Google ha rilasciato la versione 124 del browser web Chrome. È disponibile anche una versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi di Google, la presenza di un sistema di invio notifiche in caso di arresto anomalo, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamento automatico, la sandbox attivata di default, la fornitura delle chiavi per le API di Google e la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, è disponibile una versione Extended Stable, supportata per 8 settimane. Il prossimo rilascio di Chrome 125 è programmato per il 14 maggio.
Le principali novità in Chrome 124:
- Nella versione per la piattaforma Android, nel gestore dei segnalibri è stata introdotta la possibilità di salvare segnalibri e liste di lettura in relazione a server Google legato all'account utente.
- In Chrome per Android è stato implementato un nuovo metodo di archiviazione delle password locali, che non vengono sincronizzate con altri dispositivi. In precedenza, le password locali venivano archiviate nel profilo Chrome, mentre ora saranno conservate nel gestore delle password fornito dai servizi Google Play, già utilizzato per archiviare la password dell'account Google.
- Nelle build per Windows, macOS e Linux, il supporto per il meccanismo di incapsulamento delle chiavi (KEM, Key Encapsulation Mechanism) è attivato di default in TLS, utilizzando l'algoritmo ibrido X25519Kyber768, resistente agli attacchi dei computer quantistici. X25519Kyber768 rappresenta una combinazione del meccanismo di scambio chiavi X25519, basato su curve ellittiche e attualmente utilizzato in TLS, con l'algoritmo Kyber-768, che utilizza metodi crittografici fondati sulla risoluzione di problemi della teoria delle griglie, il cui tempo di risoluzione non differisce per computer classici e quantistici.
- Durante il rendering del testo da parte della libreria Skia, sono state considerate le impostazioni di contrasto e colore definite in Windows per la tecnologia di smoothing del testo ClearType, che consente di migliorare notevolmente la qualità di visualizzazione dei caratteri su monitor a cristalli liquidi. Nelle build per Linux, i font utilizzati nell'interfaccia sono stati notevolmente modificati.
- È stata fornita la possibilità di installare qualsiasi pagina web come un'applicazione PWA (Progressive Web Apps) autonoma, anche se questa pagina non soddisfa i criteri PWA.
- In conformità con i requisiti della legislazione europea DMA (Digital Markets Act), è stata assicurata l'uscita del dialogo per la scelta del motore di ricerca che sarà utilizzato di default. Sono disponibili motori di ricerca nella sezione delle impostazioni «chrome://settings/search». I motori di ricerca nell'elenco vengono visualizzati in ordine casuale. In Chrome 120, questo dialogo è stato testato su l'1% degli utenti ed ora è attivato per tutti.
- È stata implementata la richiesta per l'utente di autorizzazione quando un'app web accede all'API Web MIDI, che consente di interagire con i dispositivi musicali collegati al computer attraverso l'interfaccia MIDI. In precedenza, le richieste di autorizzazione venivano visualizzate solo durante l'invio o la ricezione di messaggi SysEx, mentre ora verranno visualizzate ad ogni accesso all'API Web MIDI. Tra le motivazioni di questo cambiamento ci sono situazioni in cui pagine web casuali acquisiscono il controllo esclusivo su un controller MIDI, bloccando la possibilità ad altre applicazioni di utilizzarlo. Si segnalano inoltre problemi di sicurezza, poiché l'API Web MIDI consente di gestire completamente il dispositivo MIDI, fino all'installazione di firmware personalizzati.
- È stata completamente interrotta la supporto per l'API Web SQL, che non è standardizzata, è quasi inutilizzata e richiede una revisione per soddisfare i moderni requisiti di sicurezza. Web SQL è stato disattivato di default a partire da Chrome 119, ma era prevista un'impostazione per il suo ritorno. Ora, tale impostazione è stata rimossa. Per gli sviluppatori che necessitano di questa funzionalità, si suggerisce di usare una variante della libreria SQLite, compilata in WebAssembly.
- È stata aggiunta la possibilità di controllare la direzione di scrittura del testo visualizzato verticalmente negli elementi delle web-form (select, meter, progress, button, textarea e input) selezionando l'orientamento verticale tramite la proprietà CSS writing-mode. Per visualizzare il testo dall'alto verso il basso, ora è possibile utilizzare la proprietà dell'elemento form «ltr», e dal basso verso l'alto — «rtl».
