Google rilascio del browser web . Contemporaneamente versione stabile di un progetto open source , che costituisce la base di Chrome. Il browser Chrome l'uso dei loghi Google, la presenza di un sistema di notifiche in caso di crash, la possibilità di scaricare il modulo Flash su richiesta, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici e trasmissione durante la ricerca La prossima versione di Chrome 87 è programmata per il 17 novembre.
:
- È stata aggiunta una protezione contro l'invio non sicuro di moduli su pagine caricate tramite HTTPS ma che inviano dati tramite HTTP, creando il rischio di intercettazione e sostituzione dei dati durante attacchi MITM. La protezione si basa su tre modifiche:
- È disabilitato il completamento automatico di qualsiasi modulo misto, analogamente a come è stato disabilitato il completamento automatico dei moduli di autenticazione su pagine aperte in HTTP. Se in precedenza, il segnale per disabilitare il completamento si basava sull'apertura di una pagina con un modulo tramite HTTPS o HTTP, ora viene considerato anche l'uso della crittografia durante l'invio dei dati al gestore del modulo. Il funzionamento del gestore di password per moduli di autenticazione misti non è stato disabilitato, poiché il rischio legato all'uso di una password non sicura e alla riutilizzazione delle password su siti diversi supera il rischio di una potenziale intercettazione del traffico.
- Quando si inizia a inserire dati in moduli misti, verrà visualizzato un avviso che informa l'utente dell'invio dei dati compilati attraverso un canale non crittografato.
- Quando si tenta di inviare un modulo misto, viene visualizzata una pagina separata con un avviso riguardante il potenziale rischio di trasmissione dei dati attraverso un canale di comunicazione non criptato. Nelle versioni precedenti, per indicare i contenuti misti, veniva utilizzato un indicatore di lucchetto nella barra degli indirizzi, ma tale segnala non era evidente per gli utenti e non rifletteva efficacemente i rischi che si presentavano.
- Blocco (senza crittografia) dei file eseguibili è stato ampliato per includere il blocco del download non sicuro di archivi (zip, iso, ecc.) e viene visualizzato un avviso durante il download non sicuro
di documenti (docx, pdf, ecc.). Nella prossima versione è previsto il blocco dei documenti e la visualizzazione di un avviso per immagini, file di testo e multimediali. Il blocco è stato implementato poiché il caricamento di file senza crittografia può essere utilizzato per compiere azioni malevole sostituendo il contenuto durante gli attacchi MITM. - Nel menu contestuale è mostrata di default l'opzione "Mostra sempre l'URL completo", che in precedenza richiedeva la modifica delle impostazioni sulla pagina about:flags per essere attivata. È possibile visualizzare l'URL completo facendo doppio clic sulla barra degli indirizzi. Ricordiamo che a partire da di default l'indirizzo viene mostrato senza protocollo e senza il sottodominio www. In è stata rimossa l'impostazione che ripristinava il comportamento precedente, ma dopo il malcontento degli utenti in è stata aggiunta una nuova opzione sperimentale, che include nel menu contestuale un'opzione per disattivare la mascheratura e mostrare l'URL completo in qualsiasi condizione.
- Per un piccolo numero di utenti è stata attivata per nella barra degli indirizzi sarà mostrato solo il dominio, senza elementi del percorso e parametri di richiesta. Ad esempio, invece di «https://example.com/secure-google-sign-in/» verrà visualizzato «example.com». È prevista l'introduzione di questa modalità per tutti gli utenti in uno dei prossimi aggiornamenti. Per disattivare questo comportamento, è possibile utilizzare l'opzione «Mostra sempre l'URL completo», mentre per visualizzare l'intero URL è possibile cliccare sulla barra degli indirizzi. Il motivo del cambiamento è la volontà di proteggere gli utenti dal phishing che manipola i parametri nell'URL: i malintenzionati approfittano della disattenzione degli utenti per creare l'illusione di aver aperto un altro sito e compiere atti fraudolenti (se per un utente tecnicamente esperto tali sostituzioni sono evidenti, i non esperti cadono facilmente in queste semplici manipolazioni).
- Ripristinata sulla rimozione del supporto FTP. In Chrome 86, FTP è disabilitato di default per circa l'1% degli utenti, mentre in Chrome 87 la disabilitazione sarà estesa al 50%. Tuttavia, il supporto potrà essere ripristinato utilizzando il flag «—enable-ftp» o «—enable-features=FtpProtocol». In Chrome 88, il supporto FTP sarà completamente disabilitato.
