🥇Rilascio di Chrome 98

Google ha presentato il rilascio del browser web Chrome 98. È disponibile contemporaneamente anche la versione stabile del progetto open source Chromium, che costituisce la base di Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, per un sistema che invia notifiche in caso di crash, per moduli per la riproduzione di contenuti video protetti da copyright (DRM), per un sistema di aggiornamenti automatici e per la trasmissione dei parametri RLZ durante le ricerche. Il prossimo rilascio di Chrome 99 è previsto per il 1 marzo.

Le principali novità in Chrome 98:

Il browser include un proprio archivio di certificati radice delle autorità di certificazione (Chrome Root Store), che sarà utilizzato anziché gli archivi esterni specifici per ogni sistema operativo. L'archivio è implementato in analogia a un archivio indipendente di certificati radice in Firefox, usato come primo collegamento per la verifica della catena di fiducia dei certificati durante l'apertura dei siti HTTPS. Il nuovo archivio non è ancora utilizzato per impostazione predefinita. Per semplificare il passaggio delle configurazioni basate sugli archivi di sistema e garantire la portabilità, ci sarà un periodo di transizione durante il quale il Chrome Root Store includerà una raccolta completa di certificati approvati su gran parte delle piattaforme supportate.
È in corso l'attuazione del piano per rafforzare la protezione contro gli attacchi che coinvolgono l'accesso alle risorse nella rete locale o sul computer dell'utente (localhost) da script caricati all'apertura del sito. Tali richieste vengono sfruttate dai malintenzionati per eseguire attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale.
Per proteggersi da tali attacchi, nel caso di accesso a qualsiasi sotto-risorsa nella rete interna, il browser inizierà a inviare esplicitamente una richiesta di autorizzazione per il caricamento di tali sotto-risorse. La richiesta di autorizzazione viene effettuata tramite l'invio a un server la richiesta CORS (Cross-Origin Resource Sharing) del sito principale con l'intestazione «Access-Control-Request-Private-Network: true» prima di accedere a una rete interna o a localhost. In caso di conferma dell'operazione, il server deve restituire l'intestazione «Access-Control-Allow-Private-Network: true». In Chrome 98, il controllo è implementato in modalità di test e, in assenza di conferma, appare un avviso nella web console, ma la richiesta del sottorisorsa non viene bloccata. Il blocco è previsto per essere implementato non prima del rilascio di Chrome 101.
Nelle impostazioni dell'account sono integrate le opzioni per gestire l'attivazione della modalità avanzata di protezione contro siti pericolosi (Enhanced Safe Browsing), che attiva controlli aggiuntivi per proteggere da phishing, attività dannose e altre minacce sul Web. Attivando la modalità, verrà ora proposto di attivarla anche in Chrome.
È stato aggiunto un modello per rilevare i tentativi di phishing lato client, implementato utilizzando la piattaforma di machine learning TFLite (TensorFlow Lite) e non richiede l'invio di dati per eseguire il controllo da parte di Google (inviando comunque telemetria contenente informazioni sulla versione del modello e sui pesi calcolati per ogni categoria). In caso di rilevamento di un tentativo di phishing, all'utente verrà mostrata una pagina di avviso prima di aprire un sito sospetto.
Nell'API Client Hints, sviluppata come sostituzione dell'intestazione User-Agent e che consente di restituire selettivamente dati su parametri specifici del browser e del sistema (versione, piattaforma, ecc.) solo su richiesta server, è stata attivata la possibilità di sostituire nella lista degli identificatori del browser nomi fittizi, analogamente al meccanismo GREASE (Generate Random Extensions And Sustain Extensibility) usato in TLS. Ad esempio, oltre a ‘»Chrome»; v=»98″‘ e ‘»Chromium»; v=»98″‘, nella lista può essere aggiunto un identificatore casuale di un browser inesistente ‘»(Not;Browser»; v=»12″‘. Tale sostituzione permetterà di identificare problemi con la gestione degli identificatori di browser sconosciuti, che portano i browser alternativi a dover fingere di essere altri browser popolari per aggirare il controllo delle liste di browser consentiti.
A partire dal 17 gennaio, il catalogo Chrome Web Store ha smesso di accettare estensioni che utilizzano la seconda versione del manifesto di Chrome. Le nuove estensioni saranno accettate solo con la terza versione del manifesto. Gli sviluppatori di estensioni precedentemente aggiunte, come prima, potranno pubblicare aggiornamenti con la seconda versione del manifesto. La completa cessazione del supporto per la seconda versione del manifesto è programmata per gennaio 2023.
È stata aggiunta la compatibilità con i font vettoriali colorati nel formato COLRv1 (un sottoinsieme dei font OpenType che contiene, oltre ai glifi vettoriali, uno strato con informazioni sul colore), che possono essere utilizzati, ad esempio, per creare emoji multicolori. A differenza del formato COLRv0 precedentemente supportato, il COLRv1 introduce la possibilità di utilizzare gradienti, sovrapposizioni e trasformazioni. Il formato offre anche una forma compatta di archiviazione, garantisce una compressione efficace e consente il riutilizzo dei contorni, contribuendo così a ridurre notevolmente la dimensione del font. Ad esempio, il font Noto Color Emoji in formato raster occupa 9MB, mentre nel formato vettoriale COLRv1 pesa solo 1.85MB.
In modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) è stato implementato l'API Region Capture, che consente di ritagliare i video acquisiti. Ad esempio, il ritaglio potrebbe essere necessario nelle web-app che acquisiscono video dai contenuti della propria scheda, per rimuovere contenuti specifici prima dell'invio. L'Origin Trial implica la possibilità di utilizzare l'API indicata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, che ha una durata limitata per un sito specifico.
È stata aggiunta la compatibilità con il valore «auto» nella proprietà CSS «contain-intrinsic-size», che utilizza l'ultima dimensione memorizzata dell'elemento (utilizzando insieme a «content-visibility: auto», il sviluppatore non deve indovinare la dimensione renderizzata dell'elemento).
È stata aggiunta la proprietà AudioContext.outputLatency, attraverso la quale è possibile ottenere informazioni sul ritardo previsto prima dell'uscita del suono (il ritardo tra la richiesta del suono e l'inizio dell'elaborazione dei dati ricevuti dal dispositivo di output).
La proprietà CSS color-scheme consente di definire in quali schemi di colore un elemento può essere visualizzato correttamente ("light", "dark", "day mode" e "night mode"). È stato aggiunto il parametro "only" che permette di escludere la modifica forzata dello schema colore per determinati elementi HTML. Ad esempio, se si specifica "div { color-scheme: only light }", l'elemento div utilizzerà esclusivamente il tema chiaro, anche se il browser ha impostato un tema scuro forzato.
In CSS è stata aggiunta la supporto per le media query ‘dynamic-range’ e ‘video-dynamic-range’ per determinare la presenza di uno schermo che supporta HDR (High Dynamic Range).
Alla funzione window.open() è stata aggiunta la possibilità di scegliere se aprire un link in una nuova scheda, in una nuova finestra o in un popup. Inoltre, la proprietà window.statusbar.visible ora restituisce «false» per i popup e «true» per le schede e le finestre. const popup = window.open(‘_blank’,»,’popup=1′); // Aprire in un popup const tab = window.open(‘_blank’,»,’popup=0′); // Aprire in una scheda
Per finestre e worker è stato implementato il metodo structuredClone(), che consente di creare copie ricorsive di oggetti, inclusi le proprietà non solo dell'oggetto specificato, ma anche di tutti gli altri oggetti a cui fa riferimento l'oggetto corrente.
Nell'API di Web Authentication è stata aggiunta la supporto per l'estensione della specifica FIDO CTAP2, che consente di definire la dimensione minima consentita del PIN (minPinLength).
Per le applicazioni web isolate è stato aggiunto il componente Window Controls Overlay, che amplia l'area visibile dell'applicazione su tutto il finestrone, inclusa l'area della intestazione, su cui si sovrappongono i normali pulsanti di gestione della finestra (chiusura, minimizzazione, massimizzazione). L'applicazione web può gestire il rendering e l'elaborazione dell'input in tutta la finestra, ad eccezione del blocco sovrapposto con i pulsanti di gestione della finestra.
Nel WritableStreamDefaultController è stata aggiunta una proprietà di gestione dei segnali, che restituisce un oggetto AbortSignal, tramite il quale è possibile interrompere immediatamente le operazioni di scrittura nel WritableStream senza attendere il loro completamento.
In WebRTC è stata rimossa la supporto per il meccanismo di negoziazione delle chiavi SDES, dichiarato obsoleto dall'organizzazione IETF nel 2013 a causa di problemi di sicurezza.
Per impostazione predefinita, l'API U2F (Cryptotoken), precedentemente dichiarata obsoleta, è disabilitata ed è stata sostituita dall'API Web Authentication. L'API U2F verrà completamente rimossa in Chrome 104.
Nel Directory API è stato dichiarato obsoleto il campo installed_browser_version, a cui è stato proposto un nuovo campo pending_browser_version, che contiene informazioni sulla versione del browser tenendo conto degli aggiornamenti scaricati ma non applicati (cioè la versione che sarà attiva dopo il riavvio del browser).
Sono stati rimossi i parametri che permettevano di ripristinare il supporto per TLS 1.0 e 1.1.
Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. È stata aggiunta una scheda per valutare il funzionamento della cache di transizione (Back-forward cache), che consente un passaggio immediato utilizzando i pulsanti "Indietro" e "Avanti". È stata introdotta la possibilità di simulare richieste mediatiche a colori forzati. Nel pannello Flexbox sono stati aggiunti pulsanti per supportare le proprietà row-reverse e column-reverse. Nella scheda "Cambiamenti" è stata migliorata la visualizzazione delle modifiche dopo la formattazione del codice, semplificando l'analisi delle pagine minificate.
L'implementazione del pannello di visualizzazione del codice è stata aggiornata con il rilascio dell'editor di codice CodeMirror 6, che migliora significativamente le prestazioni con file di grandi dimensioni (WASM, JavaScript), risolvendo i problemi di spostamento casuale durante la navigazione e migliorando le raccomandazioni del sistema di completamento automatico durante la modifica del codice. È stata aggiunta la possibilità di filtrare l'output nel pannello delle proprietà CSS per nome o valore della proprietà.

Oltre alle novità e alla correzione di errori, nella nuova versione sono state risolte 27 vulnerabilità. Molte di queste vulnerabilità sono state identificate attraverso test automatizzati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state trovate problematiche critiche che possano eludere tutti i livelli di protezione del browser e eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensazione per la scoperta di vulnerabilità, Google ha erogato 19 premi per un totale di 88.000 dollari USA (due premi da 20.000 dollari, uno da 12.000 dollari, due da 7.500 dollari, quattro da 1.000 dollari e un premio ciascuno da 7.000, 5.000, 3.000 e 2.000 dollari).

Fonte: opennet.ru