Rilascio di Chrome 92

Google ha lanciato la versione 92 del browser web Chrome. È disponibile anche una versione stabile del progetto open-source Chromium, che funge da base per Chrome. Il browser Chrome si distingue per l'uso dei loghi Google, per un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici e per la trasmissione dei parametri RLZ durante le ricerche. La prossima versione, Chrome 93, è prevista per il 31 agosto.

Principali cambiamenti in Chrome 92:

• Nelle impostazioni sono stati aggiunti strumenti per gestire l'attivazione dei componenti del Privacy Sandbox. Gli utenti hanno la possibilità di disattivare la tecnologia FLoC (Federated Learning of Cohorts), sviluppata da Google per sostituire i cookie di tracciamento con «coorti», che permettono di raggruppare gli utenti con interessi simili senza identificare singole persone. Le coorti vengono calcolate sul lato del browser attraverso l'applicazione di algoritmi di apprendimento automatico ai dati della cronologia di navigazione e al contenuto visualizzato nel browser.
• Per gli utenti dei sistemi desktop è attivato per impostazione predefinita il caching di navigazione (Back-forward cache), che consente un passaggio istantaneo utilizzando i pulsanti "Indietro" e "Avanti" o durante la navigazione tra le pagine precedentemente visitate del sito corrente. In precedenza, il caching di navigazione era disponibile solo nelle versioni per la piattaforma Android.
• Rafforzata l'isolamento dei siti e delle estensioni in processi diversi. Se prima il meccanismo di Isolamento dei Siti garantiva l'isolamento dei siti tra loro in processi diversi, oltre a separare tutte le estensioni in un processo unico, nella nuova versione è stata implementata una separazione delle estensioni del browser tra di loro, trasferendo ogni estensione in un processo separato, il che ha creato un ulteriore barriera per proteggere contro estensioni dannose.
• Le prestazioni e l'efficacia nel rilevamento del phishing sono state significativamente aumentate. La velocità di rilevamento del phishing, basata su un'analisi locale delle immagini, è aumentata fino a 50 volte nella metà dei casi, ed è risultata più veloce di almeno 2,5 volte nel 99% dei casi. In media, il tempo di classificazione del phishing per un'immagine è sceso da 1,8 secondi a 100 ms. In generale, il carico sulla CPU generato da tutti i processi di rendering è diminuito dell'1,2%.
• I porti di rete vietati sono stati ampliati per includere i porti 989 (ftps-data) e 990 (ftps). I porti già bloccati in precedenza includono 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080. Per i porti in blacklist, viene bloccato l'invio di richieste HTTP, HTTPS e FTP per proteggere contro l'attacco NAT slipstreaming, che consente, aprendo una pagina web appositamente preparata dall'attaccante nel browser, di stabilire una connessione di rete dal server dell'attaccante a qualsiasi porta UDP o TCP nel sistema dell'utente, nonostante l'uso di intervalli di indirizzi privati (192.168.x.x, 10.x.x.x).
• È stato introdotto l'obbligo di applicare la verifica in due passaggi per gli sviluppatori al momento della pubblicazione di nuovi componenti o aggiornamenti di versioni nel Chrome Web Store.
• È garantita la disattivazione delle estensioni già installate nel browser se vengono rimosse dallo store Chrome Web Store a causa di violazioni delle norme.
• Quando si inviano richieste DNS, nel caso si utilizzino server DNS classici, oltre ai record «A» e «AAAA» per la determinazione IP addresses ora viene richiesta anche la registrazione DNS «HTTPS», attraverso la quale vengono trasmessi i parametri che consentono di accelerare l'installazione delle connessioni HTTPS, come le impostazioni del protocollo, le chiavi per la crittografia TLS ClientHello e l'elenco dei sottodomini alias.
• Dai blocchi iframe caricati da domini, diversi dal dominio della pagina attuale, è vietata la chiamata ai dialoghi JavaScript window.alert, window.confirm e window.prompt. Questa modifica proteggerà gli utenti da abusi legati a tentativi di presentare una notifica esterna come richiesta del sito principale.
