Google ha pubblicato il rilascio del browser web Chrome 140. È disponibile anche una versione stabile del progetto open-source Chromium, che funge da base per Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, per la presenza di un sistema di invio di notifiche in caso di crash, per i moduli per la riproduzione di contenuti video protetti da copyright (DRM), per il sistema di aggiornamenti automatici, per l'attivazione continua della sandbox e per la fornitura di chiavi per le API di Google e per la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per aggiornare, è supportata separatamente una versione Extended Stable, che viene mantenuta per 8 settimane. Il prossimo rilascio di Chrome 141 è programmato per il 30 settembre.
Principali novità in Chrome 140:
- Per rafforzare la protezione contro il tracciamento delle attività tra i siti in modalità incognito, è stata implementata la possibilità di nascondere le informazioni sull'IP dell'utente in contesti di terze parti (ad esempio, per le pagine caricate tramite iframe). Il nascondimento si applica solo ai domini presenti nell'elenco MDL (Masked Domain List) ed è realizzato tramite l'invio di richieste non direttamente, ma attraverso un server proxy di Google. Di conseguenza, il sito vedrà come indirizzo in arrivo Indirizzi IP l'indirizzo del proxy, e non quello dell'utente.
- Per ottenere informazioni selettive sugli indirizzi IP degli utenti abilitando nel browser la modalità di protezione degli indirizzi IP che invia richieste tramite un proxy di transito, è stato implementato il meccanismo PRT (Probabilistic Reveal Token). Il PRT implica l'invio di un'intestazione con un token crittografato, che consente di ottenere un campione casuale ridotto di indirizzi IP reali dei clienti che hanno effettuato richieste a un determinato dominio, ma non legati a richieste specifiche. Parte dei token PRT contiene informazioni sull'IP reale, mentre parte no, e il contenuto del token può essere determinato solo dopo un certo lasso di tempo, decifrando con una chiave rilasciata da Google dopo una richiesta separata. Tali informazioni sugli indirizzi IP possono essere utilizzate nei sistemi di difesa contro le frodi e per analizzare la qualità del traffico web.
- In modalità incognito è implementato un meccanismo di "Script Blocking", che blocca selettivamente l'accesso a determinate API JavaScript, utilizzabili per l'identificazione nascosta dell'utente. Ad esempio, le differenze nella resa delle immagini attraverso l'API Canvas possono essere considerate un segno aggiuntivo per l'identificazione. Il blocco viene applicato solo ai contenuti di terze parti (ad esempio, incorporati nella pagina tramite tag iframe o script) quando viene rilevata un'attività specifica per l'identificazione nascosta, e per i domini presenti nella lista nera MDL (Masked Domain List), accusati di identificazione nascosta.
- È attivata la modalità OverrideDefaultOzonePlatformHintToAuto per la selezione automatica del backend nell'interfaccia Ozone, che astrae l'interazione con il sottosistema grafico. Questa modifica permette di attivare in modo adattivo il backend Wayland su sistemi che supportano Wayland, senza essere legati di default al backend X11.
- È stata attivata la funzione di cambio automatico della password, basata sull'uso dell'AI. Se la password è presente in database conosciuti di account compromessi, durante il tentativo di accesso con quella password, Chrome mostrerà un avviso suggerendo di cambiare la password. Se si acconsente, il browser genererà una password resistente al brute forcing, cambierà la password sul sito (compilando e inviando automaticamente i moduli web necessari) e salverà la nuova password nel gestore di password.
- È stata aggiunta l'ottimizzazione DSE Prewarming (Default Search Engine Prewarming) per velocizzare l'apertura della pagina con i risultati della ricerca dopo aver eseguito una query tramite la barra degli indirizzi. Attivando il DSE Prewarming, subito dopo aver spostato il focus di input sulla barra degli indirizzi, viene eseguita la pre-renderizzazione del layout della pagina con i risultati della ricerca e il caricamento delle risorse necessarie per quella pagina. Le risorse caricate vengono utilizzate anche per accelerare le richieste successive. Questa funzione è attivata per impostazione predefinita solo per una parte degli utenti.
