Uscita del browser web Chrome 135

Google ha pubblicato la versione del browser web Chrome 135. È disponibile contemporaneamente anche una versione stabile del progetto open source Chromium, che funge da base per Chrome. Il browser Chrome si differenzia da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti (DRM), un sistema di aggiornamenti automatici, l'abilitazione permanente della Sandbox e la fornitura di chiavi per Google API, oltre alla trasmissione dei parametri RLZ durante la ricerca. Per coloro che necessitano di più tempo per gli aggiornamenti, è mantenuto un ramo Extended Stable, supportato per 8 settimane. Il prossimo rilascio di Chrome 136 è programmato per il 29 aprile.

Le principali novità in Chrome 135:

• È stata aggiunta la protezione contro l'identificazione furtiva degli utenti tramite cache HSTS (HTTP Strict Transport Security). HSTS consente ai siti di reindirizzare gli utenti da HTTP a HTTPS al momento dell'accesso. Durante l'esecuzione, il nome host impostato tramite HSTS viene conservato nella cache interna, permettendo di utilizzare la presenza o l'assenza dell'host nella cache per memorizzare un singolo bit di informazione.

  Per lo storage nascosto di un identificatore utente a 32 bit, è possibile utilizzare un array di 32 immagini servite da diversi host tramite HTTP (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg e così via). L'identificazione dell'identificatore avviene controllando da quali host le immagini sono state caricate tramite HTTPS e da quali tramite HTTP (se le immagini sono state precedentemente servite tramite HTTP e reindirizzate a HTTPS tramite HSTS, nelle successive richieste verranno caricate immediatamente tramite HTTPS, evitando una chiamata a HTTP). La protezione è stata ridotta a consentire l'aggiornamento di HSTS solo per le risorse di primo livello e a bloccare l'aggiornamento di HSTS nelle richieste di sottosorse.
• È stato aggiunto un modello di apprendimento automatico eseguito localmente per migliorare l'identificazione della presenza di moduli di input per password sulle pagine e il cambio automatico della password. Se una password viene considerata compromessa, al tentativo di accesso con quella password, Chrome mostrerà un avviso suggerendo di cambiarla. Se si accetta, il browser genererà una password resistente agli attacchi, cambierà la password sul sito e salverà la nuova password nel gestore delle password - l'AI riempirà e invierà automaticamente i moduli web necessari sul sito specificato e aggiornerà la password salvata.
• Nel regime di protezione avanzata del browser (Safe Browsing > Protezione avanzata) è stata aggiunta la possibilità di utilizzare un grande modello linguistico per identificare pagine fraudolente in base al loro contenuto. Il modello AI viene eseguito lato client, ma in caso di sospetti contenuti ambigui, viene eseguita una verifica aggiuntiva su server Google. Se la verifica aggiuntiva è confermata, verrà visualizzato un avviso per l'utente. La verifica attualmente viene eseguita solo per le pagine che utilizzano l'API Keyboard Lock.
• Per gli utenti che hanno collegato Chrome al proprio account Google, è ora possibile salvare le estensioni installate nel proprio Google Account per un utilizzo automatico di queste estensioni su tutti i computer utilizzati dall'utente.
• Gli utenti che si sono recentemente collegati al proprio account Google o utilizzano Chrome Sync possono mantenere le impostazioni sincronizzate, i segnalibri dei siti e i temi separatamente dalle impostazioni locali. In questo modo, dopo aver disattivato Chrome Sync su un dispositivo, le impostazioni originali rimarranno, e collegandosi a Google non verranno caricate le impostazioni locali.
• Nella versione per Android, è stata interrotta la supporto per il gestore delle password integrato, sostituito dal Google Password Manager unificato, fornito tramite Google Play. Gli utenti possono salvare il contenuto del vecchio gestore delle password in formato CSV per trasferirlo ad altri gestori di password.
• In modalità incognito, è stata implementata una blocco immodificabile dei cookie di terze parti, emessi quando si accede a siti diversi da di dominio della pagina corrente (cookie simili vengono utilizzati per tracciare i movimenti dell'utente tra i siti nel codice delle reti pubblicitarie, nei widget dei social media e nei sistemi di web analytics). La possibilità di gestire il blocco dei cookie di terze parti sul lato dei siti rimane invariata, ma in modalità incognito, l'impostazione BlockThirdPartyCookies non può più essere impostata su false nel browser.
• In CSS sono stati aggiunti i pseudo-elementi «::column», «::scroll-button», «::scroll-marker» e «::scroll-marker-group», che consentono di implementare una scorrimento a forma di carosello.
• Sono stati implementati gli attributi HTML "command" e "commandfor", che possono essere utilizzati nei pulsanti al posto degli attributi "popovertargetaction" e "popovertarget" per la configurazione dichiarativa delle interazioni con il menu che viene richiamato al clic del pulsante. Con l'uso dei nuovi attributi, tutta la logica per l'interazione con il menu è gestita dal browser, senza la necessità di connettere gestori personalizzati in JavaScript. Ad esempio, per creare un menu a discesa è sufficiente specificare: <button commandfor="»my-menu»" command="»show-popover»">Apri Menu</button> <div popover id="»my-menu»"> … </div>
• È stata aggiunta la funzione shape() in CSS, che consente di creare forme utilizzando le proprietà CSS clip-path e offset-path. La funzione shape() supporta comandi di formazione delle forme equivalenti a quelli della funzione path(), ma consente l'uso della sintassi standard CSS.
• Nell'API Web Speech, che fornisce funzioni per la sintesi e il riconoscimento vocale, è stata aggiunta la supporto per l'interfaccia MediaStreamTrack per elaborare l'audio proveniente da varie fonti, inclusi tracce audio esterne. In precedenza, l'API Web Speech poteva elaborare solo l'audio che arrivava attraverso il microfono predefinito.
• In JavaScript è stata aggiunta la supporto per gli array tipizzati Float16Array, destinati a memorizzare valori di tipo Float16.
• Aggiunto l'API Observable per la gestione dei flussi di eventi in modo asincrono. L'API consente di iscriversi a un oggetto per ricevere eventi man mano che arrivano e di descrivere in modo dichiarativo il flusso di trasformazioni che verranno applicate agli eventi in arrivo.
• Eliminato il metodo navigator.xr.supportsSession, precedentemente dichiarato obsoleto. Invece, utilizzare il metodo navigator.xr.isSessionSupported, previsto nella specifica WebXR.
• Rimossi i settaggi InsecurePrivateNetworkRequestsAllowedForUrls e InsecurePrivateNetworkRequestsAllowed, utilizzati per abilitare il meccanismo PNA 1.0 (Private Network Access), che limita il caricamento di risorse da un sito pubblicamente accessibile che fa riferimento a host nella rete interna (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8, ecc.). Tali attività sono utilizzate da malintenzionati per eseguire attacchi CSRF su router, punti di accesso, stampanti, interfacce web aziendali e altri dispositivi e servizi che accettano richieste solo dalla rete locale.

