ancora bloccata e l'immissione di dati non è possibile). È stata aggiunta una nuova sezione esperienza per analizzare questa metrica (Cumulative Layout Shift), che riflette la stabilità visiva del contenuto. Nella pannello di ispezione degli stili CSS è stato implementato un anteprima delle immagini specificate tramite la proprietà "background-image".
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono stati risolti . Molte delle vulnerabilità sono state identificate grazie ai test automatizzati con strumenti quali , , , e . Un problema (CVE-2020-6510, overflow del buffer nel gestore delle operazioni in background fetch) è stato contrassegnato come critico, cioè permette di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità, Google ha pagato 26 premi per l'attuale rilascio per un totale di 21500 dollari (due premi da $5000, due premi da $3000, un premio da $2000, due premi da $1000 e tre premi da $500). L'importo di 16 ricompense è ancora da definire.
Fonte: opennet.ru
