🥇Rilascio di Chrome 86

È stata aggiunta una protezione contro l'invio non sicuro di moduli di input su pagine caricate tramite HTTPS, ma che inviano dati tramite HTTP, creando una minaccia di intercettazione e sostituzione dei dati durante attacchi MITM. La protezione si concentra su tre modifiche:

È stata disattivata la compilazione automatica di qualsiasi modulo di input misto, analogamente a quanto già avvenuto per la disattivazione della compilazione automatica nei moduli di autenticazione su pagine aperte tramite HTTP. Se in passato la condizione per disattivarla era l'apertura di una pagina con un modulo tramite HTTPS o HTTP, ora viene valutata anche l'applicazione della crittografia durante l'invio di dati al gestore del modulo. Il funzionamento del gestore delle password per i moduli di autenticazione misti non è stato disattivato, poiché il rischio di utilizzare una password non sicura e di riutilizzare le password su diversi siti supera il rischio di potenziale intercettazione del traffico.
Quando si inizia a digitare in moduli misti viene mostrato un avviso che informa l'utente che i dati compilati verranno inviati tramite un canale di comunicazione non crittografato.
Quando si tenta di inviare un modulo misto viene visualizzata una pagina separata con una notifica riguardo al potenziale rischio di invio dei dati tramite un canale di comunicazione non crittografato. Nelle versioni precedenti, per indicare i moduli misti veniva utilizzato un indicatore di lucchetto nella barra degli indirizzi, ma tale segnalazione non era evidente per gli utenti e non rifletteva efficacemente i rischi emergenti.

Blocco scaricare contenuti non sicuri (senza crittografia) dei file eseguibili è stato integrato con il blocco del download non sicuro di archivi (zip, iso, ecc.) e con l'emissione di avvisi durante i download non sicuri
di documenti (docx, pdf, ecc.). Nel prossimo rilascio è previsto il blocco dei documenti e l'emissione di avvisi per immagini, file testuali e multimediali. Il blocco è stato implementato poiché il download di file senza crittografia potrebbe essere utilizzato per compiere azioni dannose attraverso la sostituzione del contenuto durante attacchi MITM.

Nel menu contestuale è già visibile l'opzione «Mostra sempre l'URL completo», che in precedenza richiedeva una modifica delle impostazioni nella pagina about:flags. È possibile visualizzare l'URL completo facendo doppio clic sulla barra degli indirizzi. Si ricorda che a partire da Chrome 76 per impostazione predefinita, l'indirizzo viene mostrato senza protocollo e senza il sottodominio www. In Chrome 79 è stata rimossa l'impostazione per ripristinare il vecchio comportamento, ma dopo il malcontento degli utenti in Chrome 83 è stata aggiunta una nuova flag sperimentale che inserisce nel menu contestuale un'opzione per disattivare la visualizzazione e l'occultamento dell'URL completo in ogni condizione.

Per una piccola percentuale di utenti è stato avviato un esperimento da visualizzazione per impostazione predefinita nella barra degli indirizzi solo il dominio, senza elementi di percorso e parametri di query. Ad esempio, invece di «https://example.com/secure-google-sign-in/» verrà mostrato «example.com». Si prevede che l'implementazione della modalità proposta arrivi a tutti gli utenti in una delle prossime versioni. Per disattivare questo comportamento, è possibile utilizzare l'opzione «Mostra sempre l'URL completo», mentre per visualizzare l'intero URL è possibile cliccare sulla barra degli indirizzi. Come motivazione del cambiamento viene citato il desiderio di proteggere gli utenti dal phishing, che sfrutta i parametri nell'URL: i malintenzionati approfittano della disattenzione degli utenti per creare l'illusione di aprire un altro sito e compiere azioni fraudolente (se per un utente tecnicamente esperto simili sostituzioni sono subito evidenti, i comuni utenti inesperti cadono facilmente in queste semplici manipolazioni).

Ripristinato l'iniziativa per la rimozione del supporto FTP. In Chrome 86 FTP è disabilitato per impostazione predefinita per circa l'1% degli utenti, mentre in Chrome 87 la portata della disattivazione sarà aumentata al 50%, ma il supporto potrà essere ripristinato utilizzando il flag «—enable-ftp» o «—enable-features=FtpProtocol». In Chrome 88 il supporto FTP sarà completamente disabilitato.

