Кампанія Google прадставіла рэліз web-браўзэра Chrome 107. Адначасова даступны стабільны выпуск вольнага праекта Chromium, які выступае асновай Chrome. Браўзэр Chrome адрозніваецца ад Chromium выкарыстаннем лагатыпаў Google, наяўнасцю сістэмы адпраўкі апавяшчэнняў у выпадку краху, модулямі для прайгравання абароненага ад капіявання відэакантэнту (DRM), сістэмай аўтаматычнай усталёўкі абнаўленняў, сталым уключэннем Sandbox-ізаляцыі, пастаўкай ключоў да Google API і перадачай пры пошуку RL параметраў. Для тых, каму неабходна больш часу на абнаўленне, асобна падтрымліваецца галінка Extended Stable, якая суправаджаецца 8 тыдняў. Наступны выпуск Chrome 108 запланаваны на 29 лістапада.
Асноўныя змены ў Chrome 107:
- Дададзена падтрымка механізму ECH (Encrypted Client Hello), які працягвае развіццё ESNI (Encrypted Server Name Indication) і выкарыстоўваецца для шыфравання інфармацыі аб параметрах TLS-сеансаў, такіх як запытанае даменнае імя. Ключавое адрозненне ECH ад ESNI у тым, што ў ECH замест шыфравання на ўзроўні асобных палёў цалкам шыфруецца ўсё TLS-паведамленне ClientHello, што дазваляе блакаваць уцечкі праз палі, якія не ахоплівае ESNI, напрыклад, поле PSK (Pre-Shared Key). ECH таксама выкарыстоўвае DNS-запіс HTTPSSVC замест запісу з тыпам TXT для перадачы інфармацыі аб адкрытым ключы і прымяняе для атрымання і шыфравання ключа аўтэнтыфікаванае скразное шыфраванне на аснове механізму HPKE (Hybrid Public Key Encryption). Для кіравання ўключэннем ECH прапанавана настройка "chrome://flags#encrypted-client-hello".
- Уключана падтрымка апаратнага паскарэння дэкадавання відэа ў фармаце H.265 (HEVC).
- Актываваная пятая стадыя ўразання інфармацыі ў HTTP-загалоўку User-Agent і JavaScript параметрах navigator.userAgent, navigator.appVersion і navigator.platform, якая рэалізуецца з мэтай скарачэння інфармацыі, якая можа выкарыстоўвацца для пасіўнай ідэнтыфікацыі карыстальніка. У Chrome 107 у радку User-Agent скарочана інфармацыя аб платформе і працэсары для карыстачоў настольных сістэм, а таксама замарожанае змесціва JavaScript-параметра navigator.platform. Змена прыкметна толькі ў версіях для платформы Windows, для якой пэўная версія платформы заменена на "Windows NT 10.0". У Linux змесціва платформы ў User-Agent не змянілася.
Раней складальнікі версію браўзэра лічбы MINOR.BUILD.PATCH былі заменены на 0.0.0. У далейшым у загалоўку плануецца пакінуць толькі звесткі аб назве браўзэра, значнай версіі браўзэра, платформе і тыпе прылады (мабільны тэлефон, ПК, планшэт). Для атрымання дадатковых дадзеных, такіх як дакладная версія і пашыраныя дадзеныя аб платформе, неабходна выкарыстоўваць API User Agent Client Hints. Для сайтаў, якім новай інфармацыі недастаткова і якія яшчэ не гатовы перайсці на User Agent Client Hints, да мая 2023 года прадастаўлена магчымасць вяртання поўнага User-Agent.
- У версіі для Android спынена падтрымка платформы Android 6.0, для працы браўзэра зараз патрабуецца прынамсі версія Android 7.0.
- Зменена афармленне інтэрфейсу для адсочвання стану загрузак. Замест ніжняга радка з дадзенымі аб ходзе загрузкі ў панэль з адрасным радком дададзены новы індыкатар, пры кліку на які паказваецца прагрэс загрузкі файлаў і гісторыя са спісам ужо загружаных файлаў. У адрозненне ад ніжняй панэлі, кнопка ўвесь час паказваецца на панэлі і дазваляе хутка звярнуцца да гісторыі загрузак. Новы інтэрфейс пакуль прапанаваны па змаўчанні толькі часткі карыстачоў і будзе распаўсюджаны на ўсіх у выпадку адсутнасці праблем.