- Sono state ampliate le funzionalità di completamento automatico dei moduli, che utilizzano un modello AI per comprendere il modulo web e compilare automaticamente i campi, in base a come l'utente ha precedentemente compilato moduli simili. L'impostazione "Autofill with AI" è stata rinominata in "Enhanced autofill". Nella nuova versione è stato ampliato il numero di paesi e lingue per cui è disponibile la funzione, e sono stati aggiunti supporto per ulteriori tipi di informazioni.
- Per gli utenti negli Stati Uniti è attivato un chatbot integrato nel browser chiamato Gemini, che può spiegare i contenuti della pagina visualizzata e rispondere a domande correlate senza dover cambiare scheda. È supportata l'interazione testuale e vocale con Gemini. In futuro è previsto di includere il chatbot anche per gli utenti di altri paesi.
- Per tutti gli utenti è abilitata la possibilità di unirsi a gruppi di schede già creati, con cui possono lavorare contemporaneamente più utenti. Al momento, il supporto per la creazione di gruppi è disponibile solo per gli utenti delle versioni di prova (Beta/Dev/Canary); si prevede che possano creare un set di schede e condividerlo con altri utenti, i quali vedranno le stesse schede sui loro dispositivi. Se uno dei partecipanti cambia scheda nel gruppo, la modifica sarà immediatamente riflessa sui dispositivi degli altri utenti.
- È stato modificato il design degli avvisi mostrati quando si tenta di aprire un sito senza HTTPS, se nelle impostazioni (chrome://settings/security) è selezionata l'opzione per stabilire solo connessioni sicure. Invece di mostrare una pagina con un avviso, è stato implementato un dialogo che si apre sotto la barra degli indirizzi e blocca il caricamento dei dati non crittografati fino a quando l'utente non sceglie un'azione.
- Nelle richieste relative al caricamento preventivo delle risorse o al rendering ( o ), è garantita l'invio dell'intestazione HTTP “Sec-Purpose”. L'intestazione HTTP precedentemente utilizzata per questi scopi, “Purpose: prefetch”, è stata dichiarata obsoleta, ma non è ancora disabilitata di default per mantenere la compatibilità.
- Nell'API ToggleEvent è stata aggiunta la proprietà source, che contiene un oggetto Element, rappresentante il controllo che ha avviato la modifica di stato, in risposta alla quale è stato generato l'evento Toggle. Ad esempio, quando l'utente fa clic su un elemento “
- È stata aggiunta la possibilità di utilizzare le funzioni counter() e counters() all'interno del testo alternativo nella proprietà “content” (ad esempio, ‘content: «Capitolo» counter(chapter);’).
- È stata aggiunta la proprietà CSS «caret-animation», che consente di gestire l'animazione del cursore nei campi di input (ad esempio, il lampeggiamento del cursore può essere sostituito con un'animazione personalizzata). Sono state inoltre aggiunte le proprietà animation-timing-function, animation-iteration-count, animation-direction e animation-play-state per controllare gli effetti di transizione animati.
- Nella regola CSS «@font-face» è stato implementato il supporto della proprietà font-variation-settings per la personalizzazione dei glifi nei font variabili (spessore delle linee, larghezza dei caratteri, inclinazione dei caratteri, ecc.).
- In CSS è stato aggiunto il supporto per l'aritmetica tipizzata, che consente di utilizzare espressioni come «calc(10em / 1px)» e «calc(20% / 0.5em * 1px)».
- Sono stati aggiunti i metodi Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 e Uint8Array.fromHex per effettuare conversioni tra Uint8Array e dati in formato base64 o rappresentazione esadecimale.
- Negli strumenti per gli sviluppatori web sono state ampliate le funzionalità relative all'uso dell'AI per il debug dei problemi di prestazioni. È stato aggiunto il supporto per l'emulazione del comportamento quando si utilizza l'intestazione HTTP «Save-Data».
Oltre alle novità e alle correzioni di bug, nella nuova versione sono state risolte 6 vulnerabilità. Molte delle vulnerabilità sono state scoperte tramite test automatizzati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state rilevate problematiche critiche in grado di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità, per l'attuale rilascio Google ha assegnato 4 premi per un totale di 10.000 dollari USA (premi da 5000 $, 4000 $ e 1000 $). L'importo di una delle ricompense non è ancora stato determinato.
Fonte: opennet.ru
