Google ha pubblicato il rilascio del web browser Chrome 123. È disponibile anche una versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, per la presenza di un sistema di notifica in caso di crash, per i moduli per la riproduzione di contenuti video protetti da copyright (DRM), per il sistema di aggiornamenti automatici, per l'inclusione costante della sandbox, per la fornitura delle chiavi API di Google e per la trasmissione dei parametri RLZ durante le ricerche. Per chi ha bisogno di più tempo per gli aggiornamenti, è supportata separatamente la branca Extended Stable, accompagnata da 8 settimane. Il prossimo rilascio di Chrome 124 è previsto per il 16 aprile.
Principali novità in Chrome 123:
- Nella pagina mostrata all'apertura di una nuova scheda, è stata aggiunta una nuova sezione che visualizza i collegamenti delle schede recentemente aperte su altri dispositivi collegati allo stesso account Google.
- È stata aggiunta la supporto per la codifica dei contenuti tramite l'algoritmo di compressione Zstandard (zstd), oltre agli algoritmi di compressione già supportati gzip, brotli e deflate.
- È stata rimossa l'implementazione del codec video open source Theora, sviluppato dalla Xiph.org Foundation basata sul codec VP3 e supportato in Firefox e Chrome dal 2009, ma non in Chrome per Android e nei browser basati su WebKit come Safari. Come motivo per la cessazione del supporto di Theora vengono citate preoccupazioni che nell'implementazione di Theora, che presenta una logica di analisi dei dati binari e decodifica dei flussi piuttosto complessa, possano essere presenti vulnerabilità simili agli recenti problemi critici con il codificatore VP8. Secondo gli sviluppatori, a causa dell'aumento degli attacchi zero-day sui codec multimediali, i rischi per la sicurezza superano l'effettivo livello di utilizzo del codec Theora, che è quasi inesistente nella pratica, ma rimane un obiettivo significativo per potenziali attacchi.
- È proseguita l'espansione graduale della percentuale di utenti per i quali è disattivato il supporto ai cookie di terze parti, impostati quando si visitano siti diversi dal dominio della pagina corrente. Questi cookie vengono utilizzati per monitorare i movimenti dell'utente tra i siti all'interno del codice delle reti pubblicitarie, dei widget dei social media e dei sistemi di web analytics. Le modifiche sono promosse nell'ambito dell'iniziativa Privacy Sandbox, mirata a trovare un compromesso tra la necessità degli utenti di mantenere la riservatezza e il desiderio delle reti pubblicitarie e dei siti di monitorare le preferenze dei visitatori. La disattivazione dei cookie di terze parti è prevista per essere ampliata gradualmente e raggiungere il 100% nel terzo trimestre del 2024. Per disattivare questa funzione senza attendere cambiamenti esterni, è prevista l'impostazione "chrome://flags/#test-third-party-cookie-phaseout".
- Per una piccola percentuale di utenti negli Stati Uniti, è stata introdotta la supporto per funzionalità che utilizzano l'intelligenza artificiale — la modalità di raggruppamento intelligente delle schede, il generatore di temi e l'assistente interattivo, come annunciato nel lancio di Chrome 121. Per i sistemi con gestione centralizzata della configurazione, l'amministratore può attivare gli strumenti AI a livello di policy, senza dover abilitare la modalità sperimentale.
- Nel servizio di sincronizzazione delle impostazioni, della cronologia e dei segnalibri (Chrome Sync) è stata interrotta la supporto per le versioni precedenti alla versione Chrome 82.
- Attivando la protezione avanzata del browser (Protezione sicura > Protezione avanzata), viene effettuato l'invio a Google di informazioni relative alle richieste di permessi avanzati effettuate dai siti (queste pagine vengono verificate in base a un database esterno di contenuti dannosi e, in caso di corrispondenza, l'utente riceve immediatamente un avviso). È stata inoltre attivata l'invio di telemetria riguardo all'annullamento da parte dell'utente degli avvisi mostrati prima di aprire le pagine inserite da Google nella lista nera.
- Google ha pubblicato un articolo che spiega i metodi utilizzati per verificare la sicurezza delle pagine aperte dagli utenti confrontandole con un database di contenuti dannosi ospitati esternamente. serverPer garantire la riservatezza, durante la verifica degli URL aperti dagli utenti, vengono trasmessi a Google solo i prefissi dei valori hash, comprendenti i primi 4 byte dell'hash e non gli hash completi. Questi server prefissi vengono controllati nel database delle pagine dannose e, in caso di corrispondenza, l'elenco degli hash completi corrispondenti viene restituito al browser dell'utente, dove viene eseguita la verifica finale con l'hash completo di 32 byte dell'URL. Per evitare che la richiesta sia associata all'indirizzo IP dell'utente, il prefisso dell'hash viene inizialmente inviato a un proxy intermedio, che inoltra la richiesta al server del sistema Safe Browsing a nome suo.