- Nell'API User-Agent Client Hints, sviluppato come sostituto dell'intestazione User-Agent, è stata aggiunta la supporto per il parametro Sec-CH-UA-Form-Factors, tramite il quale il client può informare il server sulla forma del dispositivo dell'utente (Desktop, Automotive, Mobile, XR, EInk e Watch). User-Agent Client Hints consente di organizzare un'uscita selettiva dei dati relativi a specifici parametri del browser e del sistema (versione, piattaforma, ecc.) solo dopo una richiesta. server. Gli utenti, a loro volta, possono determinare quali informazioni possono essere fornite ai proprietari dei siti web. Quando si utilizza User-Agent Client Hints, l'identificatore del browser non viene trasmesso senza richiesta esplicita, e per impostazione predefinita vengono forniti solo i parametri di base, il che complica l'identificazione passiva.
- È stata aggiunta la possibilità di controllare il clonaggio di singole radici nel Shadow DOM, eseguito da comandi come cloneNode(). La possibilità di clonare le radici DOM è attivata tramite il parametro clonable ("attachShadow({clonable:true})") o l'attributo "shadowrootclonable" (<template shadowrootmode=open shadowrootclonable>).
- Sono stati aggiunti nuovi metodi setHTMLUnsafe() e parseHTMLUnsafe() per utilizzare la sintassi Shadow DOM da JavaScript. I metodi setHTMLUnsafe() e parseHTMLUnsafe() analogamente a innerHTML e DOMParser.parseFromString() consentono di inserire in un elemento o analizzare il contenuto in formato HTML, ma si differenziano per il supporto della manipolazione degli elementi template con l'attributo shadowrootmode.
- È stata aggiunta la supporto per l'API WebSocket Stream, che consente di trasmettere dati tra il browser e il server in modalità streaming senza utilizzare il polling, cosa ottimale per l'organizzazione della trasmissione e ricezione di dati in arrivo continuo, ad esempio, nella realizzazione di una chat. const wss = new WebSocketStream(WSS_URL); const {readable, writable} = await wss.opened; const reader = readable.getReader(); const writer = writable.getWriter(); while (true) { const {value, done} = await reader.read(); if (done) { break; } const result = await process(value); await writer.write(result); }
- Sono state ampliate le funzionalità dell'API View Transitions, che semplifica la creazione di effetti di animazione di transizione tra diversi stati del DOM (ad esempio, una transizione fluida da un'immagine all'altra). Nella nuova versione è stato aggiunto il supporto per l'evento "pageswap", generato per l'oggetto "window", quando durante la navigazione l'oggetto "document" associato viene sostituito con uno nuovo. È stato anche aggiunto il "render-blocking", che consente di bloccare il rendering del documento fino al completamento dell'analisi del contenuto importante.
- È stato aggiunto il parametro disallowReturnToOpener, passato durante la chiamata al metodo requestWindow, che consente di rimuovere il pulsante "indietro" nella finestra aperta in modalità "impostazione in piccolo", per vietare il ritorno alla scheda da cui è stata aperta la finestra.
- È stata aggiunta la possibilità di assegnare a CSSImportRule.styleSheet il valore NULL per indicare l'assenza di un foglio di stile associato. È stato aggiunto l'attributo CSSKeyframesRule.length, che indica il numero di proprietà indicizzabili.
- Per i campi modificabili è stato implementato l'attributo "writingsuggestions" per gestire l'attivazione della visualizzazione delle raccomandazioni durante la digitazione.
- Nell'API WebGPU è stata aggiunta la supporto per ServiceWorker e SharedWorker.
- È stato aggiunto il supporto per l'intestazione HTTP ‘Priority’, tramite la quale è possibile trasmettere informazioni sulla priorità di elaborazione della richiesta (RFC 9218) nella fase del primo accesso alla risorsa.
- Miglioramenti sono stati apportati agli strumenti per gli sviluppatori web. È stata aggiunta una nuova scheda Autofill per ispezionare le informazioni utilizzate per il completamento automatico dei moduli.
Nella scheda di ispezione degli stili CSS è stato migliorato il supporto per gli stili nidificati. Nella scheda di misurazione delle prestazioni è stata fornita la possibilità di nascondere funzioni superflue e le relative chiamate figlie per ridurre il rumore nel grafico. Nella scheda di debug delle animazioni è stato aggiunto il supporto per le animazioni guidate dallo scorrimento del contenuto (Scroll-driven Animation). Nella scheda di ispezione delle rete è stata implementata la possibilità di specificare i parametri di perdita di pacchetti e la dimensione della coda di rete per testare le applicazioni WebRTC in caso di problemi di rete.
Oltre alle nuove funzionalità e alla correzione di bug, la nuova versione ha risolto 22 vulnerabilità. Molte di esse sono state scoperte tramite test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state identificate problematiche critiche che consentano di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di premi per la scoperta di vulnerabilità, Google ha erogato 13 premi per un totale di 65.000 dollari USA (premi di $20000, $10000, $7000 e $2000, tre premi da $5000 e $3000, due premi da $1000). L'importo di un premio singolo non è ancora stato stabilito.
Fonte: opennet.ru
