Rilascio del browser web Chrome 123

L'azienda Google ha pubblicato il rilascio del browser web Chrome 123. È disponibile anche il rilascio stabile del progetto open source Chromium, alla base di Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamenti automatici, l'abilitazione costante dell'isolamento Sandbox, la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per l'aggiornamento, è disponibile una versione separata Extended Stable, supportata per 8 settimane. Il prossimo rilascio di Chrome 124 è previsto per il 16 aprile.

Le principali novità in Chrome 123:

• Nella pagina che appare all'apertura di una nuova scheda, è stata proposta una nuova sezione in cui vengono visualizzati i collegamenti delle schede recentemente aperte su altri dispositivi collegati a un unico account Google.
• È stata aggiunta la supporto per la codifica dei contenuti tramite l’algoritmo di compressione Zstandard (zstd), oltre agli algoritmi precedentemente supportati gzip, brotli e deflate.
• È stata rimossa l'implementazione del codec video open source Theora, sviluppato dalla Xiph.org Foundation a partire dal codec VP3 e supportato in Firefox e Chrome dal 2009, ma non supportato in Chrome per Android e nei browser basati su WebKit, come Safari. I motivi per la cessazione del supporto di Theora includono preoccupazioni che l'implementazione di Theora, che presenta una logica di parsing dei dati binari e decodifica dei flussi piuttosto complessa, possa contenere vulnerabilità simili ai recenti problemi critici con il codificatore VP8. Secondo gli sviluppatori, a causa dell'aumento degli attacchi 0-day sui codec multimediali, i rischi legati alla sicurezza superano il livello di richiesta del codec Theora, che è quasi non utilizzato nella pratica, ma rimane un obiettivo significativo per potenziali attacchi.
• È stato continuato l'aumento graduale della percentuale di utenti per i quali è disattivato il supporto ai cookie di terze parti, impostati quando si accede a siti diversi dal dominio della pagina attuale. Questi cookie vengono utilizzati per tracciare i movimenti dell'utente tra i siti nel codice delle reti pubblicitarie, dei widget dei social media e dei sistemi di web analytics. Le modifiche sono promosse nell'ambito dell'iniziativa Privacy Sandbox, volta a raggiungere un compromesso tra la necessità degli utenti di mantenere la privacy e il desiderio delle reti pubblicitarie e dei siti di monitorare le preferenze dei visitatori. La disattivazione dei cookie di terze parti è prevista per essere ampliata gradualmente e raggiungere il 100% nel terzo trimestre del 2024. Per la disattivazione, senza attendere modifiche esterne, è stata prevista un'impostazione 'chrome://flags/#test-third-party-cookie-phaseout'.
• Per una piccola percentuale di utenti negli Stati Uniti è stata attivata la supporto a funzionalità che utilizzano l'apprendimento automatico: la modalità di raggruppamento intelligente delle schede, il generatore di temi e l'assistente interattivo, di cui è stato parlato nell'annuncio del rilascio di Chrome 121. Per i sistemi con gestione centralizzata della configurazione, l'amministratore può abilitare gli strumenti AI a livello di politiche, senza la necessità di attivare la modalità sperimentale.
• Nel servizio di sincronizzazione delle impostazioni, della cronologia e dei segnalibri (Chrome Sync) è stato interrotto il supporto per le versioni precedenti alla 82 di Chrome.
• Attivando la protezione avanzata del browser (Safe Browsing > Protezione avanzata) è stato implementato l'invio a Google di informazioni relative a richieste di autorizzazioni estese da parte dei siti (queste pagine vengono controllate in base a un database esterno di contenuti malevoli e, in caso di corrispondenza, all'utente viene immediatamente mostrato un avviso). È stato anche attivato l'invio di telemetria riguardo all'annullamento da parte dell'utente degli avvisi mostrati prima di aprire pagine inserite da Google nella blacklist.
• Google ha pubblicato un articolo con spiegazioni sui metodi utilizzati per verificare la sicurezza delle pagine aperte dagli utenti in base al database di contenuti malevoli, ospitato su un esterno. serverPer garantire la privacy durante il controllo degli URL aperti dagli utenti, a Google vengono inviati solo i prefissi con i primi 4 byte dell'hash, e non hash completi degli URL. server Questo prefisso viene verificato nel database delle pagine dannose e, in caso di corrispondenza, l'elenco degli hash completi corrispondenti al prefisso viene restituito al browser dell'utente, il quale già esegue il controllo finale con l'hash URL completo di 32 byte. Per escludere il collegamento della richiesta all'indirizzo IP dell'utente, il prefisso dell'hash viene inizialmente indirizzato a un proxy intermedio, che inoltra la richiesta al server del sistema Safe Browsing a nome suo.
