Rilascio di Chrome 100

Google ha rilasciato la versione 100 del browser web Chrome. In contemporanea è disponibile un rilascio stabile del progetto open source Chromium, che è alla base di Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici e la trasmissione dei parametri RLZ durante le ricerche. La prossima release di Chrome 101 è prevista per il 26 aprile.

Principali novità in Chrome 100:

• Con il raggiungimento del numero di versione 100, composto da tre cifre anziché da due, potrebbero verificarsi malfunzionamenti su alcuni siti che utilizzano librerie non corrette per interpretare il valore dell'User-Agent. In caso di problemi, è prevista l'impostazione «chrome://flags##force-major-version-to-minor», che consente di ripristinare l'output nell'intestazione User-Agent alla versione 99, pur utilizzando effettivamente la versione 100.
• Chrome 100 è contrassegnato come l'ultima versione a contenere un User-Agent completo. Nella prossima versione inizierà il ridimensionamento delle informazioni nell'intestazione HTTP User-Agent e nei parametri JavaScript navigator.userAgent, navigator.appVersion e navigator.platform. Nell'intestazione rimarranno solo informazioni sul nome del browser, sulla versione principale del browser, sulla piattaforma e sul tipo di dispositivo (telefono mobile, PC, tablet). Per ulteriori dati, come la versione esatta e le informazioni avanzate sulla piattaforma, sarà necessario utilizzare l'API User Agent Client Hints. Per i siti che non trovano sufficienti le nuove informazioni e che non sono ancora pronti a passare ai User Agent Client Hints, è stata data la possibilità di restituire il User-Agent completo fino a maggio 2023.
• È stata aggiunta una funzionalità sperimentale che mostra nella barra degli indirizzi un indicatore di download, cliccando sul quale si può visualizzare lo stato dei file in download e scaricati, in analogia con la pagina chrome://downloads. Per attivare l'indicatore è disponibile l'impostazione "chrome://flags#download-bubble".
• Ripristinata la possibilità di disattivare l'audio facendo clic sull'indicatore di riproduzione mostrato sul pulsante della scheda (in precedenza l'audio poteva essere disattivato tramite il menu contestuale). È stata aggiunta un'impostazione «chrome://flags#enable-tab-audio-muting» per attivare questa funzione.
• Aggiunta l'impostazione «chrome://flags/#enable-lens-standalone» per disattivare l'uso del servizio Google Lens per la ricerca delle immagini (voce «Trova immagine» nel menu contestuale).
• Quando si condivide una scheda (tab-sharing), ora il bordo blu evidenzia solo la parte con il contenuto trasmesso all'altro utente, anziché l'intera scheda.
• Modificato il logo del browser. Rispetto alla versione del 2014, il nuovo logo presenta un cerchio leggermente più grande al centro, colori più vivaci e l'assenza di ombre sui bordi tra i colori.
• Modifiche nella versione per Android:
  • Interrotta la supporto della modalità risparmio dati «Lite», che riduceva il bitrate durante il caricamento dei video e applicava una compressione aggiuntiva delle immagini. Si segnala che questa modalità è stata rimossa a causa della diminuzione dei costi delle tariffe nelle reti mobili e dello sviluppo di altri metodi per ridurre il traffico.
  • È stata aggiunta la possibilità di eseguire azioni nel browser direttamente dalla barra degli indirizzi. Ad esempio, puoi digitare 'cancellare la cronologia' e il browser proporrà di accedere al modulo di cancellazione della cronologia o 'modificare le password' e il browser aprirà il gestore delle password. Per i sistemi desktop, questa funzionalità è stata implementata nella versione Chrome 87.
  • È stata implementata la possibilità di accedere all'account Google tramite la scansione di un codice QR visualizzato su un altro dispositivo.
  • È stata fornita un'uscita della finestra di dialogo di conferma dell'operazione quando si tenta di chiudere tutte le schede contemporaneamente.
  • Nella pagina di apertura di una nuova scheda è apparso un interruttore tra la visualizzazione degli abbonamenti RSS (Following) e i contenuti consigliati (Discover).
  • È stata disabilitata la possibilità di utilizzare i protocolli TLS 1.0/1.1 nel componente Android WebView. Nel browser stesso, il supporto per TLS 1.0/1.1 è stato rimosso nella versione Chrome 98. Nella versione attuale, una modifica simile è stata applicata alle app mobili che utilizzano il componente WebView, che ora non possono più connettersi a server non supportanti TLS 1.2 o TLS 1.3.
• Quando si verificano i certificati utilizzando il meccanismo Certificate Transparency per la convalida del certificato, ora è richiesta la presenza di registrazioni SCT firmate (timestamp del certificato firmato) in due log diversi gestiti da operatori diversi (in precedenza era richiesta una registrazione nel log di Google e in un altro log di qualsiasi operatore). La Certificate Transparency offre la possibilità di mantenere log pubblici indipendenti di tutti i certificati emessi e revocati, consentendo controlli indipendenti su tutte le modifiche e le azioni delle autorità di certificazione e permettendo di monitorare qualsiasi tentativo di creazione nascosta di registrazioni false.