- Для карыстальнікаў настольных сістэм прадастаўлена магчымасць імпарту пароляў, захаваных у файле ў фармаце CSV. Раней паролі з файла ў браўзэр можна было перанесці толькі праз сэрвіс passwords.google.com, а зараз гэта можна зрабіць і праз убудаваны ў браўзэр мэнэджар пароляў (Google Password Manager).
- Пасля стварэння карыстачом новага профіля забяспечаны выснова запрашэння, які прапануе ўлучыць сінхранізацыю і перайсці да налад, праз якія можна змяніць імя профіля і абраць каляровую тэму.
- У версіі для платформы Android прапанаваны новы інтэрфейс для выбару мультымедыйных файлаў для загрузкі фатаграфій і відэа (замест уласнай рэалізацыі задзейнічаны штатны інтэрфейс Android Media Picker).
- Забяспечаны аўтаматычны водгук дазволу на выснову апавяшчэнняў для сайтаў, абвінавачаных у адпраўцы якія замінаюць карыстачу апавяшчэнняў і паведамленняў. Больш за тое, для падобных сайтаў прыпынены вывад запытаў на атрыманне паўнамоцтваў для адпраўкі апавяшчэнняў.
- У API Screen Capture дададзены новыя ўласцівасці, злучаныя з сумесным доступам да экрана — selfBrowserSurface (дазваляе выключыць бягучую ўкладку пры выкліку getDisplayMedia()), surfaceSwitching (дазваляе схаваць кнопку для пераключэння ўкладак) і displaySurface (дае магчымасць абмежаваць падаванне экранам).
- У API Performance дададзена ўласцівасць renderBlockingStatus для вызначэння рэсурсаў, з-за якіх адмалёўка старонкі прыпынена да завяршэння іх загрузкі.
- У рэжыме Origin Trials (эксперыментальныя магчымасці, якія патрабуюць асобнай актывацыі) дададзена некалькі новых API. Origin Trial мае на ўвазе магчымасць працы з паказаным API з прыкладанняў, загружаных з localhost або 127.0.0.1, або пасля праходжання рэгістрацыі і атрымання спецыяльнага токена, які дзейнічае абмежаваны час для канкрэтнага сайта.
- Дэкларатыўны API PendingBeacon, які дазваляе кіраваць адпраўкай на сервер дадзеных, якія не патрабуюць адказу (beacon). Новы API дазваляе дэлегаваць адпраўку падобных дадзеных браўзэру, без неабходнасці выкліку аперацый адпраўкі ў вызначаны час, напрыклад, для арганізацыі перадачы тэлеметрыі пасля зачынення карыстачом старонкі.
- У HTTP-загаловак Permissions-Policy (Feature Policy), які ўжываецца для дэлегавання паўнамоцтваў і ўключэнні пашыраных магчымасцяў, дададзеная падтрымка значэння "unload", пры дапамозе якога можна адключыць апрацоўшчыкі падзеі "unload" на старонцы.
- У тэг дададзена падтрымка атрыбуту "rel", які дазваляе ўжываць да навігацыі праз web-формы параметр "rel=noreferrer" для адключэння перадачы загалоўка Referer або "rel=noopener" для адключэння выстаўлення ўласцівасці Window.opener і забароны доступу да кантэксту з якога быў выкананы пераход .
- У CSS Grid дададзена падтрымка інтэрпаляцыі ўласцівасцяў grid-template-columns і grid-template-rows для арганізацыі плыўнага пераходу паміж рознымі станамі сеткі.
- Унесены паляпшэнні ў інструменты для web-распрацоўшчыкаў. Дададзена магчымасць налады гарачых клавіш. Палепшана інспектаванне памяці аб'ектаў прыкладанняў C/C++, пераўтвораных у фармат WebAssembly.
Акрамя новаўвядзенняў і выпраўленні памылак у новай версіі ўхілена 14 уразлівасцяў. Многія з уразлівасцяў выяўлены ў выніку аўтаматызаванага тэсціравання інструментамі AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer і AFL. Крытычных праблем, якія дазваляюць абыйсці ўсе ўзроўні абароны браўзэра і выканаць код у сістэме за межамі sandbox-акружэнні, не выяўлена. У рамках праграмы па выплаце грашовай узнагароды за выяўленне ўразлівасцяў для бягучага рэлізу кампанія Google выплаціла 10 прэмій на суму 57 тысяч даляраў ЗША (па адной прэміі ў $20000, $17000 і $7000, дзве прэміі $3000, тры прэміі $2000 і адна прэмія $1000. Памер адной узнагароды пакуль не вызначаны.
Крыніца: opennet.ru