Chrome versione 89

Google ha annunciato l'uscita del browser web Chrome 89. Allo stesso tempo è disponibile una versione stabile del progetto gratuito Chromium, che funge da base per Chrome. Il browser Chrome si distingue per l'utilizzo dei loghi di Google, la presenza di un sistema per l'invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema per l'installazione automatica degli aggiornamenti e la trasmissione dei parametri RLZ durante la ricerca. La prossima release di Chrome 90 è prevista per il 13 aprile.

Modifiche principali in Chrome 89:

• La versione Android di Chrome ora potrà essere eseguita solo su dispositivi certificati Play Protect. Nelle macchine virtuali e negli emulatori, Chrome per Android può essere utilizzato se il dispositivo emulato è valido o se l'emulatore è sviluppato da Google. Puoi verificare se il dispositivo è certificato o meno nell'applicazione Google Play nella sezione delle impostazioni (nella pagina delle impostazioni in basso viene mostrato lo stato "Certificazione Play Protect"). Per i dispositivi non certificati, come quelli che utilizzano firmware di terze parti, agli utenti viene richiesto di registrare i propri dispositivi per eseguire Chrome.
• Una piccola percentuale di utenti è abilitata ad aprire siti tramite HTTPS per impostazione predefinita quando digitano i nomi host nella barra degli indirizzi. Ad esempio, quando inserisci l'host example.com, il sito https://example.com verrà aperto per impostazione predefinita e, se si verificano problemi durante l'apertura, verrà ripristinato http://example.com. Per controllare l'uso del valore predefinito "https://", viene proposta l'impostazione "chrome://flags#omnibox-default-typed-navigations-to-https".
• È incluso il supporto per i profili, consentendo a diversi utenti di separare i propri account quando lavorano attraverso lo stesso browser. Ad esempio, utilizzando i profili, è possibile organizzare l'accesso tra i membri della famiglia o sessioni separate utilizzate per lavoro e interessi personali. L'utente può creare un nuovo profilo Chrome e configurarlo per attivarsi quando connesso a uno specifico account Google, consentendo a diversi utenti di condividere segnalibri, impostazioni e cronologia di navigazione. Quando si tenta di accedere a un account collegato a un altro profilo, all'utente verrà richiesto di passare a quel profilo. Se l'utente è collegato a più profili, gli verrà data la possibilità di selezionare il profilo desiderato. È possibile assegnare i propri schemi di colori a diversi profili per separare visivamente gli utenti.
• Abilitata la visualizzazione delle miniature dei contenuti quando si passa con il mouse sulle schede nella barra in alto. In precedenza, l'anteprima del contenuto della scheda era disabilitata per impostazione predefinita e richiedeva la modifica dell'impostazione "chrome://flags/#tab-hover-cards".
• Per alcuni utenti, la funzione “Lista di lettura” (“chrome://flags#read-later”) viene abilitata, quando attivata, quando si fa clic sull'asterisco nella barra degli indirizzi, oltre al pulsante “Aggiungi segnalibro”, appare un secondo pulsante “Aggiungi alla lista di lettura”, e nell'angolo destro della barra dei segnalibri appare il menu “Lista di lettura”, che elenca tutte le pagine precedentemente aggiunte alla lista. Quando apri una pagina dall'elenco, viene contrassegnata come letta. Le pagine nell'elenco possono anche essere contrassegnate manualmente come lette o non lette oppure rimosse dall'elenco.
• Gli utenti che hanno effettuato l'accesso a un Account Google senza abilitare la sincronizzazione Chrome hanno accesso ai metodi di pagamento e alle password archiviate nell'Account Google. La funzionalità è abilitata per alcuni utenti e verrà gradualmente estesa ad altri.
• È stato abilitato il supporto per la ricerca rapida delle schede, che in precedenza richiedeva l'attivazione tramite il flag “chrome://flags/#enable-tab-search”. L'utente può visualizzare un elenco di tutte le schede aperte e filtrare rapidamente la scheda desiderata, indipendentemente dal fatto che si trovi nella finestra corrente o in un'altra finestra.