Nella versione per Android, analogamente a quella per i sistemi desktop, nel gestore delle password è stata implementata una verifica dei login e delle password salvati rispetto a un database di account compromessi, con avviso in caso di problemi rilevati o tentativi di utilizzo di password triviali. La verifica viene effettuata su un database che copre oltre 4 miliardi di account compromessi comparsi in fughe di dati degli utenti. Per garantire la privacy applicato il controllo avviene tramite un confronto di prefissi hash sul lato dell'utente, mentre le password e i loro hash completi non vengono inviati all'esterno.

Nella versione per Android è stata anche sono stati trasferiti il pulsante «Verifica di sicurezza» (Safety check) e la modalità avanzata di protezione dai siti pericolosi (Enhanced Safe Browsing). Il pulsante «Safety check» mostra un riepilogo dei potenziali problemi di sicurezza, come l'uso di password compromesse, lo stato della verifica dei siti dannosi (Safe Browsing), la presenza di aggiornamenti non installati e l'individuazione di estensioni dannose. La modalità avanzata di protezione attiva controlli aggiuntivi per la protezione contro il phishing, attività dannose e altre minacce sul Web, e include anche una protezione supplementare per l'account Google e i servizi Google (Gmail, Drive, ecc.). Mentre nella modalità normale di Safe Browsing i controlli vengono effettuati localmente tramite un database caricato periodicamente sul sistema del cliente, in Enhanced Safe Browsing le informazioni su pagine e download vengono inviate in tempo reale per la verifica da parte di Google, consentendo di reagire rapidamente alle minacce non appena vengono scoperte, senza attendere l'aggiornamento della lista nera locale.

È stata aggiunta supporto per il file indicatore «.well-known/change-password», tramite il quale i proprietari dei siti possono specificare l'indirizzo del modulo web per la modifica della password. In caso di compromissione delle credenziali dell'utente, Chrome ora offrirà immediatamente all'utente un modulo per cambiare la password, determinato in base alle informazioni contenute in questo file.

È stata implementata una nuova avvertenza «Safety Tip», visualizzata all'apertura di siti i cui domini assomigliano molto a un altro sito e l'euristica indica un'alta probabilità di spoofing (ad esempio, viene aperto goog0le.com invece di google.com).

supporto per l'interfaccia supporto per la cache di navigazione (Back-forward cache), che consente una transizione immediata utilizzando i pulsanti «Indietro» e «Avanti» o navigando tra le pagine precedentemente visualizzate del sito corrente. La cache viene attivata tramite la configurazione chrome://flags/#back-forward-cache.

Ottimizzazione del consumo di risorse CPU delle finestre
fuori dal campo visivo. Chrome verifica se la finestra del browser è coperta da altre finestre ed esclude il rendering dei pixel nelle aree di sovrapposizione. Questa ottimizzazione è stata attivata per una piccola percentuale di utenti nelle versioni Chrome 84 e 85, e ora è attivata universalmente. Rispetto alle versioni precedenti, è stata inoltre risolta l'incompatibilità con i sistemi di virtualizzazione che provocava la visualizzazione di pagine bianche vuote.

Rafforzato il taglio delle risorse per le schede in background. Tali schede ora non possono consumare più dell'1% delle risorse CPU e possono essere attivate non più di una volta al minuto. Dopo cinque minuti di inattività in background, le schede si bloccano, ad eccezione delle schede in cui viene riprodotto contenuto multimediale o viene effettuata una registrazione.

Ripresa del lavoro su unificazione dell'header HTTP User-Agent. Nella nuova versione, per tutti gli utenti è attivato il supporto per il meccanismo User-Agent Client Hints, sviluppato come sostituto del User-Agent. Il nuovo meccanismo prevede un'uscita selettiva dei dati su specifici parametri del browser e del sistema (versione, piattaforma, ecc.) solo su richiesta del server, dando agli utenti la possibilità di fornire selettivamente tali informazioni ai proprietari dei siti. Con l'uso di User-Agent Client Hints, l'identificatore non viene inviato per default senza esplicita richiesta, rendendo impossibile la passive identification (per default viene fornito solo il nome del browser).

Cambiata l'indicazione della disponibilità di aggiornamenti e la necessità di riavviare il browser per la loro installazione. Al posto della freccia colorata nel campo dell'avatar dell'account, ora appare la scritta "Update".

È stato svolto un lavoro per tradurre il browser all'uso di una terminologia inclusiva. Nei nomi delle politiche, le parole "whitelist" e "blacklist" sono state sostituite con "allowlist" e "blocklist" (le politiche già aggiunte continueranno a funzionare, ma verrà visualizzato un avviso sulla loro obsolescenza). In codice e nomi di file le menzioni di "blacklist" sono state sostituite con "blocklist".
Le menzioni visibili all'utente di "blacklist" e "whitelist" sono state sostituite all'inizio del 2019.

