Google ha pubblicato il rilascio del web browser Chrome 127. È disponibile anche il rilascio stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, la presenza del sistema di invio delle notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di installazione automatica degli aggiornamenti, l'abilitazione costante della sandbox e la fornitura di chiavi per le API di Google, oltre alla trasmissione dei parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per gli aggiornamenti, è supportata una versione Extended Stable, con un'assistenza di 8 settimane. Il prossimo rilascio di Chrome 128 è previsto per il 20 agosto.
Principali novità in Chrome 127:
- In modalità 'incognito' è attivata di default la funzione 'HTTPS-First', che esegue il reindirizzamento automatico delle richieste HTTP a HTTPS. Per garantire il funzionamento con siti non supportanti HTTPS, è stato implementato un ripristino a HTTP se, a seguito del tentativo, non è possibile eseguire la richiesta in HTTPS o si verificano problemi con i certificati. Se si tenta di aprire un sito tramite HTTP, viene visualizzato un avviso speciale.
- Nel negozio di certificati radice integrato (Chrome Root Store) è stata decisa la revoca della fiducia all'ente certificatore Entrust a causa di molteplici violazioni dei requisiti per gli enti di certificazione, mancato rispetto dei tempi di risposta sui certificati problematici, ritardi nel ritiro dei certificati, rapporti sugli incidenti inadeguatamente documentati e mancato rispetto delle normative durante il rilascio di certificati TLS di certificati di livello EV (Extended Validation), che richiedono una verifica della documentazione riguardante la proprietà del dominio e la conferma del proprietario delle risorse. Data l'assenza di azioni per correggere le carenze riscontrate, i certificati TLS emessi da Entrust dopo il 31 ottobre 2024 verranno considerati in Chrome come non attendibili. I certificati emessi prima del 31 ottobre continueranno a essere considerati normali.
- È iniziato il processo di dismissione graduale del supporto per la seconda versione del manifesto di Chrome, che definisce le funzionalità e le risorse disponibili per le estensioni scritte utilizzando l'API WebExtensions. La disabilitazione delle estensioni che utilizzano la seconda versione del manifesto riguarda attualmente solo una parte degli utenti delle versioni beta di Chrome (non delle versioni stabili). Il completamento della migrazione alla terza versione del manifesto è previsto entro giugno 2025.
- Con l'attivazione della protezione avanzata del browser (Safe Browsing > Protezione avanzata) è stata implementata l'invio a servers Google di telemetria aggiuntiva con informazioni sulle pagine visitate, se su queste pagine vengono utilizzate le API per l'inizio della vibrazione (Vibration) o il controllo completo del mouse (PointerLock) e della tastiera (Keyboard). Se la pagina aperta è presente nella blacklist, all'utente viene mostrato il relativo avviso e l'azione delle API contrassegnate viene disabilitata.
- Sono stati forniti aggiornamenti sul lavoro di modernizzazione della verifica dei file scaricati in modalità di protezione avanzata del browser (Safe Browsing > Protezione avanzata), in cui è inclusa l'invio di file eseguibili e archivi sospetti ai server di Google per la verifica della presenza di virus e malware. Per la verifica di sicurezza degli archivi cifrati scaricati (.zip, .7z e .rar), il browser richiederà all'utente la password per decriptare l'archivio. L'utente può rifiutare il controllo o inserire la password, dopodiché il browser invierà il file con la password per la verifica ai server di Google. In modalità standard (non avanzata) di Safe Browsing verrà anche richiesta la password, ma invece di inviare il contenuto dell'archivio ai server di Google per la verifica, verranno inviati solo i metadati e gli hash dei file contenuti nell'archivio. Sono state implementate avvertenze più evidenti sui download di file pericolosi, che vengono mostrate non nella barra inferiore, ma sotto la barra superiore.
- È stata proposta una realizzazione iniziale della specifica Private Network Access, che limita la possibilità di caricare risorse da un sito pubblico che fa riferimento a host nella rete interna (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8, ecc.). Il caricamento di tali risorse è ora consentito solo all'apertura della pagina in un contesto sicuro (tramite HTTPS). In futuro si prevede di limitare completamente l'accesso incontrollato alle sottoreti intranet interne da pagine aperte su siti pubblici, poiché tali richieste vengono utilizzate da malintenzionati per effettuare attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Gli esperimenti con il blocco sono stati avviati nel 2022 con Chrome 98, ma a causa di vulnerabilità identificate, il blocco è stato rinviato.