  A causa di incompatibilità con alcuni dispositivi, il PNA 1.0 poteva essere attivato solo su richiesta. È stata sviluppata la specifica PNA 2.0, che non richiede modifiche da parte dei dispositivi, ma solo aggiornamenti sui siti che necessitano di accesso alle risorse intranet. PNA 1.0 e PNA 2.0 non sono compatibili tra loro, quindi Google prevede di rimuovere il supporto per PNA 1.0 prima di implementare PNA 2.0.

• È stata rimossa l'opzione per ripristinare il supporto per l'interfaccia obsoleta MutationEvent e gli eventi collegati DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument, e DOMCharacterDataModified. Questa interfaccia veniva utilizzata per monitorare le modifiche nell'albero DOM, ma aveva un impatto negativo sulle prestazioni delle pagine e ostacolava l'implementazione di alcune nuove funzionalità. Questo API è stato disabilitato di default l'estate scorsa, ma in Chrome rimaneva l'opzione MutationEventsEnabled per ripristinare il supporto. Si consiglia di utilizzare l'API Mutation Observer come alternativa.
• Negli strumenti per gli sviluppatori web sono state ampliate le capacità degli strumenti per l'analisi delle prestazioni.

Oltre alle novità e alle correzioni di bug, nella nuova versione sono state risolte 14 vulnerabilità. Molte di queste vulnerabilità sono state individuate mediante test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono stati riscontrati problemi critici in grado di eludere tutti i livelli di protezione del browser e di eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompense per la scoperta di vulnerabilità, Google ha erogato 8 premi per l'attuale rilascio, per un totale di 17 mila dollari, di cui uno da 10.000 dollari e due da 2.000, 1.000 e 500 dollari.

Fonte: opennet.ru