Google rilascio del browser web . Contemporaneamente versione stabile di un progetto open source , che costituisce la base di Chrome. Il browser Chrome l'uso dei loghi Google, la presenza di un sistema di notifiche in caso di crash, la possibilità di scaricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici e trasmissione durante la ricerca . A causa del passaggio dei programmatori al lavoro da casa durante la pandemia di coronavirus SARS-CoV-2, il rilascio di Chrome 82 è stato . Il prossimo rilascio di Chrome 84 è previsto per il 14 luglio.
:
- attivazione in massa (DoH, DNS over HTTPS) sui sistemi degli utenti le cui impostazioni di sistema indicano fornitori DNS che supportano DoH (verrà attivato DoH dello stesso fornitore DNS). Ad esempio, se un utente ha impostato DNS 8.8.8.8 nelle impostazioni di sistema, allora in Chrome verrà attivato il servizio DoH di Google («https://dns.google.com/dns-query»), se il DNS è 1.1.1.1, allora il servizio DoH di Cloudflare («https://cloudflare-dns.com/dns-query») e così via. Per escludere problemi di risoluzione delle reti intranet aziendali, DoH non viene applicato nella determinazione dell'uso del browser in sistemi gestiti centralmente. DoH è disattivato anche in presenza di sistemi di controllo parentale.
La gestione dell'attivazione di DoH e il cambio del fornitore DoH avviene tramite il configuratore standard. - È stata proposta l'aspetto web form, ottimizzati per l'uso su schermi touch e sistemi per persone con disabilità. Il design è stato ottimizzato da Microsoft durante lo sviluppo del browser Edge ed è stato integrato nel codice di base di Chromium. In precedenza, alcuni elementi dei form erano progettati per conformarsi agli elementi dei sistemi operativi, mentre altri seguivano gli stili più popolari. Di conseguenza, diversi elementi si adattavano in modo diverso per schermi touch, sistemi per persone con disabilità e controlli da tastiera. L'obiettivo della riprogettazione era l'unificazione del design degli elementi dei form e l'eliminazione delle incongruenze stilistiche.
- È stato modificato il design della sezione delle impostazioni 'Privacy e sicurezza', nuovi strumenti per gestire la sicurezza. Le impostazioni sono ora più facili da trovare e più semplici da comprendere. Sono state proposte quattro sezioni di base, raccogliendo strumenti relativi alla pulizia della cronologia, gestione dei cookie e dei dati dei siti, modalità di sicurezza e restrizioni o permessi legati a siti specifici. L'utente può attivare rapidamente il blocco dei cookie di terze parti per la modalità incognito o per tutti i siti, bloccando tutti i cookie per un sito specifico. Il nuovo layout è incluso solo nei sistemi di parte degli utenti, mentre gli altri possono attivare le impostazioni tramite 'chrome://flags/#privacy-settings-redesign'.
Le impostazioni specifiche per i siti sono suddivise in gruppi — accesso alla posizione, fotocamera, microfono, notifiche e invio di dati in background. È stata anche proposta una sezione con impostazioni aggiuntive per bloccare JavaScript, immagini e redirezione su siti specifici. È stato evidenziato anche l'ultimo comportamento dell'utente relativo alle autorizzazioni.
- Nella modalità incognito è attivato per default il blocco di tutti i cookie impostati da siti di terze parti, comprese le reti pubblicitarie e i sistemi di web analytics. È anche stata proposta un'interfaccia avanzata per controllare l'impostazione dei cookie sui siti. Per la gestione sono previsti i flag 'chrome://flags/#improved-cookie-controls' e 'chrome://flags/#improved-cookie-controls-for-third-party-cookie-blocking'. Dopo l'attivazione della modalità appare una nuova icona nella barra degli indirizzi, cliccando sulla quale viene mostrato il numero di cookie bloccati e la possibilità disattivare il blocco. È possibile consultare quali cookie sono stati autorizzati e bloccati per il sito corrente nella sezione 'Cookies' del menu contestuale, richiamato cliccando sull'icona del lucchetto nella barra degli indirizzi, o nelle impostazioni.