Aggiunta un'opzione sperimentale per modificare le password salvate, attivabile tramite il flag "chrome://flags/#edit-passwords-in-settings".

Trasmesso alla categoria di API stabili e pubbliche Native File System, consentendo la creazione di applicazioni web che interagiscono con file nel filesystem locale. Ad esempio, la nuova API potrebbe essere richiesta in ambienti di sviluppo integrati, editor di testo, immagini e video eseguiti nel browser. Per ottenere la possibilità di scrivere e leggere file direttamente o utilizzare dialoghi per aprire e salvare file, così come per navigare nel contenuto delle cartelle, l'applicazione richiede un'apposita conferma da parte dell'utente.

È stato aggiunto il selettore CSS «:focus-visible«, che utilizza la stessa euristica applicata dal browser per decidere quando mostrare l'indicatore di cambio di focus (quando il focus si sposta su un pulsante utilizzando combinazioni di tasti, l'indicatore appare, mentre quando si fa clic con il mouse non appare). Il selettore CSS «:focus» precedentemente disponibile evidenzia sempre il focus.
Inoltre, nelle impostazioni è stata aggiunta l'opzione «Quick Focus Highlight», che quando attivata mostra un indicatore di focus supplementare accanto agli elementi attivi, che rimane visibile anche se su pagina gli stili CSS per l'evidenziazione del focus sono disabilitati.

Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) sono stati aggiunti diversi nuovi API. L'Origin Trial implica la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, valido per un tempo limitato per un sito web specifico.

API WebHID per un accesso a basso livello ai dispositivi HID (Human Interface Device, tastiere, mouse, gamepad, touchpad), che consente di implementare la logica di funzionamento con i dispositivi HID in JavaScript per gestire operazioni con dispositivi HID rari senza la necessità di driver specifici nel sistema.
In primo luogo, la nuova API è focalizzata sul fornire supporto ai gamepad.
API Screen Information, amplia le capacità dell'API Window Placement supportando configurazioni con più schermi. A differenza di window.screen, la nuova API consente di manipolare il posizionamento delle finestre nello spazio dello schermo complessivo dei sistemi multi-monitor, senza limitarsi allo schermo corrente.
Meta tag battery-savings, tramite il quale il sito può informare il browser della necessità di attivare modalità di risparmio energetico e ottimizzare il carico sulla CPU.
API COOP Reporting per informare di potenziali violazioni dei regimi di isolamento Cross-Origin-Embedder-Policy (COEP) e Cross-Origin-Opener-Policy (COOP), senza applicare restrizioni effettive.
Nell'API Credential Management è stato proposto un nuovo tipo di credenziali PaymentCredential, che fornisce una conferma aggiuntiva dell'operazione di pagamento in corso. L'entità di verifica, ad esempio la banca, ha la possibilità di generare una chiave pubblica PublicKeyCredential, che può essere richiesta dal venditore per una conferma sicura e aggiuntiva del pagamento.

Nell'API PointerEvents per la determinazione dell'inclinazione dello stilo è stato aggiunto il supporto per gli angoli di altezza (l'angolo tra lo stilo e lo schermo) e azimut (l'angolo tra l'asse X e la proiezione dello stilo sullo schermo), invece degli angoli TiltX e TiltY (gli angoli tra il piano dello stilo e uno degli assi e il piano degli assi Y e Z). Sono state inoltre aggiunte funzioni di conversione tra altezza/azimut e TiltX/TiltY.

È stata modificata la codifica degli spazi negli URL; durante il calcolo nei gestori di protocollo, il metodo navigator.registerProtocolHandler() ora sostituisce gli spazi con «» invece di «+», uniformando il comportamento con altri browser come Firefox.