• Nella pagina della nuova scheda è garantita la visualizzazione di un elenco dei documenti più richiesti salvati su Google Drive.
• È stata fornita la possibilità di modificare il nome e l'icona per le applicazioni PWA (Progressive Web Apps).
• Per un numero casuale di web form relativi all'inserimento di un indirizzo o di un numero di carta di credito, sarà disabilitato l'output delle raccomandazioni per il completamento automatico come esperimento.
• Nella versione desktop, l'opzione di ricerca per immagine (voce 'Trova immagine' nel menu contestuale) è stata modificata per utilizzare il servizio Google Lens al posto del normale motore di ricerca Google. Cliccando sul pulsante corrispondente nel menu contestuale, l'utente verrà reindirizzato a un'applicazione web separata.
• Nell'interfaccia della modalità 'incognito' sono stati rimossi i collegamenti alla cronologia delle visite (i collegamenti erano inutili, poiché portavano all'apertura di una pagina con informazioni sul fatto che la cronologia non viene raccolta).
• Sono stati aggiunti nuovi comandi interpretati durante l'inserimento nella barra degli indirizzi. Ad esempio, per visualizzare il pulsante per accedere alla pagina di verifica della sicurezza di password e estensioni basta digitare 'safety check', mentre per accedere alle impostazioni di sicurezza e sincronizzazione è sufficiente digitare 'manage security settings' e 'manage sync'.
• Modifiche specifiche nella versione di Chrome per Android:
  • Nel pannello è stata implementata un nuovo pulsante personalizzabile "Magic Toolbar", che mostra diverse scorciatoie selezionate in base all'attività corrente dell'utente e include collegamenti che potrebbero essere utili in questo momento.
  • È stata aggiornata l'implementazione del modello di machine learning eseguito sul dispositivo per rilevare i tentativi di phishing. Al rilevamento di tentativi di phishing, oltre a visualizzare una pagina di avviso, il browser ora invierà al servizio esterno Safe Browsing informazioni sulla versione del modello di machine learning, sul peso calcolato per ciascuna categoria e sul flag di utilizzo del nuovo modello.
  • È stata rimossa l'impostazione "Mostra suggerimenti per pagine simili quando una pagina non può essere trovata", che portava a consigliare pagine simili basate sull'invio di una richiesta a Google, se la pagina non veniva trovata. In precedenza, questa impostazione era già stata rimossa dalla versione per sistemi desktop.
  • È stata ampliata l'applicazione della modalità di isolamento dei siti in processi separati. Per motivi di consumo delle risorse, fino ad ora solo alcuni importanti siti erano stati trasferiti in processi separati. Nella nuova versione, l'isolamento sarà applicato anche ai siti a cui l'utente ha effettuato l'accesso utilizzando l'autenticazione tramite OAuth (ad esempio, l'accesso tramite Google Account) o che espongono l'intestazione HTTP Cross-Origin-Opener-Policy. Per chi desidera abilitare l'isolamento in processi separati per tutti i siti, è disponibile l'impostazione "chrome://flags/#enable-site-per-process".
  • Sono state disattivate le misure di protezione integrate nel motore V8 contro gli attacchi tramite canali esterni, come lo Spectre, ritenute non così efficaci come l'isolamento dei siti in processi separati. Nella versione desktop, queste misure erano state disattivate già nella release di Chrome 70.
  • È stato semplificato l'accesso alle impostazioni delle autorizzazioni del sito, come l'accesso al microfono, alla videocamera e alla localizzazione. Per visualizzare l'elenco delle autorizzazioni, basta cliccare sul simbolo del lucchetto nella barra degli indirizzi e poi selezionare la sezione "Permissions".
• Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata), sono state aggiunte diverse nuove API. L'Origin Trial permette l'accesso a queste API da applicazioni caricate da localhost o 127.0.0.1, oppure dopo registrazione e ottenimento di un token speciale, valido per un tempo limitato per un sito specifico.