- Nella versione per Android, analogamente a quella per desktop, nel gestore delle password è stata implementata la verifica delle credenziali salvate confrontandole con un database di account compromessi, fornendo un avviso in caso di problemi o tentativi di utilizzo di password triviale. Il controllo viene eseguito su un database che copre oltre 4 miliardi di account compromessi, emersi in leak di dati degli utenti. Per garantire la privacy si utilizza una verifica del prefisso hash lato utente, e le password complete e i loro hash non vengono inviati all'esterno.
- Nella versione per Android è stato inoltre il pulsante «Controllo sicurezza» (Safety check) e la modalità avanzata di protezione da siti pericolosi (Enhanced Safe Browsing). Il pulsante «Safety check» mostra un riepilogo dei potenziali problemi di sicurezza, come l'uso di password compromesse, lo stato di verifica dei siti dannosi (Safe Browsing), la presenza di aggiornamenti non installati e l'individuazione di estensioni malevole. La modalità avanzata di protezione attiva controlli aggiuntivi per proteggere da phishing, attività dannosa e altre minacce sul Web, oltre a includere una protezione supplementare per l'account Google e i servizi Google (Gmail, Drive, ecc.). Mentre in modalità normale Safe Browsing i controlli vengono eseguiti localmente utilizzando un database scaricato periodicamente sul sistema del cliente, in Enhanced Safe Browsing le informazioni sulle pagine e i download vengono inviate in tempo reale per la verifica ai server Google, consentendo una reazione rapida alle minacce non appena vengono rilevate, senza dover attendere l'aggiornamento della lista nera locale.
- supporto del file indicatore «.well-known/change-password», tramite il quale i proprietari dei siti possono specificare l'indirizzo del modulo web per il cambio della password. In caso di compromissione delle credenziali dell'utente, Chrome ora offre immediatamente un modulo per la modifica della password, basato sulle informazioni fornite in questo file.
- È stata implementata la nuova avvertenza "Safety Tip", visualizzata all'apertura di siti il cui dominio è molto simile a un altro e l'euristica indica un'alta probabilità di spoofing (ad esempio, è aperto goog0le.com invece di google.com).
- supporto per la cache di navigazione (Back-forward cache), che consente un passaggio istantaneo utilizzando i pulsanti «Indietro» e «Avanti» o durante la navigazione tra le pagine precedentemente visitate dello stesso sito. La cache viene attivata tramite l'impostazione chrome://flags/#back-forward-cache.
- Ottimizzazione del consumo di risorse CPU delle finestre
fuori dalla vista. Chrome verifica se una finestra del browser è coperta da altre finestre e impedisce il rendering dei pixel nelle aree sovrapposte. Questa ottimizzazione è stata attivata per una piccola percentuale di utenti in Chrome 84 e 85, ed è ora attivata universalmente. Rispetto alle versioni precedenti, è stata anche risolta un'incompatibilità con i sistemi di virtualizzazione che causava la visualizzazione di pagine bianche vuote. - Rafforzato il trimming delle risorse per le schede in background. Tali schede ora non possono consumare più dell'1% delle risorse CPU e possono attivarsi non più di una volta al minuto. Dopo cinque minuti di inattività in background, le schede vengono congelate, tranne quelle in cui viene riprodotto contenuto multimediale o che stanno registrando.
- Ripresa del lavoro su Intestazione HTTP User-Agent. Nella nuova versione, il supporto per il meccanismo è attivato per tutti gli utenti. , sviluppato come sostituto del User-Agent. Il nuovo meccanismo prevede la restituzione selettiva dei dati relativi a specifici parametri del browser e del sistema (versione, piattaforma, ecc.) solo dopo richiesta da parte del server, consentendo agli utenti di fornire selettivamente tali informazioni ai proprietari dei siti. Quando si utilizza User-Agent Client Hints, l'identificatore non viene inviato per impostazione predefinita senza una richiesta esplicita, rendendo impossibile l'identificazione passiva (per impostazione predefinita viene indicato solo il nome del browser).
- È stata modificata l'indicazione della disponibilità degli aggiornamenti e la necessità di riavviare il browser per l'installazione. Invece della freccia colorata nel campo dell'avatar dell'account, ora appare la dicitura 'Update'.
- Sono stati compiuti progressi nel tradurre il browser verso l'uso di una terminologia inclusiva. Nei nomi delle politiche, le parole "whitelist" e "blacklist" sono state sostituite con "allowlist" e "blocklist" (le politiche già aggiunte continueranno a funzionare, ma verrà visualizzato un avviso sulla loro retrocessione a obsoleto). In e le menzioni di "blacklist" sono state sostituite con "blocklist."