- È stata implementata la visualizzazione di avvisi nella console degli strumenti per sviluppatori web quando un sito invia una richiesta alla rete interna (192.168.x.x, 10.x.x.x, ecc.) se tali richieste vengono effettuate al di fuori di un contesto sicuro e non superano il controllo preventivo. Prima dell'invio effettivo della richiesta avviata dal sito a una risorsa nella rete interna, il browser invierà inizialmente una richiesta di test preventiva e controllerà se il server restituisce l'intestazione HTTP "Access-Control-Allow-Private-Network: true", che consente l'accesso alla rete intranet. Se l'accesso non è consentito, si ha una tentata interazione non autorizzata con un servizio interno, il che potrebbe indicare un tentativo di attacco tramite il browser alle risorse nella rete locale (ad esempio, un aggressore può inserire in un iframe una richiesta all'interfaccia web del router domestico, del tipo ""). Nella versione Chrome 130, l'avviso verrà sostituito con un messaggio di errore e verranno bloccate le richieste non verificate.
- In Chrome per Android e iOS è stata aggiunta la possibilità di continuare la navigazione su siti precedentemente visitati da altri dispositivi collegati allo stesso account Google.
- In Chrome per Android è stato modificato il metodo di archiviazione delle password locali che non vengono sincronizzate con altri dispositivi. In precedenza, le password locali venivano memorizzate nel profilo Chrome, ma ora saranno trasferite nel sistema di archiviazione delle password fornito dai servizi Google Play, già utilizzato per memorizzare la password dell'account Google. In Chrome 123, la nuova modalità di archiviazione è attivata per gli utenti senza password locali, mentre nella versione Chrome 124 verrà applicata agli utenti con password locali.
- È stata aggiunta un'API per il routing statico dei Service Worker (Service Worker Static Routing), che consente di escludere l'esecuzione di JavaScript e l'intercettazione da parte dei Service Worker quando si richiedono risorse che soddisfano determinati criteri. In altre parole, l'API permette di definire come caricare determinate risorse e di disabilitare l'invocazione del Service Worker per risorse che possono essere estratte dalla cache o caricate direttamente. Possono essere utilizzati modelli di URL, metodi di richiesta, tipi di contenuto (documento, embedded, font, video, ecc.) e stato di esecuzione («running», «not-running») come parametri decisionali. Ad esempio, per inviare una richiesta POST con i dati di un modulo web direttamente, senza invocare il Service Worker, si può specificare: addEventListener('install', (event) => { event.addRoutes({ condition: { urlPattern: '/form/*', requestMethod: 'post' }, source: 'network' }); });
- In CSS è stata aggiunta la funzione light-dark() per adattare la color scheme alle impostazioni della modalità chiara o scura. Nella funzione è possibile specificare due valori, che verranno scelti in base alla modalità chiara o scura. Ad esempio «background-color: light-dark(lime, green);».
- È stato aggiunto l'API Long Animation Frames per diagnosticare la reattività dell'interfaccia del sito e identificare i colli di bottiglia nel rendering.
- È stata aggiunta la supporto al valore «picture-in-picture» nella media query «display-mode», consentendo la creazione di regole CSS applicabili solo quando l'app web è visualizzata in modalità «picture-in-picture». @media all and (display-mode: picture-in-picture) { body { margin: 0; } h1 { font-size: 0.8em; } }
- Nell'attributo CSS «align-content» è stata implementata la possibilità di lavorare con contenitori a blocchi e celle di una tabella. Ad esempio, «display: block», «display: list-item», «display: table-cell» possono ora essere allineati utilizzando «align-content».
- È stata aggiunta la proprietà CSS «field-sizing», che consente di rendere la dimensione degli elementi del modulo dipendente dal loro contenuto, ad esempio, per aumentare automaticamente la dimensione di un campo di testo man mano che i dati vengono inseriti.
- Nell'interfaccia JavaScript NavigationActivation è stato aggiunto il parametro navigation.activation, che riflette lo stato di attivazione del documento (ad esempio, è possibile determinare che il documento è stato ripristinato dalla cache dopo aver premuto i pulsanti di navigazione "avanti" o "indietro"). Questo parametro può essere utilizzato per personalizzare il contenuto della pagina in base alla provenienza dell'utente, ad esempio, può essere visualizzata un'animazione diversa se l'utente è arrivato dalla homepage.
- Miglioramenti sono stati apportati agli strumenti per gli sviluppatori web.
Oltre alle nuove funzionalità e correzioni di bug, la nuova versione ha risolto 12 vulnerabilità. Molte vulnerabilità sono state individuate grazie a test automatizzati effettuati con strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state rilevate problematiche critiche che consentano di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità per la versione attuale, Google ha assegnato 7 premi per un totale di 22.000 dollari (composto da un premio di $10.000, uno di $4.000, uno di $3.000 e uno di $1.000, e due premi di $2.000). L'importo di una ricompensa non è ancora stato definito.
Fonte: opennet.ru
