Rilascio di Chrome 92

Google ha presentato il rilascio del browser web Chrome 92. È disponibile anche la versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, per un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico e per la trasmissione dei parametri RLZ durante le ricerche.

Principali novità in Chrome 92:

• Nelle impostazioni sono stati aggiunti strumenti per la gestione dell'attivazione dei componenti Privacy Sandbox. Gli utenti possono disattivare la tecnologia FLoC (Federated Learning of Cohorts), sviluppata da Google come sostituto dei cookie di tracciamento, a favore di «coorti» che permettono di identificare utenti con interessi simili, senza identificare singole persone. Le coorti vengono calcolate dal browser utilizzando algoritmi di machine learning sui dati delle visite e sui contenuti aperti nel browser.
• Per gli utenti dei sistemi desktop, la cache di navigazione (Back-forward cache) è attivata di default, offrendo un passaggio istantaneo quando si utilizzano i pulsanti «Indietro» e «Avanti» o durante la navigazione tra le pagine visitate in precedenza dello stesso sito. In precedenza, la cache di navigazione era disponibile solo per le versioni per Android.
• È stata migliorata l'isolamento dei siti e delle estensioni in processi differenti. Se in passato il meccanismo di Site Isolation garantiva l'isolamento dei siti tra loro in processi separati e isolava tutte le estensioni in un processo autonomo, nella nuova versione è stata implementata una separazione tra le estensioni del browser tramite l'assegnazione di ciascuna estensione a un processo differente, creando un ulteriore barriera per proteggere da estensioni malevole.
• È stata aumentata significativamente la performance e l'efficacia nel rilevare il phishing. La velocità di rilevamento del phishing basata su analisi locale delle immagini è aumentata fino a 50 volte nel 50% dei casi, mentre nel 99% è risultata più veloce di almeno 2.5 volte. In media, il tempo di classificazione del phishing per immagine è diminuito da 1.8 secondi a 100 ms. Complessivamente, il carico sulla CPU generato da tutti i processi grafici è diminuito dell'1.2%.
• Sono stati aggiunti ai porti di rete vietati i porti 989 (ftps-data) e 990 (ftps). In precedenza, erano già stati bloccati i porti 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080. Per i porti nella lista nera, vengono bloccate le richieste HTTP, HTTPS e FTP per proteggere dagli attacchi di NAT slipstreaming, che consentono, aprendo una pagina web appositamente preparata dall'attaccante nel browser, di stabilire una connessione di rete dal server dell'attaccante a qualsiasi porta UDP o TCP sul sistema dell'utente, nonostante l'uso di un intervallo di indirizzi interni (192.168.x.x, 10.x.x.x).
• È stato introdotto il requisito per l'applicazione della verifica in due fasi per gli sviluppatori al momento della pubblicazione di nuove estensioni o aggiornamenti di versioni nel Chrome Web Store.
• È stata garantita la disattivazione nel browser delle estensioni già installate, se rimosse dal catalogo del Chrome Web Store per violazione delle regole.
• Nel caso di invio di richieste DNS, se vengono utilizzati server DNS classici, oltre ai record 'A' e 'AAAA' per la definizione indirizzi IP ora viene anche richiesta la registrazione DNS 'HTTPS', tramite la quale vengono trasmessi parametri che consentono di accelerare l'instaurazione delle connessioni HTTPS, come impostazioni di protocollo, chiavi per la crittografia TLS ClientHello e un elenco di sottodomini alias.
• Dai blocchi iframe caricati da dei domini, diversi dal dominio della pagina corrente, è vietato chiamare i dialoghi JavaScript window.alert, window.confirm e window.prompt. Questa modifica proteggerà gli utenti da abusi legati ai tentativi di presentare una notifica esterna come una richiesta del sito principale.
• Nella pagina della nuova scheda è stata garantita la visualizzazione di un elenco dei documenti più richiesti, salvati in Google Drive.
• È stata fornita la possibilità di cambiare il nome e l'icona per le applicazioni PWA (Progressive Web Apps).
• Per un piccolo numero casuale di moduli web, relativi all'immissione di indirizzi o numeri di carte di credito, a scopo sperimentale verrà disattivata la visualizzazione delle raccomandazioni per il completamento automatico.
• Nella versione per sistemi desktop, l'opzione di ricerca per immagine (voce 'Trova immagine' nel menu di contesto) è stata adattata per utilizzare il servizio Google Lens invece del normale motore di ricerca Google. Facendo clic sul pulsante corrispondente nel menu di contesto, l'utente sarà reindirizzato a un'app web separata.
• Nell'interfaccia della modalità «incognito» sono nascoste le informazioni sulla cronologia delle visite (i collegamenti sono inutili, poiché portavano all'apertura di una pagina con informazioni che indicavano che la cronologia non viene raccolta).
• Sono state aggiunte nuove comandi che vengono interpretati quando inseriti nella barra degli indirizzi. Ad esempio, per visualizzare un pulsante di accesso rapido alla pagina di controllo della sicurezza delle password e delle estensioni, è sufficiente digitare «verifica sicurezza», mentre per accedere alle impostazioni di sicurezza e sincronizzazione si utilizza «gestisci impostazioni di sicurezza» e «gestisci sincronizzazione».
• Modifiche specifiche nella versione di Chrome per Android:
  • Nella barra è stato implementato un nuovo pulsante personalizzabile «Magic Toolbar», che mostra diversi collegamenti scelti in base all'attività corrente dell'utente e include collegamenti che potrebbero essere utili in quel momento.
  • È stata aggiornata l'implementazione del modello di machine learning eseguito sul dispositivo per identificare tentativi di phishing. Quando viene rilevato un tentativo di phishing, oltre a visualizzare la pagina di avviso, il browser invierà ora al servizio esterno Safe Browsing informazioni sulla versione del modello di machine learning, sul peso calcolato per ciascuna categoria e sul flag di utilizzo del nuovo modello.
