Компания Google представи версия на уеб браузера Chrome 107. В същото време е достъпен стабилен вариант на свободния проект Chromium, който служи като основа за Chrome. Браузерът Chrome се отличава от Chromium с използването на логотипи на Google, наличие на система за изпращане на уведомления в случай на срив, модули за възпроизвеждане на защитен от копиране видеоконтент (DRM), автоматична инсталация на обновления, постоянна активация на Sandbox-изолацията, предоставяне на ключове за Google API и предаване на RLZ-параметри при търсене. За тези, които се нуждаят от повече време за обновление, допълнително се поддържа клонът Extended Stable, който е с продължителност 8 седмици. Следващата версия на Chrome 108 е планирана за 29 ноември.
Основни промени в Chrome 107:
- Добавлена поддержка механизма ECH (Encrypted Client Hello), который продолжает развитие ESNI (Encrypted Server Name Indication) и используется для шифрования информации о параметрах TLS-сеансов, таких как запрошенное доменное имя. Ключевое отличие ECH от ESNI в том, что в ECH вместо шифрования на уровне отдельных полей целиком шифруется всё TLS-сообщение ClientHello, что позволяет блокировать утечки через поля, которые не охватывает ESNI, например, поле PSK (Pre-Shared Key). ECH также использует DNS-запись HTTPSSVC вместо записи с типом TXT для передачи информации об открытом ключе и применяет для получения и шифрования ключа аутентифицированное сквозное шифрование на основе механизма HPKE (Hybrid Public Key Encryption). Для управления включением ECH предложена настройка «chrome://flags#encrypted-client-hello».
- Включена е поддръжка на хардуерно ускорение за декодиране на видео в формат H.265 (HEVC).
- Активирована пятая стадия урезания информации в HTTP-заголовке User-Agent и JavaScript параметрах navigator.userAgent, navigator.appVersion и navigator.platform, реализуемая с целью сокращения информации, которая может использоваться для пассивной идентификации пользователя. В Chrome 107 в строке User-Agent сокращена информация о платформе и процессоре для пользователей настольных систем, а также заморожено содержимое JavaScript-параметра navigator.platform. Изменение заметно только в версиях для платформы Windows, для которой конкретная версия платформы заменена на «Windows NT 10.0». В Linux содержимое платформы в User-Agent не изменилось.
Предишните стойности на версията на браузъра MINOR.BUILD.PATCH бяха заменени с 0.0.0. В бъдеще заглавието ще съдържа само информация за името на браузъра, основната версия на браузъра, платформата и типа устройство (мобилен телефон, ПК, таблет). За получаване на допълнителни данни, като точна версия и разширена информация за платформата, е необходимо да се използва API User Agent Client Hints. За сайтове, на които новата информация не е достатъчна и които все още не са готови да преминат на User Agent Client Hints, до май 2023 г. е предоставена възможност за връщане на пълния User-Agent.
- В версията за Android е прекратена поддръжката на платформата Android 6.0, за да работи браузърът сега се изисква версия поне Android 7.0.
- Променено е оформлението на интерфейса за проследяване на състоянието на изтеглянията. Вместо долната лента с данни за напредъка на изтеглянето в адресната лента е добавен нов индикатор, при кликване на който се показва напредъкът на изтеглянето на файловете и историята със списък на вече изтеглените файлове. За разлика от долната лента, бутона постоянно се показва на панела и позволява бърз достъп до историята на изтеглянията. Новият интерфейс за момента е предложен по подразбиране само на част от потребителите и ще бъде разпространен на всички в случай на отсъствие на проблеми.
- За потребителите на настолни системи е предоставена възможност за импортиране на пароли, запазени във файл във формат CSV. Преди паролите от файла в браузъра можеха да бъдат прехвърляни само чрез услугата passwords.google.com, а сега това може да стане и чрез вградения в браузъра мениджър на пароли (Google Password Manager).
- След създаването на нов профил от потребителя се показва покана, предлагаща включване на синхронизация и достъп до настройките, чрез които може да се промени името на профила и да се избере цветова тема.
- В версията за платформата Android е предложен нов интерфейс за избор на мултимедийни файлове за качване на снимки и видео (вместо собствената реализация е използван стандартният интерфейс на Android Media Picker).
- Осигурен е автоматичен отговор по отнемането на разрешението за показване на известия за сайтове, уличени в изпращането на дразнещи на потребителите известия и съобщения. Освен това, за подобни сайтове е преустановено показването на запитвания за получаване на разрешение за изпращане на известия.
- В API Screen Capture добавлены новые свойства, связанные с совместным доступом к экрану — selfBrowserSurface (позволяет исключить текущую вкладку при вызове getDisplayMedia()), surfaceSwitching (позволяет скрыть кнопку для переключения вкладок) и displaySurface (даёт возможность ограничить предоставление совместного доступа вкладкой, окном или экраном).
- В API Performance е добавено свойство renderBlockingStatus за определяне на ресурсите, които забавят процеса на рендериране на страницата до завършване на тяхното зареждане.
- В режим на Origin Trials (експериментални функции, изискващи специално активиране) бяха добавени няколко нови API. Origin Trial означава възможност за работа с посочения API от приложения, натоварени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който действа за ограничен период на конкретен сайт.
- Декларативният API PendingBeacon, който позволява управление на изпращането на сървър данни, които не изискват отговор (beacon). Новият API позволява делегиране на изпращането на подобни данни на браузъра, без необходимост от извикване на операции за изпращане в точно определено време, например, за организиране на предаване на телеметрия след затваряне на страницата от потребителя.
- В HTTP-заголовок Permissions-Policy (Feature Policy), применяемый для делегирования полномочий и включения расширенных возможностей, добавлена поддержка значения «unload», при помощи которого можно отключить обработчики события «unload» на странице.
- В тег <form> добавлена поддержка атрибута «rel», который позволяет применять к навигации через web-формы параметр «rel=noreferrer» для отключения передачи заголовка Referer или «rel=noopener» для отключения выставления свойства Window.opener и запрета доступа к контексту из которого был выполнен переход.
- В CSS Grid е добавена поддръжка на интерполация на свойствата grid-template-columns и grid-template-rows за организиране на плавен преход между различни състояния на мрежата.
- Направени са подобрения в инструментите за уеб разработчици. Добавена е възможност за настройка на горещи клавиши. Подобрено е инспектирането на паметта на обектите на приложения C/C++, преобразувани в WebAssembly формат.
Освен нововъведенията и корекциите на грешки в новата версия, са отстранени 14 уязвимости. Много от уязвимостите са открити в резултат на автоматизирано тестване с инструментите AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Не са открити критични проблеми, които да позволяват заобикаляне на всички нива на защита на браузера и изпълнение на код в системата извън sandbox средата. В рамките на програмата за изплащане на финансови награди за откритие на уязвимости за текущото издание, компанията Google е изплатила 10 награди на обща стойност 57 хиляди долара САЩ (една награда от $20000, $17000 и $7000, две награди по $3000, три награди по $2000 и една награда от $1000). Размерът на една награда все още не е определен.
Източник: opennet.ru