  • API File Handling, che consente di registrare le web app come gestori di file. Ad esempio, un'app web che funziona in modalità PWA (Progressive Web Apps) con un editor di testo può registrarsi come gestore di file ".txt", diventando così utilizzabile nel gestore di file del sistema per aprire file di testo.
  • API Shared Element Transitions, che consente di utilizzare effetti predefiniti forniti dal browser per visualizzare il cambiamento di stato dell'interfaccia in applicazioni web a pagina singola (SPA, single-page applications) e applicazioni web a più pagine (MPA, multi-page applications).
• Nella regola CSS @font-face è stato aggiunto il parametro size-adjust, che consente di scalare le dimensioni del glifo per uno specifico peso del font senza modificare il valore della proprietà CSS font-size (l'area sotto il carattere rimane la stessa, ma cambia la dimensione del glifo in quest'area).
• In JavaScript, gli oggetti Array, String e TypedArray implementano il metodo at(), che consente di utilizzare l'indicizzazione relativa (si specifica la posizione relativa come indice dell'array), inclusa l'indicizzazione negativa rispetto alla fine (ad esempio, «arr.at(-1)» restituirà l'ultimo elemento dell'array).
• Nel costruttore JavaScript Intl.DateTimeFormat è stata aggiunta la proprietà dayPeriod, che permette di restituire un'indicazione approssimativa del momento della giornata (mattina, sera, giorno, notte).
• L'uso degli oggetti SharedArrayBuffers, che consentono di creare array in memoria condivisa, richiede ora la definizione degli header HTTP Cross-Origin-Opener-Policy e Cross-Origin-Embedder-Policy, senza i quali la richiesta verrà bloccata.
• Nell'API Media Session sono state aggiunte le azioni «togglemicrophone», «togglecamera» e «hangup», che consentono ai siti che implementano sistemi di videoconferenza di allegare i propri gestori per i pulsanti di attivazione/disattivazione del microfono, attivazione/disattivazione della camera e chiusura della chiamata mostrati nell'interfaccia picture-in-picture.
• Nell'API Web Bluetooth è stata aggiunta la possibilità di filtrare i dispositivi Bluetooth trovati per ID del produttore e del prodotto. Il filtro è impostato tramite il parametro «options.filters» nel metodo Bluetooth.requestDevice().
• È stata implementata la prima fase di riduzione del contenuto dell'header HTTP User-Agent: nella scheda DevTools Issues ora viene visualizzato un avviso di deprecazione per navigator.userAgent, navigator.appVersion e navigator.platform.
• È stata aggiunta una serie di miglioramenti agli strumenti per gli sviluppatori web. Nella console web è stata fornita la possibilità di sovrascrivere le espressioni "const". Nella scheda Elements, per gli elementi iframe, è stata aggiunta la possibilità di visualizzare rapidamente i dettagli tramite il menu contestuale, che viene mostrato facendo clic con il tasto destro del mouse sull'elemento. Sono stati migliorati il debug degli errori CORS (Cross-origin resource sharing). Nella scheda di ispezione dell'attività di rete è stata aggiunta la possibilità di filtrare le richieste di rete da WebAssembly. È stato introdotto un nuovo editor CSS Grid ("display: grid" e "display: inline-grid") con la funzione di anteprima delle modifiche.

Oltre alle innovazioni e alla correzione di errori, nella nuova versione sono state eliminate 35 vulnerabilità. Molte di queste vulnerabilità sono state identificate grazie a test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state riscontrate problematiche critiche che permettano di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale rilascio, Google ha erogato 24 premi per un totale di 112.000 dollari USA (due premi da 15.000$, quattro premi da 10.000$, un premio da 8.500$, due premi da 7.500$, tre premi da 5.000$, un premio da 3.000$ e un premio da 500$). L'importo di 11 premi deve ancora essere determinato.

Fonte: opennet.ru