• È stato implementato un avviso di avvertenza nella console degli strumenti per gli sviluppatori web quando una pagina invia una richiesta alla rete interna (192.168.x.x, 10.x.x.x, ecc.) se tali richieste vengono completate al di fuori di un contesto sicuro e non superano un controllo preventivo. Prima dell'effettivo invio di una richiesta attivata dal sito a una risorsa nella rete interna, il browser invierà inizialmente una richiesta di test preventivo e verificherà se il server restituisce l'intestazione HTTP «Access-Control-Allow-Private-Network: true», che consente l'accesso alla rete intranet. Se l'accesso non è consentito, si verifica un tentativo di accesso non autorizzato a un servizio interno, che potrebbe indicare un tentativo di attacco tramite browser alle risorse nella rete locale (ad esempio, un attaccante potrebbe inserire in un iframe una richiesta all'interfaccia web del router domestico, come «»). Nella versione di Chrome 130, l'avviso è previsto per essere sostituito dalla visualizzazione di un errore e bloccarà le richieste che non superano il controllo.
• In Chrome per Android e iOS è stata aggiunta la possibilità di continuare a navigare su siti precedentemente aperti su altri dispositivi associati allo stesso account Google.
• In Chrome per Android è stato modificato il metodo di memorizzazione delle password locali, che non vengono sincronizzate con altri dispositivi. In precedenza, le password locali venivano memorizzate nel profilo di Chrome, mentre ora verranno trasferite nel vault delle password fornito dai servizi Google Play, già utilizzato per memorizzare la password dell'account Google. Nella versione di Chrome 123, la nuova modalità di memorizzazione è attivata per gli utenti senza password locali, mentre nella versione di Chrome 124 verrà applicata agli utenti con password locali.
• È stata aggiunta l'API per il routing statico degli Service Worker (Service Worker Static Routing), che consente di escludere l'esecuzione di JavaScript e l'intercettazione da parte degli Service Worker quando vengono richieste risorse che soddisfano determinate condizioni. In altre parole, l'API permette di determinare come caricare correttamente determinate risorse e disattivare la chiamata all'Service Worker per le risorse che possono essere estratte dalla cache o caricate direttamente. I modelli URL, i metodi di richiesta, il tipo di contenuto (documento, incorporamento, font, video, ecc.) e lo stato di esecuzione («running», «not-running») possono essere utilizzati come criteri per prendere una decisione. Ad esempio, per inviare una richiesta post con i dati di un modulo web direttamente, senza chiamare l'Service Worker, si può specificare: addEventListener(‘install’, (event) => { event.addRoutes({ condition: { urlPattern: «/form/*», requestMethod: «post» }, source: «network» }); });
• In CSS è stata aggiunta la funzione light-dark() per adattare lo schema dei colori alle impostazioni della modalità chiara o scura. Nella funzione è possibile specificare due valori, che verranno selezionati a seconda della modalità chiara o scura. Ad esempio «background-color: light-dark(lime, green);».
• È stata aggiunta l'API Long Animation Frames per diagnosticare la reattività dell'interfaccia del sito web e identificare i colli di bottiglia durante il rendering.
• Nella media query «display-mode» è stata aggiunta la supporto per il valore «picture-in-picture», che consente di creare regole CSS applicabili solo quando l'app web è visualizzata in modalità «picture-in-picture». @media all and (display-mode: picture-in-picture) { body { margin: 0; } h1 { font-size: 0.8em; } }
• Nella proprietà CSS «align-content» è stata implementata la possibilità di lavorare con contenitori a blocchi e celle di tabella. Ad esempio, «display: block», «display: list-item», «display: table-cell» possono ora essere allineati utilizzando «align-content».
• È stata aggiunta la proprietà CSS «field-sizing», che consente di rendere la dimensione degli elementi del modulo dipendente dal loro contenuto, ad esempio per aumentare automaticamente le dimensioni di un campo di testo man mano che vengono inseriti dati.
• Nell'interfaccia JavaScript NavigationActivation è stato aggiunto il parametro navigation.activation, che riflette lo stato di attivazione del documento (ad esempio, è possibile determinare che il documento è stato ripristinato dalla cache dopo aver premuto i pulsanti di navigazione «avanti» o «indietro»). Il parametro può essere utilizzato per personalizzare il contenuto della pagina in base alla fonte da cui l'utente vi accede, ad esempio, può essere mostrata un'animazione diversa se l'utente è arrivato dalla pagina principale.
• Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web.

Oltre alle novità e alle correzioni di bug, nella nuova versione sono state risolte 12 vulnerabilità. Molte di queste vulnerabilità sono state individuate a seguito di test automatizzati mediante gli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state rilevate problematiche critiche che consentano di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale rilascio, Google ha corrisposto 7 premi per un totale di 22.000 dollari USA (uno di $10.000, $4.000, $3.000 e $1.000, e due premi da $2.000). L'importo di una ricompensa non è ancora stato fissato.

Fonte: opennet.ru