In CSS è stato aggiunto il pseudo-elemento «::marker«, che consente di configurare colore, dimensione, forma e tipo di numeri e punti per le liste nei blocchi

È stato aggiunto il supporto per l'intestazione HTTP Document-Policy, che permette impostare regole di accesso ai documenti, simili al meccanismo di isolamento sandbox per iframe, ma più universali. Ad esempio, tramite Document-Policy è possibile limitare l'uso di immagini di bassa qualità, disabilitare API JavaScript lente, impostare regole per il caricamento di iframe, immagini e script, limitare la dimensione totale del documento e il traffico, vietare metodi che portano a un ridisegno della pagina, disabilitare la funzione Scroll-To-Text.
Nell'elemento
è stato aggiunto il supporto per i parametri 'inline-grid', 'grid', 'inline-flex' e 'flex', impostati tramite la proprietà CSS 'display'.
È stato aggiunto il metodo ParentNode.replaceChildren() per sostituire tutti gli elementi figli del nodo padre con un altro nodo DOM. In precedenza, per sostituire i nodi si poteva utilizzare una combinazione di metodi node.removeChild() e node.append() o node.innerHTML e node.append().
Espanso spettro di schemi URL, consentiti per la sovrascrittura tramite registerProtocolHandler(). Nel elenco degli schemi sono inclusi protocolli decentralizzati come cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns e ssb, consentendo la definizione di collegamenti a elementi indipendentemente dal sito o dal gateway che fornisce accesso alla risorsa.
Nell'API Appunti Asincroni aggiunta la supporto per il formato text/html per copiare e incollare HTML tramite il clipboard (quando si scrive e si legge nel clipboard vengono pulite le costruzioni HTML pericolose). Questa modifica, ad esempio, consente di organizzare nei web-editor il copia e incolla di testo formattato con immagini e link.
In WebRTC è stata aggiunta la possibilità di collegare i propri gestori di dati, invocati nelle fasi di codifica o decodifica di WebRTC MediaStreamTrack. Ad esempio, questa possibilità può essere utilizzata per aggiungere supporto per la crittografia end-to-end dei dati trasmessi tramite server intermedi.
Nel motore JavaScript V8 al 75% accelerata implementazione di Number.prototype.toString. Aggiunta la proprietà .name con un valore vuoto nelle classi asincrone. Rimosso il metodo Atomics.wake, che è stato in precedenza rinominato in Atomics.notify per adeguarsi alla specifica ECMA-262. Rilasciato il codice dello strumento di test di fuzzing JS-Fuzzer.
Nell'ultimo rilascio, il compilatore iniziale (baseline) Liftoff per WebAssembly ha abilitato l'uso di istruzioni vettoriali SIMD per accelerare i calcoli. A giudicare dai test, l'ottimizzazione ha permesso di accelerare il superamento di alcuni test di 2,8 volte. Un'altra ottimizzazione ha notevolmente velocizzato la chiamata delle funzioni JavaScript importate da WebAssembly.
Espansi strumenti per sviluppatori web: Nella scheda Media sono state aggiunte informazioni sui lettori utilizzati per riprodurre video nella pagina, comprese informazioni sugli eventi, i log, i valori delle proprietà e le impostazioni di decodifica dei frame (ad esempio, è possibile determinare le cause della perdita di frame e problemi di interazione da JavaScript).
Nel menu contestuale della scheda Elements è stata aggiunta la possibilità di creare schermate dell'elemento selezionato (ad esempio, è possibile creare uno screenshot dell'indice o della tabella).
Nella console web, il pannello di avviso sui problemi è stato sostituito da un messaggio comune, e i problemi con i cookie di terze parti sono nascosti di default nella scheda Issues e vengono attivati tramite un apposito flag.
Nella scheda Rendering è stata aggiunta il pulsante «Disabilita caratteri locali», che consente di simulare l'assenza di caratteri locali, e nella scheda Sensors è stata aggiunta la possibilità di simulare l'inattività dell'utente (per applicazioni che utilizzano l'API Idle Detection).
Nel pannello Applicazione è fornita un'informativa dettagliata su ogni iframe, finestra aperta e pop-up, inclusi i dati sull'isolamento Cross-Origin tramite COEP e COOP.
È iniziata sostituzione dell'implementazione del protocollo QUIC con una variante sviluppata nella specifica IETF, invece della variante QUIC di Google.

Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono stati risolti 35 vulnerabilità. Molte delle vulnerabilità sono state identificate grazie ai test automatizzati con strumenti quali AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Una vulnerabilità (CVE-2020-15967, accesso a un'area di memoria rilasciata nel codice per l'interazione con Google Payments) è contrassegnata come critica, ovvero permette di eludere tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità per la versione attuale, Google ha erogato 27 premi per un totale di 71.500 dollari (un premio di $15.000, tre premi di $7.500, cinque premi di $5.000, due di $3.000, uno di $200 e due premi di $500). L'importo di 13 premi non è ancora stato definito.

Fonte: opennet.ru