Google ha pubblicato il rilascio del browser web Chrome 145. È disponibile anche la versione stabile del progetto open source Chromium, che funge da base per Chrome. Chrome differisce da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamento automatico, la costante attivazione della Sandbox per l'isolamento, la fornitura di chiavi per le API Google e la trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per l'aggiornamento, è supportata separatamente la versione Extended Stable, che viene mantenuta per 8 settimane. Il prossimo rilascio di Chrome 146 è programmato per il 10 marzo.
Principali novità in Chrome 145:
- È stata aggiunta la supporto per il formato delle immagini JPEG XL, per il quale viene utilizzata la libreria jxl-rs con l'implementazione di JPEG-XL in Rust. Il supporto JPEG XL è attualmente disabilitato per impostazione predefinita e richiede l'attivazione dell'opzione ‘chrome://flags/#enable-jxl-image-format’.
- È proseguito lo sviluppo della modalità AI, che consente di interagire con un agente AI dalla barra degli indirizzi o dalla pagina visualizzata all'apertura di una nuova scheda. La modalità AI permette di porre domande complesse in linguaggio naturale e di ricevere risposte attraverso l'aggregazione delle informazioni dalle pagine più rilevanti sull'argomento. Se necessario, l'utente può precisare le informazioni con domande mirate. La modalità consente anche di chiedere informazioni sul contenuto della pagina direttamente dalla barra degli indirizzi. In Chrome 145, la modalità AI è disponibile nelle versioni per le piattaforme Android e iOS. Per gli utenti in Canada, India e Nuova Zelanda, è iniziato l'inserimento predefinito del chatbot Gemini (quando si utilizza la lingua inglese).
- È stato aggiunto il meccanismo DBSC (Device Bound Session Credentials), che consente di collegare la sessione di autenticazione sul sito a un dispositivo specifico per complicare gli attacchi da altre sistemi che utilizzano cookie di sessione intercettati. Per creare una sessione legata al dispositivo, è stato proposto l'intestazione HTTP "Secure-Session-Registration". Il metodo di protezione consiste nella fornitura di una coppia di chiavi crittografiche legate all'attuale dispositivo, generate al momento della connessione e salvate nel TPM (Trusted Platform Module). Nella sessione vengono utilizzati cookie con un breve tempo di vita, che vengono aggiornati periodicamente utilizzando la chiave private e possono essere verificati con la chiave pubblica.
- È stata rimossa la possibilità di disabilitare il blocco delle estensioni del browser forzatamente installate, in cui sono state riscontrate violazioni non significative delle regole del catalogo Chrome Web Store. Tra le violazioni non significative si annoverano la presenza di potenziali vulnerabilità, l'imposizione di un'estensione senza il consenso dell'utente, la manipolazione dei metadati, la violazione delle regole riguardanti i dati degli utenti e l'inganno sulle funzionalità.
- Nella versione per Android, attivando la modalità di protezione avanzata (AAPM, Android Advanced Protection Mode), l'API Javascript WebGPU è disattivata. I siti che utilizzano WebGPU per il rendering di contenuti 3D (come Google Maps) possono dover ricorrere ad alternative più lente, come WebGL (risultando fino al 5.78% più lente nei test). Per determinare se WebGPU è disattivata, è possibile utilizzare la proprietà navigator.gpu.
- Nella versione per Android, attivando la modalità di navigazione sicura avanzata (Enhanced Safe Browsing), è implementata un'analisi locale dell'aspetto delle pagine per rilevare segni di frode. Se il controllo locale solleva sospetti su contenuti discutibili, viene eseguita una verifica aggiuntiva sui server di Google e, in caso di conferma, viene emesso un avviso all'utente.
- È stato aggiunto l'API Origin, che fornisce un oggetto Origin implementando il concetto di Web Origin e offrendo metodi per il confronto, la serializzazione e l'analisi del Web Origin. Il termine "Web Origin" è definito nella RFC 6454 per delimitare i confini di isolamento e fiducia nei contenuti. Il Web Origin comprende la parte dell'URL con il nome del protocollo, il nome host e il numero della porta (ad esempio, https://opennet.ru). Il nuovo API è stato introdotto per unificare le operazioni relative al Web Origin, per prevenire vulnerabilità derivanti da confronti errati delle rappresentazioni ASCII serializzate del Web Origin nella determinazione dell'appartenenza delle risorse a un unico sito.