- Nella modalità "Origin trials" è stata implementata una sperimentale bloccatura dell'accesso all'IP 0.0.0.0, poiché questo IP può essere usato per eludere il blocco dell'accesso all'IP 127.0.0.1 (localhost) su piattaforme Linux e macOS.
- Nella versione per la piattaforma Android è stata semplificata l'interfaccia per l'associazione all'account Google e la sincronizzazione dei dati, come password salvate e segnalibri. La sincronizzazione è ora integrata con l'accesso all'account e non è presentata come una funzionalità separata nelle impostazioni.
- Nella versione per la piattaforma Android è stata aggiornata l'interfaccia di gestione delle password. Agli utenti collegati al proprio account Google, ma che non hanno attivato la sincronizzazione, è stata fornita la possibilità di salvare e utilizzare le password associate all'account Google.
- È stata aggiunta l'impostazione "Attivazione automatica della modalità a schermo intero" (Automatic Fullscreen, chrome://settings/content/automaticFullScreen), che consente ai siti di attivare automaticamente la modalità a schermo intero utilizzando il metodo Element.requestFullscreen() senza conferma dall'utente, oltre a offrire la possibilità di visualizzare le finestre di dialogo del browser senza uscire dalla modalità a schermo intero. L'impostazione è disattivata per impostazione predefinita e può essere attivata per singoli siti e web-app. In combinazione con l'API Window Management e le impostazioni delle notifiche popup (chrome://settings/content/popups), la nuova funzione semplifica l'uso di possibilità come l'apertura di una finestra popup a schermo intero su un altro monitor, la visualizzazione di contenuti a schermo intero su tutti gli schermi o su uno schermo secondario, e il passaggio di contenuti a schermo intero da un display all'altro.
- È stata aggiunta la proprietà CSS font-size-adjust, che consente di modificare la dimensione delle lettere minuscole rispetto alla dimensione delle lettere maiuscole definita tramite la proprietà "font-size", il che può essere utile, ad esempio, per mantenere un livello di leggibilità del testo in caso di utilizzo di una famiglia di caratteri di riserva quando l'originale non è disponibile. I caratteri con diversi coefficienti di rapporto tra l'altezza delle lettere minuscole e la dimensione del carattere presentano dimensioni notevolmente differenti, il che può rendere il testo difficile da leggere se viene sostituito il font Verdana con Times.
- Nell'API per la routing statico dei Service Worker (Service Worker Static Routing), che permette di definire come caricare determinate risorse e disattivare la chiamata del Service Worker per le risorse che possono essere estratte dalla cache o caricate direttamente, è stata aggiunta la possibilità di applicare l'operazione logica "not" per invertire le condizioni di corrispondenza delle richieste.
- È stata garantita la trasmissione degli eventi di attivazione generati durante l'interazione dell'utente con il contenuto in una finestra aperta in modalità "picture-in-picture", alla finestra principale di questo modo. Questa modifica consente, nella pagina principale da cui è stata aperta la finestra "picture-in-picture", di utilizzare l'API User Activation (navigator.userActivation) per determinare l'interazione dell'utente con questa finestra (ad esempio, è possibile scoprire se l'utente ha cliccato all'interno della finestra "picture-in-picture" o se la pagina è stata solo caricata e rimane intatta).
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Durante la visualizzazione degli stili CSS sono stati aggiunti link alle posizioni corrispondenti nel documento, a cui si riferiscono le proprietà CSS che controllano la visualizzazione di elementi legati alla posizione di altri elementi (CSS Anchor Positioning). Durante la visualizzazione del codice HTML sono stati aggiunti link a cui fa riferimento l'attributo «popovertarget». Nel pannello di ispezione dell'attività di rete è stata aggiunta una nuova preimpostazione per la simulazione della velocità di accesso «Fast 4G» (la preimpostazione «Fast 3G» è stata rinominata in «Slow 4G» e «Slow 3G» in «3G»). Nel pannello di analisi delle prestazioni, durante il tracciamento, è stata fornita l'indicazione delle informazioni sugli eventi di invio e ricezione dei messaggi tramite WebSocket.
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono state risolte 24 vulnerabilità. Molte di queste vulnerabilità sono state identificate grazie al test automatizzato con gli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. A 5 problemi è stato assegnato un alto livello di pericolo. Non sono state trovate problematiche critiche che consentano di aggirare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa monetaria per la scoperta di vulnerabilità, per il rilascio attuale, Google ha erogato 16 premi per un totale di 47,5 mila dollari USA (un premio di $11000, $5000, $3000 e $500, due premi da $8000, tre premi da $2000). L'importo di 6 premi non è ancora stato definito.
Fonte: opennet.ru
