Google ha rilasciato la versione 131 del browser web Chrome. È disponibile anche un rilascio stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, la presenza di un sistema di notifica in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di installazione automatica degli aggiornamenti, l'attivazione permanente della sandboxing, l'inclusione di chiavi per le API di Google e la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, è supportato un ramo Extended Stable, che dura 8 settimane. Il prossimo rilascio di Chrome 132 è previsto per il 14 gennaio.
Principali novità in Chrome 131:
- Nel visualizzatore PDF integrato, è stata ampliata la capacità di riconoscere il testo nei documenti PDF scansionati, nei quali il testo è presentato come un'immagine. Il testo viene riconosciuto localmente utilizzando un motore di riconoscimento ottico dei caratteri (OCR) integrato, basato su machine learning. A differenza delle versioni precedenti, i documenti scansionati vengono ora automaticamente convertiti in una rappresentazione testuale, per la quale sono disponibili le funzioni di selezione, ricerca e copia negli appunti.
- È stata introdotta la possibilità di attivare controlli avanzati nel sistema di distribuzione della memoria PartitionAlloc, che consentono di bloccare vulnerabilità causate dall'accesso a aree di memoria già liberate (use-after-free). Per impostazione predefinita, questi controlli sono disattivati a causa del potenziale impatto negativo sulle prestazioni. Tuttavia, per le implementazioni in cui la sicurezza è più importante delle prestazioni, ora sono disponibili politiche aziendali separate per attivare la protezione aggiuntiva.
- Nel deposito di radici di certificati integrato (Chrome Root Store), è stato revocato il fiducia verso l'autorità di certificazione Entrust a causa di molteplici violazioni dei requisiti per le autorità di certificazione, mancato rispetto dei tempi di reazione per i certificati problematici, ritardi nella revoca dei certificati, gestione inadeguata dei rapporti sugli incidenti e violazioni delle regole di emissione. di certificati TLS livello EV (Extended Validation), che richiedono una verifica dei documenti di appartenenza del dominio e la conferma del proprietario delle risorse. A causa della mancanza di azioni per risolvere le carenze rilevate, i certificati TLS emessi da Entrust dopo l'11 novembre 2024 verranno considerati da Chrome come non affidabili. I certificati rilasciati prima dell'11 novembre continueranno a essere considerati normali.
- Nella versione per Android è stata aggiunta la possibilità di collegare provider di riempimento automatico moduli e salvataggio password, non vincolata all'API Accessibility.
- Nella versione per Android è stato semplificato il collegamento all'account Google e la gestione della sincronizzazione dei dati tra diversi browser. La sincronizzazione non è più presentata come una funzione separata nelle impostazioni, ma è stata unita alla funzione di collegamento all'account Google, permettendo di utilizzare e salvare nel Google Account informazioni come password e segnalibri.
- È iniziata l'attivazione graduale tra gli utenti della nuova modalità di risparmio energetico, in cui vengono automaticamente congelate le schede che consumano molte risorse CPU ma che non emettono suoni e sono nascoste da più di 5 minuti. Fanno eccezione solo le schede legate alla gestione di dispositivi esterni o alla conduzione di videoconferenze e audio (queste schede vengono identificate in base all'accesso all'API per lavorare con USB, Bluetooth, fotocamera, dispositivi di input e microfono, oltre all'organizzazione di un canale di comunicazione utilizzando RTCDataChannel o MediaStreamTrack). Per controllare l'attivazione del congelamento automatico si può utilizzare l'impostazione "chrome://flags/#freezing-on-energy-saver".
- Sono state aggiunte modalità sperimentali di risparmio memoria - Moderate, Balanced e Maximum - che consentono di scegliere un metodo per liberare memoria dalle schede inattive. In modalità Moderate la memoria delle schede viene disattivata solo in caso di esaurimento della memoria nel sistema, in modalità Maximum le schede vengono disattivate dopo poco tempo dalla loro inattività, mentre in modalità Balanced le schede inattive vengono disattivate tenendo conto della memoria disponibile nel sistema.
- Sono state aggiunte ulteriori impostazioni relative alle prestazioni, ad esempio la possibilità di specificare i siti che rimangono sempre attivi (senza rallentamenti in background), scegliere il modo di visualizzare le schede disattivate e mostrare il consumo di memoria nei tooltip delle schede.
- È stato aggiunto lo strumento 'Performance Detection', che identifica potenziali problemi di prestazioni delle pagine visualizzate e fornisce una notifica con suggerimenti per risolvere il problema in un click. Ad esempio, per velocizzare la scheda attuale, il browser potrebbe suggerire di disattivare altre schede che consumano molte risorse.
- In TLS 1.3 e QUIC, l'algoritmo di incapsulamento delle chiavi (KEM, Key Encapsulation Mechanism) 'X25519Kyber768', resistente agli attacchi su computer quantistici, è stato aggiornato per utilizzare la specifica finale ML-KEM (CRYSTALS-Kyber), standardizzata dal National Institute of Standards and Technology statunitense (NIST). X25519Kyber768 rappresenta una combinazione di X25519 ECDH e dell'algoritmo ML-KEM, che utilizza metodi crittografici basati sulla risoluzione di problemi di teoria delle reti, i cui tempi di risoluzione non differiscono tra computer normali e quantistici.
