Rilascio di Chrome 98

L'azienda Google ha presentato il rilascio del browser web Chrome 98. È disponibile contemporaneamente anche la versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamenti automatici e la trasmissione di parametri RLZ nelle ricerche. La prossima versione di Chrome 99 è prevista per il 1° marzo.

Principali cambiamenti in Chrome 98:

• Nel browser è integrato uno storage proprio per i certificati radice delle autorità di certificazione (Chrome Root Store), che sarà utilizzato al posto di depositi esterni specifici per ogni sistema operativo. Questo deposito è stato realizzato in analogia con il deposito indipendente dei certificati radice di Firefox, usato come primo anello per la verifica della catena di fiducia dei certificati quando si aprono siti tramite HTTPS. Il nuovo deposito non è ancora utilizzato di default. Per semplificare il trasferimento delle configurazioni legate agli storage di sistema e per garantire la portabilità, ci sarà un periodo di transizione nel quale il Chrome Root Store includerà un'ampia selezione di certificati approvati sulle maggiori piattaforme supportate.
• Prosegue l'attuazione del piano per rafforzare la protezione contro gli attacchi legati all'accesso a risorse nella rete locale o sul computer dell'utente (localhost) da script caricati all'apertura del sito. Tali richieste sono utilizzate da malintenzionati per effettuare attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale.

  Per proteggere da tali attacchi, nel caso di accesso a qualsiasi sotto-risorsa nella rete interna, il browser inizierà a inviare una richiesta esplicita di autorizzazione per il caricamento di tali sotto-risorse. La richiesta di autorizzazione avviene attraverso l'invio a server sito principale della richiesta CORS (Cross-Origin Resource Sharing) con intestazione «Access-Control-Request-Private-Network: true», prima di accedere a una rete interna o a localhost. Se l'operazione viene confermata, il server deve restituire l'intestazione «Access-Control-Allow-Private-Network: true» in risposta a questa richiesta. In Chrome 98, il controllo è stato implementato in modalità di test e, in caso di mancanza di conferma, viene visualizzato un avviso nella console web, ma la richiesta del sottoservizio non viene bloccata. La blocco sarà attivato non prima del rilascio di Chrome 101.

