Chrome versione 92

Google ha annunciato l'uscita del browser web Chrome 92. Allo stesso tempo è disponibile una versione stabile del progetto gratuito Chromium, che funge da base per Chrome. Il browser Chrome si distingue per l'utilizzo dei loghi di Google, la presenza di un sistema per l'invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema per l'installazione automatica degli aggiornamenti e la trasmissione dei parametri RLZ durante la ricerca. La prossima release di Chrome 93 è prevista per il 31 agosto.

Modifiche principali in Chrome 92:

• Sono stati aggiunti strumenti alle impostazioni per controllare l'inclusione dei componenti Privacy Sandbox. All'utente viene data la possibilità di disattivare la tecnologia FLoC (Federated Learning of Cohorts), sviluppata da Google per sostituire i cookie di tracciamento dei movimenti con "coorti" che consentono di identificare gli utenti con interessi simili senza identificare gli individui. Le coorti vengono calcolate lato browser applicando algoritmi di apprendimento automatico ai dati e ai contenuti della cronologia di navigazione aperti nel browser.
• Per gli utenti desktop, la cache Back-forward è abilitata per impostazione predefinita, fornendo una navigazione istantanea quando si utilizzano i pulsanti Indietro e Avanti o quando si naviga tra le pagine visualizzate in precedenza del sito corrente. In precedenza, la jump cache era disponibile solo nelle build per la piattaforma Android.
• Maggiore isolamento di siti e componenti aggiuntivi in ​​diversi processi. Se in precedenza il meccanismo di isolamento del sito assicurava l'isolamento dei siti gli uni dagli altri in processi diversi e separava anche tutti i componenti aggiuntivi in ​​un processo separato, la nuova versione implementa la separazione dei componenti aggiuntivi del browser gli uni dagli altri spostando ciascun componente aggiuntivo in un processo separato, che ha permesso di creare un'altra barriera alla protezione da componenti aggiuntivi dannosi.
• Produttività ed efficienza del rilevamento del phishing notevolmente aumentate. Nella metà dei casi la velocità di rilevamento del phishing sulla base dell'analisi locale delle immagini è aumentata fino a 50 volte e nel 99% dei casi è risultata almeno 2.5 volte più veloce. In media, il tempo necessario per classificare il phishing per immagine è diminuito da 1.8 secondi a 100 ms. Nel complesso, il carico della CPU creato da tutti i processi di rendering è diminuito dell'1.2%.
• Le porte 989 (ftps-data) e 990 (ftps) sono state aggiunte all'elenco delle porte di rete vietate. In precedenza erano già bloccate le porte 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 e 10080. Per le porte nella lista nera, l'invio di richieste HTTP, HTTPS e FTP è bloccato per protezione dal NAT attacco slipstreaming, che consente, aprendo in un browser una pagina web appositamente predisposta dall'aggressore, di stabilire una connessione di rete dal server dell'aggressore a qualsiasi porta UDP o TCP del sistema dell'utente, nonostante l'utilizzo dell'intervallo di indirizzi interno (192.168.xx , 10.xxx).
• È stato introdotto un requisito per utilizzare la verifica dello sviluppatore a due fattori quando si pubblicano nuove aggiunte o aggiornamenti di versione sul Chrome Web Store.
• Ora è possibile disattivare i componenti aggiuntivi già installati nel browser se vengono rimossi dal Chrome Web Store a causa di una violazione delle regole.
• Quando si inviano query DNS, nel caso di utilizzo di server DNS classici, oltre ai record “A” e “AAAA” per determinare gli indirizzi IP, viene ora richiesto anche il record DNS “HTTPS”, attraverso il quale vengono passati parametri per velocizzare la creazione di connessioni HTTPS, come le impostazioni del protocollo, le chiavi di crittografia TLS ClientHello e un elenco di sottodomini alias.
• È vietato richiamare le finestre di dialogo JavaScript window.alert, window.confirm e window.prompt dai blocchi iframe caricati da domini diversi dal dominio della pagina corrente. La modifica aiuterà a proteggere gli utenti dagli abusi associati ai tentativi di presentare una notifica di terze parti come richiesta dal sito principale.
