Versione del browser web Chrome 135

L'azienda Google ha rilasciato la versione del browser web Chrome 135. È disponibile anche il rilascio stabile del progetto open source Chromium, che costituisce la base di Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi di Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamento automatico, l'isolamento permanente in Sandbox, la fornitura di chiavi per le API di Google e la trasmissione dei parametri RLZ in fase di ricerca. Per chi ha bisogno di più tempo per l'aggiornamento, viene supportata una filiale Extended Stable, che dura 8 settimane. Il prossimo rilascio di Chrome 136 è programmato per il 29 aprile.

Modifiche principali in Chrome 135:

• È stata introdotta la protezione contro l'identificazione nascosta degli utenti tramite la cache HSTS (HTTP Strict Transport Security). L'HSTS consente ai siti web di reindirizzare l'utente a HTTPS quando si accede tramite HTTP. Durante il funzionamento, il nome host fornito attraverso HSTS viene memorizzato nella cache interna, il che consente di utilizzare la presenza o l'assenza dell'host nella cache per memorizzare un bit di informazioni.

  Per memorizzare in modo nascosto un identificatore utente a 32 bit, è possibile utilizzare un array di 32 immagini provenienti da diversi host via HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg, ecc.). L'identificazione dell'utente avviene controllando da quali host le immagini sono state caricate tramite HTTPS e da quali tramite HTTP (se le immagini sono state precedentemente fornite tramite HTTP e reindirizzate a HTTPS tramite HSTS, le richieste successive verranno caricate immediatamente tramite HTTPS, evitando la richiesta tramite HTTP). La protezione è stata limitata a consentire l'aggiornamento dell'HSTS solo per le risorse di primo livello e a bloccare l'aggiornamento dell'HSTS nelle richieste di sotto-risorse.
• È stata aggiunta una modellazione dell'apprendimento automatico eseguita localmente per migliorare la rilevazione della presenza di moduli per l'immissione della password sulle pagine e la modifica automatica della password. Se la password viene ritenuta compromessa, quando si tenta di accedere al sito con tale password, Chrome visualizzerà un avviso con l'opzione di modificare la password. In caso di conferma, il browser genererà una password sicura e la cambierà sul sito, salvando la nuova password nel gestore password— l'AI compilerà e invierà automaticamente i moduli web necessari sul sito richiesto e aggiornerà la password salvata.
• Nel modo di protezione avanzata del browser (Safe Browsing > Protezione avanzata) è stata aggiunta la possibilità di utilizzare un grande modello linguistico per identificare le pagine fraudolente in base ai loro contenuti. Il modello AI viene eseguito lato client, ma in caso di sospetto contenuto discutibile, viene effettuato un ulteriore controllo su server Google. Se l'ulteriore controllo viene confermato, all'utente verrà mostrato un avviso. Il controllo è attualmente eseguito solo per le pagine che utilizzano l'API Keyboard Lock.
• Per gli utenti che hanno collegato Chrome al proprio account Google, è stata introdotta la possibilità di salvare le estensioni installate nel proprio Google Account per un utilizzo automatico successivo di queste estensioni su tutti i computer utilizzati dall'utente.
• Gli utenti che si sono recentemente connessi all'account Google o che utilizzano Chrome Sync hanno la garanzia di una conservazione delle impostazioni sincronizzate, dei segnalibri e dei temi separatamente dalle impostazioni locali. In questo modo, dopo aver disattivato Chrome Sync, le impostazioni originali rimarranno sul dispositivo, mentre collegandosi a Google non verranno caricate le impostazioni locali.
• Nella versione per Android è stata interrotta la supporto per il gestore password integrato, sostituito dal Google Password Manager unificato, fornito tramite Google Play. Gli utenti possono salvare il contenuto del vecchio gestore password in formato CSV per trasferirlo in altri gestori di password.
• In modalità incognito è stata implementata un'impostazione di blocco dei cookie di terze parti non disattivabile lato browser, attivata durante l'accesso a siti diversi da di dominio la pagina corrente (cookie simili vengono utilizzati per tracciare i movimenti dell'utente tra siti nei codici delle reti pubblicitarie, nei widget dei social media e nei sistemi di web analytics). La possibilità di gestire il blocco dei cookie di terze parti lato siti è rimasta invariata, ma nelle impostazioni del browser, il parametro BlockThirdPartyCookies in modalità in incognito non può più essere impostato su false.
• In CSS sono stati aggiunti i pseudo-elementi «::column», «::scroll-button», «::scroll-marker» e «::scroll-marker-group», che consentono di implementare lo scorrimento a forma di carosello.
• Sono stati implementati gli attributi HTML «command» e «commandfor», che possono essere utilizzati nei pulsanti al posto degli attributi «popovertargetaction» e «popovertarget» per la configurazione dichiarativa dell'interazione con il menu attivato al clic del pulsante. Utilizzando i nuovi attributi, tutta la logica interattiva con il menu è gestita dal browser, senza la necessità di collegare gestori personalizzati in JavaScript. Ad esempio, per creare un menu a discesa è sufficiente specificare: <button commandfor="»my-menu»" command="»show-popover»">Apri Menu</button> <div popover id="»my-menu»"> … </div>
• In CSS è stata aggiunta la funzione shape(), che consente di creare forme utilizzando le proprietà CSS clip-path e offset-path. La funzione shape() supporta comandi per la creazione di forme equivalenti alla funzione path(), ma consente di utilizzare la sintassi standard CSS.
• Nell'API Web Speech, che fornisce funzionalità per la sintesi e il riconoscimento vocale, è stata aggiunta la supporto per l'interfaccia MediaStreamTrack per gestire l'audio proveniente da diverse fonti, compresi i brani audio esterni. In precedenza, l'API Web Speech poteva elaborare solo l'audio proveniente dal microfono selezionato come predefinito.
• In JavaScript è stata aggiunta la supporto per array tipizzati Float16Array, progettati per memorizzare valori di tipo Float16.
• È stata aggiunta l'API Observable per gestire flussi di eventi in modalità asincrona. L'API consente di iscriversi a un oggetto per ricevere eventi man mano che si presentano e di descrivere in modo dichiarativo il flusso di trasformazioni che saranno applicate agli eventi in arrivo.
• È stato rimosso il metodo navigator.xr.supportsSession, precedentemente dichiarato obsoleto. Invece, deve essere utilizzato il metodo navigator.xr.isSessionSupported, come dichiarato nella specifica WebXR.
• Sono state rimosse le impostazioni InsecurePrivateNetworkRequestsAllowedForUrls e InsecurePrivateNetworkRequestsAllowed, utilizzate per abilitare il meccanismo PNA 1.0 (Private Network Access), che limita il caricamento delle risorse da siti pubblicamente accessibili che fanno riferimento a host nella rete interna (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8, ecc.). Tale attività viene utilizzata da malintenzionati per eseguire attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale.