• Nelle impostazioni dell'account sono stati integrati strumenti per gestire l'attivazione della modalità di protezione avanzata contro siti pericolosi (Enhanced Safe Browsing), in cui vengono attivati controlli aggiuntivi per proteggere da phishing, attività dannose e altre minacce sul web. Con l'attivazione di questa modalità, l'account Google ora offrirà la possibilità di attivarla anche in Chrome.
• È stato aggiunto un modello per identificare i tentativi di phishing lato client, implementato utilizzando la piattaforma di machine learning TFLite (TensorFlow Lite) e non richiede l'invio di dati per eseguire il controllo lato Google (a questo punto viene inviata telemetria con informazioni sulla versione del modello e sui pesi calcolati per ciascuna categoria). In caso di rilevamento di un tentativo di phishing, all'utente verrà mostrata una pagina di avviso prima di aprire un sito sospetto.
• Nell'API Client Hints, sviluppata come sostituto dell'intestazione User-Agent e che consente di fornire selettivamente dati su specifici parametri del browser e del sistema (versione, piattaforma, ecc.) solo su richiesta server, è stata implementata la possibilità di sostituire nella lista degli identificatori del browser nomi fittizi, in analogia con il meccanismo GREASE (Generate Random Extensions And Sustain Extensibility) utilizzato in TLS. Ad esempio, oltre a ‘»Chrome»; v=»98″‘ e ‘»Chromium»; v=»98″‘, può essere aggiunto un identificatore casuale di un browser inesistente ‘»(Not;Browser»; v=»12″‘. Tale sostituzione consentirà di identificare problemi nel trattamento di identificatori di browser sconosciuti, che costringono i browser alternativi a fingersi altri browser popolari per aggirare il controllo delle liste dei browser consentiti.
• A partire dal 17 gennaio, il Chrome Web Store ha smesso di accettare estensioni che utilizzano la seconda versione del manifesto di Chrome. Le nuove estensioni saranno accettate solo con la terza versione del manifesto. Gli sviluppatori delle estensioni già aggiunte potranno continuare a pubblicare aggiornamenti con la seconda versione del manifesto. La cessazione completa del supporto per la seconda versione del manifesto è prevista per gennaio 2023.
• È stato aggiunto il supporto per i caratteri vettoriali colorati nel formato COLRv1 (una sottoinsieme dei caratteri OpenType, che oltre ai glifi vettoriali include un livello con informazioni sui colori), che possono essere utilizzati ad esempio per la creazione di emoji multicolori. A differenza del formato COLRv0 precedentemente supportato, il COLRv1 offre la possibilità di utilizzare gradienti, sovrapposizioni e trasformazioni. Il formato fornisce anche una forma compatta di archiviazione, garantisce una compressione efficace e consente il riutilizzo dei contorni, permettendo una riduzione significativa delle dimensioni del carattere. Ad esempio, il carattere Noto Color Emoji in formato raster occupa 9MB, mentre in formato vettoriale COLRv1 occupa 1.85MB.
• Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) è stato implementato l'API Region Capture, che consente di ritagliare il video catturato. Ad esempio, il ritaglio può essere necessario in web app che catturano video dai contenuti della propria scheda, per escludere determinati contenuti prima dell'invio. L'Origin Trial consente di lavorare con l'API specificata da app caricate da localhost o 127.0.0.1, oppure dopo la registrazione e l'ottenimento di un token speciale, valido per un tempo limitato per un determinato sito.
• Alla proprietà CSS 'contain-intrinsic-size' è stato aggiunto il supporto per il valore 'auto', che, se specificato, utilizzerà l'ultima dimensione memorizzata dell'elemento (utilizzando insieme a 'content-visibility: auto', lo sviluppatore non deve indovinare la dimensione disegnata dell'elemento).
• È stata aggiunta la proprietà AudioContext.outputLatency, attraverso cui è possibile ottenere informazioni sul ritardo previsto prima dell'uscita del suono (ritardo tra la richiesta del suono e l'inizio dell'elaborazione dei dati ricevuti dal dispositivo di uscita audio).
• La proprietà CSS color-scheme consente di definire in quali schemi di colore l'elemento può essere visualizzato correttamente («light», «dark», «day mode» e «night mode»); è stato aggiunto il parametro «only», che consente di escludere la modifica forzata dello schema di colore per singoli elementi HTML. Ad esempio, se si specifica «div { color-scheme: only light }», per l'elemento div verrà utilizzato solo il tema chiaro, anche se nel browser è attivata forzatamente una modalità scura.
• In CSS è stato aggiunto il supporto per le media query ‘dynamic-range’ e ‘video-dynamic-range’ per determinare la presenza di uno schermo che supporta HDR (High Dynamic Range).
• Nella funzione window.open() è stata aggiunta la possibilità di scegliere di aprire il collegamento in una nuova scheda, in una nuova finestra o in una finestra pop-up. Inoltre, la proprietà window.statusbar.visible ora restituisce «false» per le finestre pop-up e «true» per le schede e le finestre. const popup = window.open(‘_blank’,’,’popup=1′); // Aprire in una finestra pop-up const tab = window.open(‘_blank’,’,’popup=0′); // Aprire in una scheda
• Per finestre e worker è stato implementato il metodo structuredClone(), che consente di creare copie ricorsive di oggetti, inclusi i propri attributi e tutti gli altri oggetti a cui fa riferimento l'oggetto corrente.
• Nell'API Web Authentication è stato aggiunto il supporto per l'estensione delle specifiche FIDO CTAP2, che consente di specificare la lunghezza minima del PIN (minPinLength).
• Per le applicazioni web installabili è stato aggiunto il componente Window Controls Overlay, che estende l'area dello schermo dell'applicazione a tutta la finestra, inclusa l'area della intestazione, sovrapponendo i pulsanti di controllo della finestra (chiusura, minimizzazione, massimizzazione). L'applicazione web può gestire il rendering e l'elaborazione dell'input in tutta la finestra, tranne per il blocco sovrapposto con i pulsanti di controllo della finestra.
• Nella WritableStreamDefaultController è stata aggiunta una proprietà di gestione dei segnali, che restituisce un oggetto AbortSignal, con cui è possibile interrompere immediatamente le operazioni di scrittura in WritableStream, senza attendere il loro completamento.
• In WebRTC è stato rimosso il supporto per il meccanismo di negoziazione delle chiavi SDES, dichiarato obsoleto dall'organizzazione IETF nel 2013 a causa di problemi di sicurezza.
• Per impostazione predefinita, l'API U2F (Cryptotoken) è disattivata, essendo stata precedentemente dichiarata obsoleta e sostituita dall'API Web Authentication. L'API U2F sarà completamente rimossa in Chrome 104.
• Nell'API Directory è stato dichiarato obsoleto il campo installed_browser_version, al quale è stato proposto un nuovo campo pending_browser_version, caratterizzato dal fatto che contiene informazioni sulla versione del browser tenendo conto degli aggiornamenti scaricati ma non applicati (cioè, la versione che entrerà in vigore dopo il riavvio del browser).
• Sono stati rimossi i parametri che consentivano il ripristino del supporto per TLS 1.0 e 1.1.
• Sono stati apportati miglioramenti agli strumenti per i web developer. È stata aggiunta una scheda per valutare il funzionamento della cache di navigazione (Back-forward cache), che consente un passaggio istantaneo utilizzando i pulsanti "Indietro" e "Avanti". È stata aggiunta la possibilità di simulare richieste con media forced-colors. Nell'editor Flexbox sono stati aggiunti pulsanti per supportare le proprietà row-reverse e column-reverse. Nella scheda "Changes" è stata garantita la visualizzazione delle modifiche dopo la formattazione del codice, il che semplifica l'analisi delle pagine minificate.

  L'implementazione del pannello di visualizzazione del codice è stata aggiornata per rilasciare l'editor di codice CodeMirror 6, nel quale è stata significativamente migliorata la prestazione nella gestione di file molto grandi (WASM, JavaScript), sono stati risolti problemi legati a spostamenti casuali durante la navigazione e sono stati migliorati i suggerimenti del sistema di completamento automatico durante la modifica del codice. Nel pannello con le proprietà CSS è stata aggiunta la possibilità di filtrare l'output per nome o valore della proprietà.

  

Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono state risolte 27 vulnerabilità. Molte di queste sono state identificate grazie a test automatizzati condotti con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche che consentissero di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale rilascio, Google ha concesso 19 premi per un totale di 88.000 dollari USA (due premi di 20.000 dollari, un premio di 12.000 dollari, due premi di 7.500 dollari, quattro premi di 1.000 dollari e un premio ciascuno di 7.000, 5.000, 3.000 e 2.000 dollari.

Fonte: opennet.ru