L'azienda Google ha pubblicato il rilascio del browser web Chrome 137. È disponibile contemporaneamente una versione stabile del progetto open-source Chromium, che funge da base per Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, per la presenza di un sistema di invio di notifiche in caso di crash, per i moduli per la riproduzione di contenuti video protetti da copyright (DRM), per il sistema di aggiornamenti automatici, per l'attivazione della Sandbox, per la fornitura delle chiavi per le Google API e per la trasmissione dei parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per l'aggiornamento, è supportato separatamente il ramo Extended Stable, accompagnato da 8 settimane. La prossima versione di Chrome 138 è prevista per il 24 giugno.
Principali novità in Chrome 137:
- Nelle build per Windows e macOS è stato integrato il chatbot Gemini, che può spiegare il contenuto della pagina visualizzata e rispondere a domande relative alla pagina senza dover passare a un'altra scheda. È supportata l'interazione testuale e vocale con Gemini. Attualmente, l'uso del chatbot è disponibile solo per una parte degli utenti negli Stati Uniti con abbonamenti Google AI Pro e Ultra.
- Analogamente a quanto fatto in precedenza con la segmentazione dello storage, è stata fornita l'isolamento nella gestione della schema degli URL "blob:", destinata all'accesso ai dati generati localmente tramite l'API Blob o File. Durante la segmentazione, viene allegato un attributo separato alla chiave utilizzata per estrarre gli oggetti, che definisce il legame con il primario dominio, da cui si apre la pagina principale, consentendo di bloccare i metodi di tracciamento degli spostamenti dell'utente tra i siti manipolando l'URL "blob:".
- In modalità di protezione avanzata del browser (Safe Browsing > Enhanced protection) è stata attivata la possibilità di utilizzare un grande modello linguistico per identificare pagine fraudolente in base al loro contenuto. Il modello AI viene eseguito lato client, ma in caso di sospetti su contenuti discutibili, viene eseguita un'ulteriore verifica su server Google. Nella versione attuale, viene solo raccolta informazione sulle pagine problematiche. Nella prossima versione è previsto di iniziare a visualizzare avvisi per gli utenti.
- È attivata la protezione contro l'identificazione nascosta degli utenti tramite la cache HSTS (HTTP Strict Transport Security). HSTS consente ai siti di reindirizzare l'utente da HTTP a HTTPS all'accesso. Durante il processo, il nome host impostato tramite HSTS viene memorizzato nella cache interna, il che consente di utilizzare la presenza o l'assenza dell'host nella cache per memorizzare un singolo bit di informazione. Per la memorizzazione nascosta di un identificatore utente a 32 bit, è possibile utilizzare un array di 32 immagini fornite da diversi host su HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg e così via). L'identificazione dell'identificatore avviene verificando da quali host le immagini siano state caricate via HTTPS e quali tramite HTTP (se le immagini sono state fornite in precedenza tramite HTTP e successivamente reindirizzate a HTTPS tramite HSTS, nelle richieste successive verranno caricate immediatamente tramite HTTPS, evitando la richiesta via HTTP). La protezione si riduce a consentire l'aggiornamento di HSTS solo per le risorse di primo livello e bloccare l'aggiornamento di HSTS nelle richieste di sottorisorse.
- Per le connessioni WebRTC è stata implementata la supporto del protocollo DTLS 1.3 (Datagram Transport Layer Security, simile a TLS per UDP). Il supporto per DTLS 1.3 è necessario per utilizzare algoritmi di crittografia post-quantistica in WebRTC.
- Rimossa l'opzione della riga di comando «—load-extension», che consentiva di caricare estensioni. L'opzione è stata rimossa per ridurre il rischio di utilizzo per l'inserimento di estensioni dannose. Per caricare forzatamente estensioni estratte, si consiglia di utilizzare il pulsante Load Unpacked nella pagina di gestione delle estensioni (chrome://extensions/) dopo aver abilitato la modalità sviluppatore. In Chromium e nelle versioni di prova di Chrome For Testing, il supporto per l'opzione «—load-extension» è stato mantenuto.