  A causa dell'incompatibilità con alcuni dispositivi, PNA 1.0 poteva essere attivato solo su richiesta. In sostituzione di PNA 1.0 è stata sviluppata la specifica PNA 2.0, il cui supporto non richiede modifiche sul lato dei dispositivi, ma solo aggiornamenti sui siti che necessitano di accesso alle risorse intranet. PNA 1.0 e PNA 2.0 non sono compatibili tra loro, pertanto, prima dell'implementazione di PNA 2.0, Google intende rimuovere il supporto per PNA 1.0.

• Rimossa l'opzione per ripristinare il supporto per l'interfaccia obsoleta MutationEvent e per eventi correlati, gestiti in modo sincrono come DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument e DOMCharacterDataModified. Questa interfaccia era utilizzata per monitorare le modifiche nell'albero DOM, ma influenzava negativamente le prestazioni delle pagine e ostacolava l'implementazione di alcune nuove funzionalità. Questo API è stato disattivato per impostazione predefinita la scorsa estate, ma in Chrome era disponibile l'opzione MutationEventsEnabled per ripristinare il supporto. Si raccomanda di utilizzare l'API Mutation Observer come alternativa.
• Nella Developer Tools sono state ampliate le funzionalità degli strumenti di analisi delle prestazioni.

Oltre alle novità e alle correzioni di bug, nella nuova versione sono state risolte 14 vulnerabilità. Molte di queste vulnerabilità sono state individuate tramite test automatizzati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state trovate problematiche critiche che permettano di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, Google ha erogato 8 premi per il rilascio attuale, per un totale di 17 mila dollari, compresa una premiazione di $10000 e due premi di $2000, $1000 e $500).

Fonte: opennet.ru