  Per gli utenti che hanno attivato la modalità Safe Browsing, l'audit delle registrazioni SCT utilizzate nei log di Certificate Transparency è attivato per impostazione predefinita. Questa modifica porterà all'invio di richieste aggiuntive a Google per confermare il corretto funzionamento del log. Le richieste di verifica vengono inviate molto raramente, circa una volta ogni 10.000 connessioni TLS. In caso di problemi, verranno trasmessi a Google i dati sulla catena di certificati problematica e sul SCT (vengono trasmessi solo dati già pubblicamente disponibili sui certificati e sul SCT).
• Attivando la modalità avanzata di protezione da siti pericolosi (Enhanced Safe Browsing) e accedendo all'account Google, i dati sugli incidenti inviati a server Google ora includono token associati all'account Google, contribuendo così a migliorare la protezione contro il phishing, le attività dannose e altre minacce nel Web. Per le sessioni in modalità in incognito, tali dati non vengono trasmessi.
• Nella versione desktop di Chrome è disponibile la possibilità di rifiutare gli avvisi sull'uso di password compromesse.
• È stato aggiunto l'API Multi-Screen Window Placement, che consente di ottenere informazioni sui monitor collegati al computer e di gestire il posizionamento delle finestre sugli schermi specificati. Con il nuovo API è anche possibile scegliere con precisione la posizione delle finestre visualizzate e determinare il passaggio alla modalità a schermo intero, avviato tramite il metodo Element.requestFullscreen(). Tra gli esempi di utilizzo del nuovo API si citano le applicazioni per la presentazione (uscita su proiettore e visualizzazione delle note sullo schermo del laptop), applicazioni finanziarie e sistemi di monitoraggio (posizionamento dei grafici su diversi schermi), applicazioni mediche (visualizzazione di immagini su schermi separati ad alta risoluzione), giochi, editor grafici e altri tipi di applicazioni multi-finestra.
• In modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) è stata implementata la supporto per l'accesso a Media Source Extensions da thread dedicati, che può essere utilizzato, ad esempio, per migliorare le prestazioni della riproduzione bufferizzata dei dati multimediali creando un oggetto MediaSource in un thread separato e trasmettendo i risultati del suo lavoro in un HTMLMediaElement nel thread principale. L'Origin Trial implica la possibilità di lavorare con l'API specificata da applicazioni caricate da localhost o 127.0.0.1, oppure previa registrazione e ottenimento di un token speciale che è valido per un tempo limitato per un sito specifico.
• È stato stabilizzato e reso disponibile a tutti l'API Digital Goods, progettato per semplificare l'organizzazione degli acquisti da web-app. Fornisce un'integrazione con i servizi di distribuzione di beni e, su Android, offre un wrapper sopra l'API Android Play Billing.
• È stato aggiunto il metodo AbortSignal.throwIfAborted(), che consente di gestire l'interruzione dell'esecuzione del segnale tenendo conto dello stato del segnale e del motivo della sua interruzione.
• Nel oggetto HIDDevice è stato aggiunto il metodo forget(), che consente di revocare i permessi di accesso all'input device forniti dall'utente.
• Nella proprietà CSS mix-blend-mode, che definisce il metodo di fusione tra elementi sovrapposti, è stata aggiunta la supporto per il valore "plus-lighter" per evidenziare le intersezioni di due elementi con pixel comuni.
• Nell'oggetto NDEFReader è stato aggiunto il metodo makeReadOnly(), che consente di utilizzare i tag NFC in modalità di sola lettura.
• Nell'API WebTransport, destinata all'invio e alla ricezione di dati tra browser e server, è stata aggiunta l'opzione serverCertificateHashes per l'autenticazione della connessione al server tramite hash del certificato senza utilizzare Web PKI (ad esempio, quando ci si connette a server o a una macchina virtuale, non in una rete pubblica).
• Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Sono state ampliate le funzionalità del pannello Recorder, che consente di registrare, riprodurre e analizzare le azioni dell'utente sulla pagina. Durante la visualizzazione del codice nel processo di debug, è stato garantito l'output dei valori delle proprietà al passaggio del mouse su classi o funzioni. L'elenco dei dispositivi emulati per l'User-Agent per iPhone è stato aggiornato alla versione 13_2_3. Nel pannello di navigazione degli stili CSS è stata implementata la possibilità di visualizzare e modificare le regole «@supports».

Oltre alle novità e correzioni di bug nella nuova versione, sono state eliminate 28 vulnerabilità. Molte di queste vulnerabilità sono state scoperte tramite test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche che consentono di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità per la versione attuale, Google ha concesso 20 premi per un totale di 51.000 dollari USA (un premio di 16.000 dollari, due premi di 7.000 dollari, tre premi di 5.000 dollari e un premio di 3.000, 2.000 e 1.000 dollari ciascuno. L'importo di 11 premi è ancora da determinare.

Fonte: opennet.ru