- Nelle impostazioni è stata proposta una nuova pulsante 'Controllo sicurezza' (Safety check), che fornisce un riepilogo dei possibili problemi di sicurezza, come l'uso di password compromesse, stato del controllo dei siti nocivi (Safe Browsing), presenza di aggiornamenti non installati e identificazione di estensioni dannose.
- Nel gestore delle password è stata aggiunta la possibilità di controllare tutti i login e le password salvati contro un database di account compromessi, con avviso in caso di problemi identificati (il controllo avviene confrontando il prefisso hash sul lato utente, le password stesse e i loro hash completi non vengono trasferiti all'esterno). Il controllo è effettuato su un database che comprende oltre 4 miliardi di account compromessi emersi in violazioni di dati degli utenti. Un avviso viene emesso anche nel caso di tentativi di utilizzo di password triviali, come 'abc123'.
- modalità avanzata di protezione contro siti pericolosi (Enhanced Safe Browsing), che attiva controlli aggiuntivi per difendersi da phishing, attività malevole e altre minacce sul Web. Viene inoltre applicata una protezione supplementare per l'account Google e per i servizi Google (Gmail, Drive, ecc.). Mentre in modalità Safe Browsing normale i controlli vengono eseguiti localmente tramite un database caricato periodicamente sul sistema del client, in Enhanced Safe Browsing le informazioni su pagine e download vengono inviate in tempo reale al servizio Google Safe Browsing per la verifica da parte di Google, consentendo una reazione rapida alle minacce subito dopo la loro rilevazione, senza attendere l'aggiornamento della lista nera locale.
Per accelerare il funzionamento, è supportato un controllo preliminare tramite liste bianche, che includono gli hash di migliaia di siti popolari e affidabili. Se il sito aperto non è presente nella lista bianca, il browser controlla l'URL sul server Google, trasmettendo i primi 32 bit dell'hash SHA-256 del link, dai quali vengono rimosse eventuali informazioni personali. Secondo Google, questo nuovo approccio aumenta l'efficacia degli avvisi per i nuovi siti di phishing del 30%.
- Invece di fissare automaticamente le icone delle estensioni accanto alla barra degli indirizzi, è stato implementato un nuovo menu contrassegnato dall'icona di un rompicapo, in cui sono elencate tutte le estensioni disponibili e i loro permessi. Dopo aver installato un'estensione, l'utente deve ora attivare esplicitamente il collegamento alla barra delle icone, valutando i permessi concessi all'estensione. Per garantire che l'estensione non venga persa, viene visualizzato un indicatore con informazioni sulla nuova estensione subito dopo l'installazione. Il nuovo menu è attivato per impostazione predefinita per una percentuale specifica di utenti; gli altri possono attivarlo tramite l'impostazione "chrome://flags/#extensions-toolbar-menu".
- È stata aggiunta l'impostazione "chrome://flags/#omnibox-context-menu-show-full-urls", che, se attivata, aggiunge all'elenco del menu contestuale della barra degli indirizzi un'opzione "Mostra sempre l'URL completo", vietando la distorsione degli URL. Ricordiamo che in Chrome 76 la barra degli indirizzi è stata impostata per default a mostrare link senza "https://", "http://" e "www.". Per disabilitare questo comportamento era prevista una configurazione, ma in Chrome 79 è stata rimossa, facendo perdere agli utenti la possibilità di visualizzare l'URL completo nella barra degli indirizzi.