Le menzioni visibili agli utenti di "blacklist" e "whitelist" sono state sostituite all'inizio del 2019. - È stata aggiunta una funzione sperimentale per modificare le password salvate, attivabile tramite il flag "chrome://flags/#edit-passwords-in-settings".
- Tradotto in API stabili e pubbliche , che permette di creare applicazioni web in grado di interagire con i file nel filesystem locale. Ad esempio, la nuova API può essere utile in ambienti di sviluppo integrati, editor di testo, immagini e video eseguiti nel browser. Per abilitare la lettura e la scrittura diretta dei file, o per usare i dialoghi per aprire e salvare file, oltre a navigare attraverso i contenuti delle directory, l'applicazione richiede una conferma speciale da parte dell'utente.
- Aggiunto il selettore CSS ««, che utilizza la stessa euristica impiegata dal browser nel decidere se mostrare l'indicatore di cambio focus (quando il focus si sposta su un pulsante tramite combinazioni di tasti, l'indicatore appare, mentre non lo fa quando si clicca con il mouse). Il selettore CSS «:focus» disponibile in precedenza evidenziava sempre il focus.
Inoltre, nelle impostazioni è stata aggiunta un'opzione «Quick Focus Highlight», che attivando mostrerà un indicatore di focus aggiuntivo accanto agli elementi attivi, che rimarrà visibile anche se gli stili CSS per l'evidenziazione visiva del focus sono stati disattivati sulla pagina. - Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata), sono state aggiunte diverse nuove API. L'Origin Trial permette l'accesso a queste API da applicazioni caricate da localhost o 127.0.0.1, oppure dopo registrazione e ottenimento di un token speciale, valido per un tempo limitato per un sito specifico.
- per l'accesso di basso livello ai dispositivi HID (Human Interface Device, tastiere, mouse, gamepad, touchpad), che consentono di implementare la logica per lavorare con i dispositivi HID in JavaScript, facilitando l'uso di dispositivi HID rari senza necessità di driver specifici nel sistema.
In primo luogo, la nuova API è progettata per fornire supporto ai gamepad. - , espande le funzionalità dell'API Window Placement supportando configurazioni a più schermi. A differenza di window.screen, la nuova API consente di manipolare il posizionamento della finestra nello spazio schermico complessivo dei sistemi multi-monitor, senza limitarsi allo schermo attuale.
- Meta tag , tramite il quale il sito può informare il browser della necessità di attivare modalità di risparmio energetico e ottimizzazione del carico sulla CPU.
- API per segnalare potenziali violazioni dei regimi di isolamento (COEP) e (COOP), senza applicare restrizioni effettive.
- Nell'API è stato proposto un nuovo tipo di credenziali , fornendo un'ulteriore conferma dell'operazione di pagamento effettuata. La parte di controllo, ad esempio una banca, ha la possibilità di generare una chiave pubblica PublicKeyCredential, che può essere richiesta dal venditore per una conferma sicura aggiuntiva del pagamento.
- per l'accesso di basso livello ai dispositivi HID (Human Interface Device, tastiere, mouse, gamepad, touchpad), che consentono di implementare la logica per lavorare con i dispositivi HID in JavaScript, facilitando l'uso di dispositivi HID rari senza necessità di driver specifici nel sistema.
- Nell'API è stata aggiunta la supporto per angoli di elevazione (l'angolo tra lo stilo e lo schermo) e azimut (l'angolo tra l'asse X e la proiezione dello stilo sullo schermo), invece degli angoli TiltX e TiltY (angoli tra il piano dello stilo e uno degli assi e il piano degli assi Y e Z). Sono state aggiunte anche funzioni di conversione tra elevazione/azimut e TiltX/TiltY.
- La codifica degli spazi negli URL è stata modificata: durante il calcolo nei gestori del protocollo, il metodo navigator.registerProtocolHandler() ora sostituisce gli spazi con «» invece di «+», uniformando così il comportamento con altri browser come Firefox.
- In CSS è stato aggiunto il pseudo-elemento «», che consente di personalizzare il colore, la dimensione, la forma e il tipo di numeri e punti per le liste nei blocchi <ul> e <ol>.
- È stato aggiunto il supporto per l'intestazione HTTP , regole di accesso ai documenti, simili a un meccanismo di isolamento sandbox per iframe, ma più universale. Ad esempio, tramite Document-Policy è possibile limitare l'uso di immagini di bassa qualità, disabilitare le API JavaScript lente, impostare regole per il caricamento di iframe, immagini e script, limitare la dimensione complessiva del documento e il traffico, vietare metodi che portano a un ridisegno della pagina, disabilitare la funzione .