• La nuova scheda fornisce un elenco dei documenti più popolari salvati su Google Drive.
• È possibile modificare il nome e l'icona per le applicazioni PWA (Progressive Web Apps).
• Per un numero limitato di moduli web casuali che richiedono l'inserimento di un indirizzo o di un numero di carta di credito, i consigli di compilazione automatica verranno disattivati ​​come esperimento.
• Nella versione desktop, l'opzione di ricerca delle immagini (la voce "Trova immagine" nel menu contestuale) è stata modificata per utilizzare il servizio Google Lens invece del solito motore di ricerca di Google. Quando si fa clic sul pulsante corrispondente nel menu contestuale, l'utente verrà reindirizzato a un'applicazione web separata.
• Nell'interfaccia della modalità di navigazione in incognito, i collegamenti alla cronologia di navigazione sono nascosti (i collegamenti sono inutili, poiché portavano all'apertura di uno stub con informazioni che la cronologia non viene raccolta).
• Aggiunti nuovi comandi che vengono analizzati quando immessi nella barra degli indirizzi. Ad esempio, per visualizzare un pulsante per accedere rapidamente alla pagina di controllo della sicurezza di password e componenti aggiuntivi è sufficiente digitare “controllo di sicurezza”, mentre per andare alle impostazioni di sicurezza e sincronizzazione è sufficiente digitare “gestisci impostazioni di sicurezza” e “ gestire la sincronizzazione”.
• Modifiche specifiche nella versione Android di Chrome:
  • Il pannello presenta un nuovo pulsante personalizzabile “Magic Toolbar” che mostra diverse scorciatoie selezionate in base all'attività corrente dell'utente e include i collegamenti che probabilmente saranno necessari al momento.
  • È stata aggiornata l'implementazione del modello di machine learning sul dispositivo per rilevare i tentativi di phishing. Quando vengono rilevati tentativi di phishing, oltre a visualizzare una pagina di avviso, il browser invierà ora informazioni sulla versione del modello di machine learning, il peso calcolato per ciascuna categoria e il flag per applicare il nuovo modello al servizio esterno Navigazione sicura .
  • Rimossa l'impostazione "Mostra suggerimenti per pagine simili quando una pagina non può essere trovata", che faceva sì che pagine simili venissero consigliate in base all'invio di una query a Google se la pagina non veniva trovata. Questa impostazione era stata precedentemente rimossa dalla versione desktop.
  • L'uso della modalità di isolamento del sito per i singoli processi è stato ampliato. Per motivi di consumo di risorse, finora solo le grandi sedi selezionate sono state spostate in processi separati. Nella nuova versione, l'isolamento inizierà ad applicarsi anche ai siti ai quali l'utente ha effettuato l'accesso con autenticazione tramite OAuth (ad esempio, collegandosi tramite un account Google) o che impostano l'intestazione HTTP Cross-Origin-Opener-Policy. Per coloro che desiderano abilitare l'isolamento nei singoli processi di tutti i siti, viene fornita l'impostazione "chrome://flags/#enable-site-per-process".
  • I meccanismi di protezione integrati del motore V8 contro gli attacchi side-channel come Spectre sono disabilitati, che non sono considerati efficaci quanto isolare i siti in processi separati. Nella versione desktop, questi meccanismi erano disabilitati già nella versione di Chrome 70.
  • Accesso semplificato alle impostazioni delle autorizzazioni del sito, come microfono, fotocamera e accesso alla posizione. Per visualizzare un elenco di permessi è sufficiente fare clic sul simbolo del lucchetto nella barra degli indirizzi, quindi selezionare la sezione "Autorizzazioni".
• Diverse nuove API sono state aggiunte alla modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata). Origin Trial implica la possibilità di lavorare con l'API specificata dalle applicazioni scaricate da localhost o 127.0.0.1, o dopo la registrazione e la ricezione di un token speciale valido per un periodo di tempo limitato per un sito specifico.