- Per tutti gli utenti è stata attivata la funzionalità di raggruppamento delle schede ("chrome://flags/#tab-groups"), che consente di unire più schede simili in gruppi visivamente separati. A ciascun gruppo è possibile assegnare un colore e un nome. Inoltre, è stata proposta una funzionalità sperimentale di riduzione e espansione dei gruppi, che al momento non funziona su tutti i sistemi. Ad esempio, più articoli non letti possono essere temporaneamente ridotti, lasciando solo l'etichetta, per non occupare spazio durante la navigazione, e al ritorno alla lettura, ripristinarli. Per attivare questa modalità è prevista un'impostazione "chrome://flags/#tab-groups-collapse".
- È stata attivata di default la visualizzazione di avvisi al tentativo di (senza crittografia) di file eseguibili tramite link da pagine HTTPS (in Chrome 84 i download di file eseguibili saranno bloccati, e l'avviso verrà emesso per gli archivi). Viene notato che il download di file non crittografati può essere utilizzato per attività malevole tramite sostituzione dei contenuti durante attacchi MITM. Inoltre il download di file avviato da blocchi iframe isolati.
- Con l'attivazione di Adobe Flash è stato aggiunto un avviso riguardo alla cessazione del supporto di questa tecnologia a dicembre 2020.
- È stata implementata la tecnologia , che consente di bloccare le manipolazioni del DOM che portano a scripting intersito (DOM XSS), ad esempio durante una gestione errata dei dati ricevuti dall'utente in blocchi eval() o nell'inserimento di «.innerHTML», cosa che potrebbe portare all'esecuzione di codice JavaScript nel contesto di una determinata pagina. Trusted types richiede un'elaborazione preliminare dei dati prima della loro trasmissione a funzioni rischiose. Ad esempio, attivando Trusted types l'esecuzione di «anElement.innerHTML = location.href» genererà un errore e richiederà l'uso di oggetti speciali TrustedHTML o TrustedScript per l'assegnazione. L'attivazione dei Trusted Types avviene tramite CSP (Content-Security-Policy).
- nuove intestazioni HTTP Cross-Origin-Embedder-Policy e Cross-Origin-Opener-Policy che consentono di attivare una modalità di isolamento cross-origin per utilizzare in sicurezza operazioni privilegiate sulla pagina, come SharedArrayBuffer, Performance.measureMemory() e API di profilazione, che possono essere utilizzate per attacchi attraverso canali esterni, come Spectre. La modalità di isolamento cross-origin non consente nemmeno di modificare la proprietà document.domain.
- È stata proposta una nuova implementazione del sistema di ispezione dell'accesso alle risorse in rete - OOR-CORS (Out-Of-Renderer Cross-Origin Resource Sharing). La vecchia implementazione poteva ispezionare solo i componenti principali del motore Blink, XHR e API Fetch, ma non copriva le richieste HTTP effettuate da alcuni moduli interni. La nuova implementazione risolve questo problema.
- Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata), sono state aggiunte diverse nuove API. L'Origin Trial permette l'accesso a queste API da applicazioni caricate da localhost o 127.0.0.1, oppure dopo registrazione e ottenimento di un token speciale, valido per un tempo limitato per un sito specifico.
- API , che consente di creare applicazioni web che interagiscono con i file nel sistema locale. Ad esempio, la nuova API può rivelarsi utile in ambienti di sviluppo integrati, editor di testi, immagini e video eseguiti nel browser. Per ottenere la possibilità di scrivere e leggere direttamente file, utilizzare finestre di dialogo per aprire e salvare file, nonché navigare nel contenuto delle directory, l'applicazione richiede una conferma speciale da parte dell'utente;
- Metodo per valutare il consumo di memoria durante l'elaborazione delle applicazioni web o delle pagine web. Può essere utilizzato per analizzare e ottimizzare il consumo di memoria nelle applicazioni web, nonché per identificare l'aumento regressivo del consumo di memoria.
- Metodo per pianificare l'esecuzione di attività (callback JavaScript) con vari livelli di priorità (bloccando l'operato dell'utente, creando modifiche visibili e lavori in background). Per modificare le priorità e annullare le attività, si può utilizzare l'oggetto TaskController.