- Nella funzione di ricerca per immagine tramite il servizio Google Lens, accessibile tramite il menu contestuale, è stata aggiunta la supporto per l sovrapposizione della traduzione in un'altra lingua (il testo tradotto viene mostrato sopra il testo originale nell'immagine).
- È stata aggiunta l'API Direct Sockets, che consente di stabilire connessioni TCP e UDP dirette con sistemi esterni, oltre a creare socket in ascolto per ricevere connessioni. Alla prima tentativo di connessione con un nuovo host, all'utente viene mostrato un prompt per confermare l'operazione. La necessità di aggiungere una nuova API è giustificata dalla fornitura di un'interfaccia di interazione con dispositivi di rete che utilizzano protocolli propri, operanti su TCP e UDP, e non supportano l'interazione tramite HTTPS o WebSockets.
- In modalità 'Origin trials' è stata implementata l'API Summarizer per riassumere il testo (una sintesi del contenuto) utilizzando un grande modello linguistico.
- In modalità 'Origin trials' è stata aggiunta l'API Playout Statistics, che definisce l'interfaccia AudioContext.playoutStats per ottenere statistiche sulla qualità e sui ritardi durante la riproduzione audio tramite l'API WebAudio.
- Per proteggere da abusi, è stata aggiunta un'uscita di richiesta di conferma dei permessi quando si utilizza l'API Keyboard Lock e Pointer Lock del sito, che forniscono un ulteriore controllo su tastiera e mouse (ad esempio, è possibile nascondere il cursore del mouse predefinito e gestire autonomamente il movimento del mouse). È possibile controllare lo stato dei permessi tramite l'API Permissions.
- È consentito specificare tag aggiuntivi nell'elemento HTML «<select>», oltre ai tag standard «<option>», «<optgroup>" e "<hr>». La modifica è stata effettuata in preparazione all'implementazione nelle future versioni della variante personalizzata «<select>», che amplia le possibilità di personalizzazione del menu.
- Nelle proprietà CSS «clip-path», «fill», «stroke» e «marker-*» è stata aggiunta la supporto per specificare risorse SVG esterne. Ad esempio, ora è possibile specificare ‘clip-path: url(«resources.svg#myPath»)’.
- È stato modificato il modello di eredità delle proprietà di stile per la selezione del testo definite tramite i pseudoclassi «::selection» e «::target-text», che ora si basa sul modello di eredità delle pseudoclassi «::highlight», «::spelling-error» e «::grammar-error», e dipende non dalla struttura del documento (catene di elementi HTML), ma da come viene selezionato il testo (catene di selezione). Nell'esempio qui sotto, il colore degli elementi annidati con testo nel paragrafo «<p class="»blue»">» ora sarà scelto in conformità allo stile della pseudoclasse «::selection», invece che dallo stile di colore specificato per il paragrafo. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Questo è <em>messo in evidenza</em> testo. </p>
- Rimossi i limiti che impedivano di impostare le proprietà CSS «display» per gli elementi HTML «» e «
». In CSS è stato aggiunto il pseudo-elemento «::details-content» per personalizzare l'aspetto del blocco a scomparsa e di quello espanso.
- Aggiunta la proprietà CSS «font-variant-emoji» per personalizzare lo stile di visualizzazione delle Emoji. Ad esempio, è possibile scegliere la rappresentazione testuale o grafica.
- Nella regola CSS @page, destinata a modificare l'aspetto della pagina prima della stampa o dell'esportazione in formato PDF, è stata introdotta la possibilità di definire aree per posizionare contenuti nell'area dei margini della pagina, ad esempio per aggiungere il proprio intestazione, note laterali o piè di pagina.
- È stata dichiarata obsoleta la proprietà CSS «inset-area», utilizzata per gestire la visualizzazione di elementi legati alla posizione di altri elementi (CSS Anchor Positioning). Secondo le raccomandazioni del gruppo di lavoro che si occupa della standardizzazione del CSS, la proprietà «position-area» è ora completamente equivalente a «inset-area».
- Ampliate le capacità degli strumenti per sviluppatori web. Nel pannello Performance sono state aggiunte nuove funzionalità per l'analisi delle prestazioni. È stato proposto un pannello sperimentale con un assistente AI, dove è possibile ricevere risposte relative al debug in forma di chat o chiarimenti su questioni relative al CSS.
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono state sanate 12 vulnerabilità. Molte di queste vulnerabilità sono state scoperte a seguito di test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. A un problema è stato assegnato un alto livello di gravità (un problema nel codice per la gestione delle estensioni nel motore Blink). Non sono state rilevate problematiche critiche che consentano di aggirare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di rimborso per la scoperta di vulnerabilità per la versione attuale, Google ha erogato 8 premi per un totale di 1.000 dollari USA (un premio da $1000). L'importo di 7 premi non è ancora stato definito.
Fonte: opennet.ru