- Nell'elemento è stato aggiunto il supporto per le opzioni ‘inline-grid’, ‘grid’, ‘inline-flex’ e ‘flex’, impostate tramite la proprietà CSS ‘display’.
- Aggiunto il metodo per sostituire tutti i nodi figli del nodo genitore con un altro nodo DOM. In precedenza, per sostituire i nodi si poteva utilizzare una combinazione di metodi node.removeChild() e node.append() oppure node.innerHTML e node.append().
- spettro di schemi URL, consentiti per la ridefinizione tramite registerProtocolHandler(). La lista degli schemi include protocolli decentralizzati come cabal, dat, did, dweb, ethereum, hyper, ipfs, ipns e ssb, il che consente di definire collegamenti a elementi indipendentemente dal sito o dal gateway che fornisce accesso alla risorsa.
- Nell'API È stata aggiunta la supporto per il formato text/html per l'inserimento e la copia di HTML tramite gli appunti (viene eseguita una pulizia delle strutture HTML pericolose durante la registrazione e la lettura negli appunti). Questa modifica, ad esempio, consente di gestire l'incorporamento e la copia di testo formattato con immagini e link nei web editor.
- In WebRTC la possibilità di collegare gestori di dati personalizzati, invocati nelle fasi di codifica o decodifica di WebRTC MediaStreamTrack. Ad esempio, questa funzione può essere utilizzata per aggiungere supporto per la crittografia end-to-end dei dati trasmessi tramite server intermedi.
- Nel motore JavaScript V8 è aumentato del 75% l'implementazione di Number.prototype.toString. Nelle classi asincrone è stata aggiunta una proprietà .name con un valore vuoto. È stato rimosso il metodo Atomics.wake, che in passato era stato rinominato in Atomics.notify per allinearsi alla specifica ECMA-262. Il codice degli strumenti di fuzzing è stato aperto. .
- Nel compilatore iniziale (baseline) utilizzato nella scorsa versione, Liftoff per WebAssembly è stata abilitata la possibilità di utilizzare istruzioni vettoriali. per accelerare i calcoli. Secondo i test, l'ottimizzazione ha permesso di accelerare il superamento di alcuni test di 2,8 volte. Un'altra ottimizzazione ha consentito di velocizzare significativamente la chiamata a funzioni JavaScript importate da WebAssembly.
- gli strumenti per gli sviluppatori web: nel pannello Media sono state aggiunte informazioni sui lettori utilizzati per la riproduzione dei video sulla pagina, inclusi dati sugli eventi, log, valori delle proprietà e parametri di decodifica dei fotogrammi (ad esempio, è possibile determinare le cause della perdita di fotogrammi e dei problemi nell'interazione da JavaScript).
Nel menu contestuale del pannello Elements è stata aggiunta la possibilità di creare screenshot dell'elemento selezionato (ad esempio, è possibile creare uno screenshot del sommario o della tabella).
Nella console web, il pannello degli avvisi sui problemi è stato sostituito da un messaggio normale, mentre i problemi con i cookie di terze parti sono nascosti per impostazione predefinita nella scheda Issues e possono essere attivati tramite un apposito flag.
Nella scheda Rendering è stato aggiunto il pulsante «Disabilita i font locali», che consente di simulare l'assenza di font locali, mentre nella scheda Sensors è stata introdotta l'opzione per simulare l'inattività dell'utente (per le applicazioni che utilizzano l'API Idle Detection).
Nel pannello Application sono fornite informazioni dettagliate su ogni iframe, finestra aperta e pop-up, incluse informazioni sull'isolamento Cross-Origin tramite COEP e COOP.
- sostituzione dell'implementazione del protocollo alla variante sviluppata nella specifica IETF, invece della variante Google QUIC.
Oltre alle novità e alla correzione di errori, nella nuova versione sono state risolte . Molte delle vulnerabilità sono state scoperte attraverso test automatizzati utilizzando strumenti , , , e . Una vulnerabilità (CVE-2020-15967, accesso a un'area di memoria liberata nel codice per l'interazione con Google Payments) è contrassegnata come critica, cioè consente di bypassare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale rilascio, Google ha elargito 27 premi per un totale di 71500 dollari (un premio da 15000 dollari, tre premi da 7500 dollari, cinque premi da 5000 dollari, due da 3000 dollari, uno da 200 dollari e due premi da 500 dollari). L'importo di 13 premi non è ancora definito.
Fonte: opennet.ru