- Sono stati separati i diritti di accesso al sistema locale durante le interazioni con i siti pubblici. Le richieste dal sito a indirizzi IP Ora le reti locali (intranet o indirizzi interni) e l'interfaccia di loopback (127.0.0.0/8) vengono gestite con autorizzazioni diverse (local-network e loopback-network), richiedendo all'utente di confermare l'operazione in un apposito dialogo. La protezione si applica ai tentativi di caricare risorse, alle richieste fetch() e alle inserzioni iframe. L'accesso alle risorse interne è utilizzato dai malintenzionati per effettuare attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale. Inoltre, la scansione delle risorse interne può essere utilizzata per identificazioni indirette o per raccogliere informazioni sulla rete locale.
- La configurazione UserAgentReduction è stata rimossa, che consentiva di restituire informazioni non ridotte nell'intestazione HTTP User-Agent e nei parametri JavaScript navigator.userAgent, navigator.appVersion e navigator.platform. Il browser ora invia sempre una versione abbreviata del User-Agent senza dettagli sulla piattaforma (ad esempio, "Android 16; S" invece di "Android 16; SM-A205U").
- Nel visualizzatore PDF integrato è stata aggiunta la possibilità di salvare il documento nello spazio di archiviazione cloud Google Drive. In Google Drive, i documenti da Chrome vengono salvati nella cartella 'Salvati da Chrome'.
- L'API LayoutShift, che consente di monitorare le modifiche di posizione degli elementi DOM sullo schermo, è stata aggiornata per fornire informazioni in pixel CSS anziché in pixel dello schermo. Il pixel CSS tiene conto della DPI dello schermo ed è visivamente equivalente su qualsiasi schermo, inclusi quelli ad alta densità di pixel. Questa modifica è stata effettuata per uniformare Chrome al comportamento degli altri browser.
- Per l'API Controlled Frame è stato implementato il metodo WebRequest.SecurityInfo, che consente a un'applicazione web di intercettare richieste HTTPS, WSS o WebTransport verso il server e ottenere un'istantanea del certificato. server Questa può essere utilizzata per la verifica manuale del certificato utilizzato per la connessione diretta con lo stesso server tramite TCP/UDP.
- È stata aggiunta la supporto per le proprietà CSS column-wrap e column-height, definite nella specifica CSS Multi-column Layout 2. La proprietà column-wrap consente di spostare le colonne su una nuova riga anziché utilizzare lo scroll orizzontale, se le colonne non si adattano all'altezza specificata tramite la proprietà column-height.
- È stata aggiunta la proprietà CSS text-justify, che consente di definire il tipo di allineamento del testo quando si utilizza «text-align: justify»;
- Nelle proprietà CSS letter-spacing e word-spacing ora è consentita l'indicazione della dimensione dell'indentazione in percentuale.
- Nella specifica degli oggetti JavaScript Map e WeakMap è stata implementata la funzionalità «upsert», che semplifica il lavoro con le collezioni di coppie chiave/valore. Sono stati aggiunti i metodi getOrInsert e getOrInsertComputed, che restituiscono un valore già presente nella collezione associato alla chiave specificata o creano una nuova voce se la chiave non viene trovata.
- L'implementazione dell'API IndexedDB è stata riscritta utilizzando il database SQLite come backend (l'implementazione precedente si basava su LevelDB in file separati). La nuova versione è attualmente utilizzata solo in contesti caricati in memoria, ad esempio in modalità incognito.
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Nell'interfaccia di ispezione della rete nel pannello «Request conditions» è stata abilitata di default la possibilità di limitare la velocità delle singole richieste di rete.
Oltre alle nuove funzionalità e correzioni di bug, nella nuova versione sono state risolte 11 vulnerabilità. Molte di queste sono state identificate attraverso test automatizzati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state rilevate problematiche critiche che consentirebbero di bypassare tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per questa versione, Google ha assegnato 11 premi, corrispondendo 18.5 mila dollari USA (un premio di $8000, uno di $5000, uno di $2000 e uno di $500, e tre premi di $1000). L'importo di 4 dei premi non è stato ancora definito.
Fonte: opennet.ru