• Per tutti gli utenti è stata interrotta l'elaborazione delle singole parole nella barra degli indirizzi come tentativi di apertura di siti interni. In precedenza, quando si immetteva una parola nella barra degli indirizzi, il browser tentava prima di determinare la presenza di un host con quel nome nel DNS, credendo che l'utente stesse tentando di aprire un sottodominio, e solo successivamente reindirizzava la richiesta al motore di ricerca. Pertanto, il proprietario del server DNS specificato nelle impostazioni dell'utente ha ricevuto informazioni sulle query di ricerca di una sola parola, che sono state valutate come una violazione della riservatezza. Per le aziende che utilizzano host Internet senza sottodominio (ad esempio "https://helpdesk/"), viene fornita un'opzione per ripristinare il vecchio comportamento.
• È possibile aggiungere la versione di un componente aggiuntivo o di un'applicazione. Ad esempio, per garantire che un'azienda utilizzi solo componenti aggiuntivi attendibili, un amministratore può utilizzare il nuovo criterio ExtensionSettings per configurare Chrome in modo che utilizzi il proprio URL per scaricare gli aggiornamenti, anziché l'URL specificato nel manifest del componente aggiuntivo.
• Sui sistemi x86, il browser ora richiede il supporto del processore per le istruzioni SSE3, che sono supportate dai processori Intel dal 2003 e da AMD dal 2005.
• Sono state aggiunte ulteriori API volte a fornire funzionalità in grado di sostituire i Cookie di terze parti utilizzati per tracciare i movimenti dell'utente tra i siti nel codice delle reti pubblicitarie, dei widget dei social network e dei sistemi di analisi web. Vengono proposte per il test le seguenti API:
  • Trust Token per separare gli utenti senza utilizzare identificatori tra siti.
  • Set di prime parti: consente ai domini correlati di dichiararsi primari in modo che il browser possa tenere conto di questa connessione durante le chiamate tra siti.
  • Schemeful Same-Site per estendere il concetto di stesso sito a diversi schemi URL, ad es. http://website.example e https://website.example verranno trattati come un unico sito per le richieste intersito.
  • Floc per determinare la categoria di interessi dell'utente senza identificazione individuale e senza riferimento alla cronologia delle visite a siti specifici.
  • Misurazione delle conversioni per valutare l'attività dell'utente dopo il passaggio alla pubblicità.
  • Suggerimenti client User-Agent per sostituire User-Agent e restituire selettivamente dati su browser specifici e parametri di sistema (versione, piattaforma, ecc.).
• Aggiunta API seriale, che consente ai siti di leggere e scrivere dati sulla porta seriale. Il motivo della comparsa di tale API è la capacità di creare applicazioni web per il controllo diretto di dispositivi come microcontrollori e stampanti 3D. Per ottenere l'accesso a un dispositivo periferico è necessaria l'approvazione esplicita dell'utente.
• Aggiunta l'API WebHID per l'accesso di basso livello ai dispositivi HID (dispositivi di interfaccia umana, tastiere, mouse, gamepad, touchpad), che consente di implementare la logica per lavorare con un dispositivo HID in JavaScript per organizzare il lavoro con dispositivi HID rari senza il presenza di driver specifici nel sistema. Innanzitutto la nuova API mira a fornire supporto ai gamepad.
• Aggiunta API Web NFC, che consente alle applicazioni Web di leggere e scrivere tag NFC. Esempi di utilizzo della nuova API nelle applicazioni web includono la fornitura di informazioni sulle mostre dei musei, la conduzione di inventari, l'ottenimento di informazioni dai badge dei partecipanti alla conferenza, ecc. I tag vengono inviati e scansionati utilizzando gli oggetti NDEFWriter e NDEFReader.
• L'API Web Share (oggetto navigator.share) è stata estesa oltre i dispositivi mobili ed è ora disponibile per gli utenti di browser desktop (attualmente solo per Windows e Chrome OS). La Web Share API fornisce strumenti per condividere informazioni sui social network, ad esempio consente di generare un pulsante unificato per la pubblicazione sui social network utilizzati dal visitatore, oppure organizzare l'invio di dati ad altre applicazioni.