- Si è deciso di rinunciare al rollback automatico all'uso del sistema di rendering software SwiftShader per WebGL, che implementa l'API Vulkan. In assenza di un corretto backend basato su GPU, la creazione del contesto WebGL restituirà ora un errore anziché passare a SwiftShader. L'interruzione dell'uso di SwiftShader consentirà di aumentare la sicurezza, escludendo l'esecuzione di codice generato da un compilatore JIT nel processo responsabile delle interazioni con la GPU. Per tornare all'uso di SwiftShader è prevista un'opzione separata nella riga di comando «—enable-unsafe-swiftshader». Nella versione Chrome 137, per gli utenti delle piattaforme Linux e macOS, verrà visualizzato un avviso nella console web durante l'utilizzo di SwiftShader, mentre nella versione Chrome 138 il rollback su SwiftShader sarà disabilitato. Per gli utenti Windows, il sistema SwiftShader è stato sostituito con il sistema di rendering software WARP (Windows Advanced Rasterization Platform) integrato in Windows.
- Nelle impostazioni è stata aggiunta la possibilità di attivare la funzione «Autofill with AI», che semplifica la compilazione dei moduli web. Quando è attivata, il browser utilizza un modello di AI per comprendere il modulo web e compilare automaticamente i campi, basandosi su come l'utente ha precedentemente compilato moduli simili.
- Nell'API Web Cryptography è stata aggiunta la supporto per algoritmi crittografici basati su curve ellittiche Curve25519, come l'algoritmo di generazione delle firme digitali Ed25519.
- È stata implementata la proprietà CSS «reading-flow», che consente di gestire l'ordine di elaborazione degli elementi nei contenitori flex, grid e block quando si utilizzano lettori di schermo e durante la navigazione sequenziale. È stata inoltre aggiunta la proprietà «reading-order», che consente di sovrascrivere manualmente l'ordine degli elementi.
- In CSS è stata proposta la funzione «if()», destinata a selezionare valori in base al risultato dell'esecuzione di espressioni condizionali. Come argomento, viene fornita una lista di coppie «condizione: valore» separate da punto e virgola. La funzione esamina queste coppie e si interrompe al primo condizione soddisfatta. Ad esempio: «background-color: if(style(—color: white): black; else: white);».
- Nella proprietà CSS offset-path è stata implementata la funzione shape() per formare figure tramite comandi, equivalenti alla funzione path(), ma che consentono di utilizzare la sintassi CSS standard.
- È stato aggiunto l'API JSPI (JavaScript Promise Integration), che consente l'integrazione delle applicazioni WebAssembly con l'oggetto Promise di JavaScript e permette ai programmi WebAssembly di fungere da generatori di Promise e di interagire con le API basate su Promise.
- Nell'API CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D e ImageData è stata aggiunta la supporto per i formati di pixel che utilizzano valori in virgola mobile per rappresentare i componenti del colore.
- Nella modalità Origin trials sono stati proposti API sperimentali Rewriter e Writer, che consentono di rielaborare (ad esempio, sintetizzare in modo più conciso o cambiare lo stile narrativo) o generare testo utilizzando grandi modelli linguistici.
- Negli strumenti per sviluppatori web è stata aggiunta la possibilità di collegarsi agli spazi di lavoro, consentendo di salvare le modifiche apportate ai file locali in JavaScript, HTML e CSS durante l'utilizzo degli strumenti integrati nel browser. Sono state ampliate le capacità dell'assistente AI, che può modificare CSS e analizzare le prestazioni.
Oltre alle nuove funzionalità e alla correzione di bug, nella nuova versione sono state eliminate 1 vulnerabilità. Molte delle vulnerabilità sono state identificate grazie ai test automatizzati degli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state identificate problematiche critiche che consentano di superare tutti i livelli di protezione del browser e di eseguire codice al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, per la versione attuale, Google ha erogato 8 premi per un totale di 7500 dollari (un premio di $4000, $2000, $1000 e $500). L'importo di quattro premi non è ancora definito.
Fonte: opennet.ru
