Google ha rilasciato la versione del web browser Chrome 142. È disponibile anche il rilascio stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamenti automatici, l'abilitazione continua della sandbox e la fornitura di chiavi per le API di Google, oltre alla trasmissione dei parametri RLZ durante le ricerche. Per coloro che necessitano di più tempo per gli aggiornamenti, è supportato un ramo Extended Stable, con assistenza per 8 settimane. Il prossimo rilascio di Chrome 143 è programmato per il 2 dicembre.
Principali modifiche in Chrome 142:
- È stata implementata una protezione contro l'accesso al sistema locale durante le interazioni con i siti pubblici. Quando si effettuano richieste da un sito su una rete pubblica o interna (intranet) a indirizzi IP. sistemi locali o all'interfaccia loopback (127.0.0.0/8), il browser mostrerà un dialogo all'utente per confermare l'operazione. Sono inclusi nel sistema di protezione i tentativi di caricamento di risorse, le richieste fetch() e le inserzioni iframe. La protezione non è ancora applicata per le connessioni attraverso WebSockets, WebTransport e WebRTC, ma verrà aggiunta per queste tecnologie in seguito.
L'accesso alle risorse interne è sfruttato dagli aggressori per effettuare attacchi CSRF a router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Inoltre, la scansione delle risorse interne può essere utilizzata per l'identificazione indiretta o la raccolta di informazioni sulla rete locale.
- È stato proposto un'interfaccia semplificata unica per il collegamento all'account Google e la sincronizzazione dei dati, come le password salvate e i segnalibri. La sincronizzazione è integrata con l'accesso all'account e non viene presentata come una funzionalità separata nelle impostazioni. Gli utenti possono collegare Chrome al proprio account Google e utilizzarlo per memorizzare password, segnalibri, cronologia di navigazione e schede. Questa possibilità è attualmente attivata per un numero limitato di utenti, gradualmente l'ambito coprirà un numero più ampio.
- È stata attivata un nuovo modello di isolamento dei processi - 'Origin Isolation', in cui ogni origine del contenuto (origin - combinazione di protocollo, di dominio e porta, ad esempio, «https://foo.example.com»), viene isolato in un processo di rendering separato. Poiché un aumento della suddivisione dell'isolamento può portare a un maggiore consumo di memoria e a un aumento del carico sulla CPU, la nuova modalità di isolamento viene attivata solo sui sistemi con più di 4 GB di RAM. Su hardware meno potente continuerà a essere utilizzato il vecchio approccio all'isolamento, in cui tutti le diverse fonti di contenuto correlate a un sito (ad esempio, foo.example.com e bar.example.com) vengono isolate in un processo separato.
- Sui sistemi Windows e macOS, in cui non viene applicata la gestione centralizzata di Chrome, è stata implementata la disattivazione automatica delle estensioni del browser forzatamente installate che presentano violazioni marginali delle regole del catalogo Chrome Web Store. Le violazioni marginali includono la presenza di vulnerabilità potenziali, l'imposizione dell'estensione all'insaputa dell'utente, manipolazioni dei metadati, violazioni delle norme relative ai dati degli utenti e informazioni ingannevoli sulle funzionalità. Se lo desidera, l'utente può riattivare l'estensione disattivata.
- Nella versione per Android, analogamente alle versioni per sistemi desktop, è stata implementata una segnalazione di avvisi su pagine fraudolente rilevate da un grande modello linguistico basato sull'analisi del contenuto. L'uso dell'AI è attivato nella modalità di protezione avanzata del browser (Enhanced Safe Browsing). Il modello AI viene eseguito sul lato client, ma in caso di sospetti su contenuti discutibili, viene effettuato un controllo aggiuntivo sui server di Google.
- Nell'implementazione del protocollo DTLS (Datagram Transport Layer Security, equivalente a TLS per UDP), utilizzato per le connessioni WebRTC, è previsto l'uso di algoritmi di crittografia post-quantistica.
- È stato implementato il salvataggio dello stato di attivazione, che viene generato quando l'utente è attivo sulla pagina, anche dopo la navigazione a un'altra pagina dello stesso dominio. Il salvataggio dell'attivazione semplificherà lo sviluppo di applicazioni web multi-pagina e risolverà problemi come la messa a fuoco dell'input quando il sito visualizza la sua tastiera virtuale.
- In CSS sono stati aggiunti i pseudo-classi «:target-before» e «:target-after» per determinare i marcatori precedenti e successivi, rispetto alla posizione attuale di scorrimento («:target-current»).
- Nelle container di stile («@container») e nella funzione «if()» è consentito l'uso della sintassi delle gamme (Range Syntax), definita nella specifica Media Queries Level 4, che permette di utilizzare normali operatori matematici di confronto e operatori logici per definire gamme di valori. Ad esempio, ora si può specificare «@container style(—inner-padding > 1em)» e «background-color: if(style(attr(data-columns, type) > 2): lightblue; else: white);»
- Negli elementi «<button>» e «<a>» è stata aggiunta la supporto per l'attributo «interestfor», che consente di organizzare chiamate all'azione, ad esempio, mostrare un popup quando l'utente mostra interesse per l'elemento. Il browser considera situazioni di interesse come il posizionamento e il mantenimento del cursore sull'elemento, la pressione di tasti di scelta rapida o il mantenimento del tocco su un touchscreen. Quando viene rilevato un interesse su un elemento con l'attributo «interestfor», il browser genera un evento InterestEvent.
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Nell'angolo in alto a destra è stata aggiunta un'icona per richiamare rapidamente l'assistente AI. L'elemento del menu contestuale «Ask AI» è stato rinominato in «Debug with AI» ed è stato ampliato con la possibilità di eseguire azioni immediatamente in base al contesto. Nell'interfaccia della console web e nel pannello del codice, l'assistente AI Gemini ora può generare raccomandazioni con codice.
Negli strumenti per gli sviluppatori web è stata garantita l'integrazione con il servizio GDP (Google Developer Program). Gli sviluppatori ora possono collegarsi al proprio profilo GDP direttamente da Chrome DevTools e ricevere bonus per completare determinate operazioni in tale interfaccia.
Oltre alle nuove funzionalità e correzioni di bug, nella nuova versione sono state eliminate 20 vulnerabilità. Molte di queste vulnerabilità sono state identificate tramite test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state trovate vulnerabilità critiche che permettano di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di premi per la scoperta di vulnerabilità, per questa versione attuale, Google ha istituito 20 premi per un totale di 130.000 dollari (due premi da 50.000 dollari, un premio da 10.000 dollari e tre premi da 3.000 dollari, due premi da 2.000 dollari e tre premi da 1.000 dollari). L'importo di 8 premi non è ancora stato definito.
Inoltre, si segnala il rilevamento di una vulnerabilità non ancora corretta nel motore Blink, che provoca il crash e il blocco del browser durante l'esecuzione di un determinato codice JavaScript. Questa vulnerabilità è causata da problemi architettonici nel motore di rendering, legati all'assenza di limitazioni sull'intensità delle operazioni di aggiornamento della proprietà "document.title". La mancanza di restrizioni consente di utilizzare "document.title" per apportare decine di milioni di modifiche al DOM al secondo, il che porta al blocco dell'interfaccia dopo pochi secondi a causa dell'occupazione del thread principale e dell'elevato consumo di memoria, e dopo 15-60 secondi il browser si chiude in modo anomalo.
Fonte: opennet.ru