- API che consente alle applicazioni di creare i propri gestori di dati applicabili alla codifica e decodifica di WebRTC MediaStreamTrack. Ad esempio, l'API può essere utilizzata per organizzare la crittografia end-to-end dei flussi trasmessi attraverso un server di transito.
- Aggiunto API per rilevare e decodificare i codici a barre in una determinata immagine. L'API funziona solo su dispositivi Android con il pacchetto Google Play Services installato.
- Aggiunto il meta tag che consente al sito di garantire un supporto completo per la modalità scura senza utilizzare trasformazioni CSS.
- Aggiunta la possibilità di utilizzare moduli JavaScript in .
- In IndexedDB, in aggiunto un nuovo argomento
«durability», che consente di gestire il salvataggio dei dati sul supporto. Passando il valore «relaxed» invece della modalità «strict» utilizzata di default, si può sacrificare l'affidabilità a favore delle prestazioni (in precedenza, Chrome azzerava sempre i dati su disco dopo ogni transazione). - Nella selector() è stata aggiunta la funzione @supports, che consente di determinare la disponibilità dei selettori CSS (Ad esempio, è possibile prima verificare la disponibilità del selettore prima di collegare a esso gli stili CSS).
@supports selector(::before) {
div { background: green };
} - In Intl.DateTimeFormat la proprietà fractionalSecondDigits per personalizzare il formato di visualizzazione delle frazioni di secondo.
- Nel motore V8 la tracciabilità di ArrayBuffer nel raccoglitore di rifiuti. Per i moduli WebAssembly, è consentito richiedere fino a 4 GB di memoria.
- nuovi strumenti per gli sviluppatori web. Ad esempio, è stata introdotta una modalità di emulazione della percezione della pagina da parte di persone con problemi di vista e varie forme di daltonismo. È stata anche aggiunta una modalità di emulazione del cambio della lingua, il cui cambiamento influisce su API Intl.*, *.prototype.toLocaleString, navigator.language, Accept-Language, ecc.
Nell'interfaccia di ispezione dell'attività di rete è stato aggiunto un debugger COEP (Cross-Origin Embedder Policy), che consente di valutare le ragioni del blocco del caricamento di determinate risorse dalla rete. È stata aggiunta la parola chiave cookie-path per filtrare le richieste in cui il cookie è legato a un determinato .
È stata aggiunta una modalità di ancoraggio degli strumenti per sviluppatori a sinistra dello schermo.
Rivisitata l'interfaccia per il tracciamento del codice JavaScript a lunga esecuzione.
- A causa dell'infezione da COVID-19, alcune modifiche pianificate sono state rinviate. Ad esempio, il codice per lavorare con FTP a tempo indeterminato. supporto ai protocolli TLS 1.0/1.1 fino al rilascio di Chrome 84. La prima
supporto dell'identificativo Client Hints (un'alternativa all'User-Agent) è stata anch'essa fino a Chrome 84. Il lavoro su è stato rinviato all'anno successivo.
Oltre alle novità e alla correzione di errori, nella nuova versione sono state risolte . Molte delle vulnerabilità sono state scoperte attraverso test automatizzati utilizzando strumenti , , , e . Non sono state rilevate problematiche critiche che consentissero di oltrepassare tutti i livelli di protezione del browser e di eseguire codici nel sistema oltre l'ambiente sandbox. Nell'ambito del programma di retribuzione per la scoperta di vulnerabilità per l'attuale rilascio, Google ha erogato 28 premi per un totale di 76.000 dollari USA (un premio di $20.000, un premio di $10.000, due premi di $7.500, due premi di $5.000, due premi di $3.000, due premi di $2.000, due premi di $1.000 e otto premi di $500). La dimensione di 7 premi non è ancora stata determinata.
Fonte: opennet.ru