  • È stata rimossa l'impostazione «Mostra suggerimenti per pagine simili quando una pagina non può essere trovata», che consigliava pagine simili basate sull'invio di una richiesta a Google, se la pagina non veniva trovata. In precedenza, questa impostazione era stata già rimossa dalla versione per sistemi desktop.
  • È stata ampliata l'applicazione della modalità di isolamento dei siti in processi separati. Per motivi di consumo delle risorse, fino ad ora, solo alcuni grandi siti venivano isolati in processi separati. Nella nuova versione, l'isolamento inizierà ad applicarsi anche ai siti in cui l'utente ha effettuato l'accesso con autenticazione tramite OAuth (ad esempio, accesso tramite un account Google) o che impostano l'intestazione HTTP Cross-Origin-Opener-Policy. Per chi desidera abilitare l'isolamento in processi separati per tutti i siti, è disponibile l'impostazione «chrome://flags/#enable-site-per-process».
  • Sono stati disattivati i meccanismi di protezione integrati nel motore V8 contro attacchi tramite canali laterali, come Spectre, ritenuti non così efficaci come l'isolamento dei siti in processi separati. Nella versione desktop, i suddetti meccanismi erano già stati disattivati nella versione Chrome 70.
  • È stato semplificato l'accesso alle impostazioni delle autorizzazioni del sito, come l'accesso al microfono, alla fotocamera e alla localizzazione. Per visualizzare l'elenco delle autorizzazioni, è sufficiente fare clic sull'icona del lucchetto nella barra degli indirizzi e poi selezionare la sezione "Permissions".
• Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) sono stati aggiunti diversi nuovi API. L'Origin Trial implica la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, valido per un tempo limitato per un sito web specifico.
  • L'API File Handling consente di registrare le web app come gestori di file. Ad esempio, un'app web in modalità PWA (Progressive Web Apps) con un editor di testo può registrarsi come gestore di file per i "txt", dopodiché può essere utilizzata nel gestore di file di sistema per aprire i file di testo.
  • L'API Shared Element Transitions consente di utilizzare effetti predefiniti forniti dal browser, che visualizzano il cambiamento di stato dell'interfaccia nelle applicazioni web a pagina singola (SPA, single-page applications) e nelle applicazioni web multi-pagina (MPA, multi-page applications).
• Alla regola CSS @font-face è stato aggiunto il parametro size-adjust, che consente di scalare le dimensioni del glifo per una specifica variante di carattere, senza modificare il valore della proprietà CSS font-size (l'area sotto il carattere rimane la stessa, ma cambia la dimensione del glifo in quest'area).
• In JavaScript, negli oggetti Array, String e TypedArray è stato implementato il metodo at(), che consente di utilizzare l'indicizzazione relativa (la posizione relativa è usata come indice dell'array), incluso l'uso di valori negativi rispetto alla fine (ad esempio, «arr.at(-1)» restituirà l'ultimo elemento dell'array).
• Nel costruttore JavaScript Intl.DateTimeFormat è stata aggiunta la proprietà dayPeriod, che consente di visualizzare un'indicazione approssimativa del periodo della giornata (mattina, sera, pomeriggio, notte).
• Quando si utilizzano oggetti SharedArrayBuffers, che consentono di creare array nella memoria condivisa, ora è richiesta la definizione degli header HTTP Cross-Origin-Opener-Policy e Cross-Origin-Embedder-Policy, senza i quali la richiesta verrà bloccata.
• Nell'API Media Session sono state aggiunte le azioni "togglemicrophone", "togglecamera" e "hangup", che consentono ai siti che implementano sistemi di videoconferenza di collegare i propri gestori ai pulsanti di accensione/spegnimento del microfono, accensione/spegnimento della fotocamera e chiusura della chiamata visualizzati nell'interfaccia picture-in-picture.
• Nell'API Web Bluetooth è stata aggiunta la possibilità di filtrare i dispositivi Bluetooth trovati in base agli identificatori del produttore e del prodotto. Il filtro è impostato tramite il parametro "options.filters" nel metodo Bluetooth.requestDevice().
• È stata implementata la prima fase di riduzione del contenuto dell'header HTTP User-Agent: ora nella scheda DevTools Issues viene visualizzato un avviso sulla deprecazione di navigator.userAgent, navigator.appVersion e navigator.platform.
• È stata introdotta una serie di miglioramenti agli strumenti per gli sviluppatori web. Nella console web è stata aggiunta la possibilità di sovrascrivere le espressioni «const». Nella sezione Elements, per gli elementi iframe, è stata fornita un'opzione di anteprima rapida delle informazioni tramite il menu contestuale che appare con un clic destro sull'elemento. È stato migliorato il debug degli errori CORS (Cross-Origin Resource Sharing). Nell'interfaccia di ispezione dell'attività di rete è stata aggiunta la possibilità di filtrare le richieste di rete da WebAssembly. È stato proposto un nuovo editor CSS Grid («display: grid» e «display: inline-grid») con la funzione di anteprima delle modifiche.

Oltre alle novità e alla correzione di bug, la nuova versione ha risolto 35 vulnerabilità. Molte di queste vulnerabilità sono state identificate attraverso il testing automatizzato con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state identificate problematiche critiche in grado di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, per l'attuale rilascio Google ha elargito 24 premi per un totale di 112.000 dollari USA (due premi da $15.000, quattro premi da $10.000, un premio da $8.500, due premi da $7.500, tre premi da $5.000, un premio da $3.000 e un premio da $500). L'importo di 11 premi non è ancora stato definito.

Fonte: opennet.ru