  • API File Handling, che consente di registrare le applicazioni Web come gestori di file. Ad esempio, un'applicazione Web eseguita in modalità PWA (Progressive Web Apps) con un editor di testo può registrarsi come gestore di file ".txt", dopodiché può essere utilizzata nel file manager di sistema per aprire file di testo.
  • API Shared Element Transitions, che consente di utilizzare effetti già pronti forniti dal browser che visualizzano i cambiamenti nello stato dell'interfaccia in modalità a pagina singola (SPA, applicazioni a pagina singola) e multipagina (MPA, applicazioni a più pagina ) applicazioni web.
• Il parametro size-adjust è stato aggiunto alla regola CSS @font-face, che consente di ridimensionare la dimensione del glifo per uno stile di carattere specifico senza modificare il valore della proprietà CSS font-size (l'area sotto il carattere rimane la stessa , ma la dimensione del glifo in quest'area cambia).
• In JavaScript, gli oggetti Array, String e TypedArray implementano il metodo at(), che consente di utilizzare l'indicizzazione relativa (la posizione relativa è specificata come indice dell'array), inclusa la specifica di valori negativi relativi alla fine (ad esempio, "arr.at(-1)" restituirà l'ultimo elemento dell'array).
• Al costruttore JavaScript Intl.DateTimeFormat è stata aggiunta la proprietà dayPeriod che consente di visualizzare l'ora approssimativa della giornata (mattina, sera, pomeriggio, notte).
• Quando si utilizzano oggetti SharedArrayBuffers, che consentono di creare array nella memoria condivisa, è ora necessario definire gli header HTTP Cross-Origin-Opener-Policy e Cross-Origin-Embedder-Policy, senza i quali la richiesta verrà bloccata.
• Le azioni "attiva microfono", "attiva fotocamera" e "riaggancia" sono state aggiunte all'API Media Session, consentendo ai siti che implementano sistemi di videoconferenza di collegare i propri gestori per i pulsanti disattiva/attiva audio, disattiva/attiva fotocamera e termina mostrati nella chiamata dell'interfaccia immagine nell'immagine.
• L'API Web Bluetooth ha aggiunto la possibilità di filtrare i dispositivi Bluetooth trovati in base al produttore e agli identificatori del prodotto. Il filtro viene impostato tramite il parametro "options.filters" nel metodo Bluetooth.requestDevice().
• È stata implementata la prima fase di taglio dei contenuti dell'intestazione HTTP User-Agent: la scheda Problemi di DevTools ora mostra un avviso sulla deprecazione di navigator.userAgent, navigator.appVersion e navigator.platform.
• Sono stati apportati alcuni miglioramenti agli strumenti per gli sviluppatori web. La console Web offre la possibilità di ridefinire le espressioni "const". Nel pannello Elementi, gli elementi iframe hanno la capacità di visualizzare rapidamente i dettagli tramite un menu contestuale che appare quando fai clic con il pulsante destro del mouse sull'elemento. Miglioramento del debug degli errori CORS (condivisione di risorse tra origini). La possibilità di filtrare le richieste di rete da WebAssembly è stata aggiunta al pannello di ispezione dell'attività di rete. È stato proposto un nuovo editor CSS Grid (“display: grid” e “display: inline-grid”) con una funzione per visualizzare in anteprima le modifiche.

Oltre alle innovazioni e alle correzioni di bug, la nuova versione elimina 35 vulnerabilità. Molte delle vulnerabilità sono state identificate come risultato di test automatizzati utilizzando gli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono stati identificati problemi critici che consentano di aggirare tutti i livelli di protezione del browser ed eseguire codice sul sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di pagamento di premi in denaro per la scoperta di vulnerabilità per la versione attuale, Google ha pagato 24 premi del valore di 112000 dollari (due premi da 15000 dollari, quattro premi da 10000 dollari, un premio da 8500 dollari, due premi da 7500 dollari, tre premi da 5000 dollari, un premio da 3000 dollari e uno da 500 dollari). ). La dimensione di 11 premi non è stata ancora determinata.

Fonte: opennet.ru