• Le versioni Android e il componente WebView includono il supporto per la decodifica del formato immagine AVIF (AV1 Image Format), che utilizza tecnologie di compressione intra-frame dal formato di codifica video AV1 (nelle versioni desktop, il supporto AVIF era incluso in Chrome 85). Il contenitore per la distribuzione dei dati compressi in AVIF è del tutto simile a HEIF. AVIF supporta sia le immagini in HDR (High Dynamic Range) che lo spazio colore Wide-gamut, nonché in gamma dinamica standard (SDR).
• Aggiunta una nuova API di reporting per ottenere informazioni sulle violazioni delle regole di utilizzo sicuro nella pagina delle operazioni privilegiate specificate tramite l'intestazione COOP (Cross-Origin-Opener-Policy), che consente anche di mettere COOP in modalità debug, che funziona senza bloccare le violazioni delle regole.
• Aggiunta la funzione performance.measureUserAgentSpecificMemory(), che determina la quantità di memoria consumata durante l'elaborazione di una pagina.
• Per conformarsi agli standard web, tutti gli URL "dati:" sono ora trattati come potenzialmente affidabili, ovvero fanno parte di un contesto protetto.
• L'API Streams ha aggiunto il supporto per Byte Streams, che sono appositamente ottimizzati per il trasferimento efficiente di set arbitrari di byte e riducono al minimo il numero di operazioni di copia dei dati. L'output del flusso può essere scritto su primitive come stringhe o ArrayBuffer.
• Gli elementi SVG ora supportano la sintassi completa della proprietà "filter", consentendo l'applicazione simultanea di funzioni di filtro come blur(), sepia() e greyscale() a elementi SVG e non SVG.
• Il CSS implementa uno pseudo-elemento “::target-text”, che può essere utilizzato per evidenziare il frammento verso il quale è stato navigato il testo (scroll-to-text) in uno stile diverso da quello utilizzato dal browser quando evidenzia ciò che è stato trovato.
• Aggiunte proprietà CSS per controllare l'arrotondamento degli angoli: border-start-start-radius, border-start-end-radius, border-end-start-radius, border-end-end-radius.
• Aggiunta la proprietà CSS dei colori forzati per determinare se il browser utilizza una tavolozza di colori limitata specificata dall'utente su una pagina.
• Aggiunta la proprietà CSS di regolazione forzata del colore per disabilitare i vincoli di colore forzati per i singoli elementi, lasciando loro il controllo completo del colore CSS.
• JavaScript consente l'uso della parola chiave wait nei moduli al livello più alto, il che consente alle chiamate asincrone di essere integrate più agevolmente nel processo di caricamento del modulo e senza dover essere racchiuse in una "funzione asincrona". Ad esempio, invece di (async function() { attendono Promise.resolve(console.log('test')); }()); ora puoi scrivere wait Promise.resolve(console.log('test'));
• Nel motore JavaScript V8, le chiamate alle funzioni vengono accelerate nelle situazioni in cui il numero di argomenti passati non corrisponde ai parametri definiti nella funzione. Con una divergenza nel numero di argomenti, le prestazioni sono aumentate dell'11.2% in modalità non JIT e del 40% quando si utilizza JIT TurboFan.
• Gran parte dei piccoli miglioramenti sono stati apportati agli strumenti per gli sviluppatori web.

Oltre alle innovazioni e alle correzioni di bug, la nuova versione elimina 47 vulnerabilità. Molte delle vulnerabilità sono state identificate come risultato di test automatizzati utilizzando gli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono stati identificati problemi critici che consentano di aggirare tutti i livelli di protezione del browser ed eseguire codice sul sistema al di fuori dell'ambiente sandbox. Si noti che una delle vulnerabilità corrette (CVE-2021-21166), relativa alla durata degli oggetti nel sottosistema audio, ha la natura di un problema di 0 giorni ed è stata utilizzata in uno degli exploit prima della correzione. Nell'ambito del programma di pagamento di premi in denaro per la scoperta di vulnerabilità per la versione attuale, Google ha pagato 33 premi del valore di 61000 dollari (due premi da 10000 dollari, due premi da 7500 dollari, tre premi da 5000 dollari, due premi da 3000 dollari, quattro premi da 1000 dollari e due premi da 500 dollari). L'entità delle 18 ricompense non è stata ancora determinata.

Fonte: opennet.ru