Релиз на Chrome 107

Компания Google представи версия на уеб браузъра Chrome 107. Паралелно е достъпно стабилното издание на свободния проект Chromium, който е основата на Chrome. Браузърът Chrome се отличава от Chromium с употребата на логотипите на Google, наличието на система за уведомления при срив, модули за възпроизвеждане на защитено от копиране видео съдържание (DRM), система за автоматично инсталиране на актуализации, постоянно включена Sandbox изолация, доставка на ключове към Google API и предаване на RLZ параметри при търсене. За тези, които се нуждаят от повече време за актуализиране, отделно се поддържа клон Extended Stable, който се съпровожда от 8 седмици. Следващото издание на Chrome 108 е планирано за 29 ноември.

Основни промени в Chrome 107:

• Добавена е поддръжка на механизма ECH (Encrypted Client Hello), който продължава развитието на ESNI (Encrypted Server Name Indication) и се използва за криптиране на информацията за параметрите на TLS сесиите, като поисканото домейн име. Ключовата разлика между ECH и ESNI е, че в ECH вместо криптиране на ниво отделни полета, цялото TLS съобщение ClientHello се криптира, което позволява блокиране на изтичанията през полета, които не се обхващат от ESNI, например полето PSK (Pre-Shared Key). ECH също използва DNS записа HTTPSSVC вместо TXT записа за предаване на информация за публичния ключ и прилага аутентифицирано крайно шифроване на основата на механизма HPKE (Hybrid Public Key Encryption) за получаване и криптиране на ключа. За управление на активирането на ECH е предложена настройка „chrome://flags#encrypted-client-hello“.
• Включена е поддръжка на хардуерно ускорение на декодирането на видео в формат H.265 (HEVC).
• Активирана е петата фаза на урязване на информацията в HTTP заглавките User-Agent и JavaScript параметрите navigator.userAgent, navigator.appVersion и navigator.platform, реализирана с цел намаляване на информацията, която може да се използва за пасивна идентификация на потребителя. В Chrome 107 информацията за платформата и процесора в User-Agent е намалена за потребителите на настолни системи, а съдържанието на JavaScript параметъра navigator.platform е замразено. Промяната е забележима само в версиите за платформата Windows, за която конкретната версия на платформата е заменена с „Windows NT 10.0“. В Linux съдържанието на платформата в User-Agent не е променено.

  По-рано компонентите на версията на браузъра MINOR.BUILD.PATCH бяха заменени с 0.0.0. В бъдеще в заглавието ще останат само данни за името на браузъра, основната версия на браузъра, платформата и типа устройство (мобилен телефон, PC, таблет). За получаване на допълнителни данни, като точна версия и разширени данни за платформата, е необходимо да се използва API User Agent Client Hints. За сайтове, на които новата информация не е достатъчна и които все още не са готови да преминат към User Agent Client Hints, до май 2023 година е предоставена възможност за връщане на пълен User-Agent.
• В версията за Android е прекратена поддръжката на платформата Android 6.0, за работа на браузъра вече изисква минимум версия Android 7.0.
• Променен е интерфейсът за проследяване на състоянието на изтеглянията. Вместо долната лента с данни за хода на изтеглянето, в панела с адресната лента е добавен нов индикатор, при клик върху който се показва напредъкът на изтеглянето на файлове и историята със списък на вече изтеглените файлове. За разлика от долния панел, бутонът постоянно се показва на панела и позволява бърз достъп до историята на изтеглянията. Новият интерфейс за момента е предложен по подразбиране само на част от потребителите и ще бъде разпространен на всички при отсъствие на проблеми.
• За потребителите на настолни системи е предоставена възможност за импортиране на пароли, запазени в файл във формат CSV. По-рано паролите от файла в браузъра можеха да бъдат пренесени само чрез услугата passwords.google.com, а сега това може да стане и чрез вградения в браузъра мениджър на пароли (Google Password Manager).
• След създаването на нов профил от потребителя се осигурява показването на покана, предлагаща включване на синхронизация и достъп до настройките, чрез които може да се промени името на профила и да се избере цветова тема.
• В версията за платформата Android е предложен нов интерфейс за избор на мултимедийни файлове за качване на снимки и видеа (вместо собствената реализация е използван стандартният интерфейс на Android Media Picker).
• Осигурен е автоматичен отговор на разрешението за показване на уведомления за сайтове, уличени в изпращане на досадни уведомления и съобщения на потребителите. Освен това, за подобни сайтове е спряно показването на запитвания за получаване на правомощия за изпращане на уведомления.
• В API Screen Capture са добавени нови свойства, свързани с споделянето на екрана — selfBrowserSurface (позволява изключване на текущия таб при извикване на getDisplayMedia()), surfaceSwitching (позволява скриване на бутона за превключване на табове) и displaySurface (дава възможност за ограничаване на споделянето до таб, прозорец или екран).
• В API Performance е добавено свойството renderBlockingStatus за определяне на ресурсите, поради които рендерирането на страницата е спряно до завършването на тяхното зареждане.
• В режима Origin Trials (експериментални функции, изискващи отделна активация) са добавени няколко нови API. Origin Trial предполага възможността за работа с определен API от приложения, заредени от localhost или 127.0.0.1, или след регистрация и получаване на специален токен, който е валиден за ограничен период от време за конкретен сайт.
  • Декларативният API PendingBeacon, позволяващ управление на изпращането на сървър данни, които не изискват отговор (beacon). Новият API позволява делегиране на изпращането на такива данни на браузъра, без необходимост от извикване на операции по изпращане в точно определено време, например, за организиране на предаване на телеметрия след затваряне на страницата от потребителя.
  • В HTTP заглавието Permissions-Policy (Feature Policy), приложимо за делегиране на правомощия и включване на разширени възможности, е добавена поддръжка за стойността „unload“, с помощта на която могат да се отключат обработчици на събитие „unload“ на страницата.
• В таг <form> е добавена поддръжка за атрибута „rel“, който позволява прилагане на параметъра „rel=noreferrer“ за деактивиране на предаването на заглавието Referer или „rel=noopener“ за деактивиране на свойството Window.opener и забрана на достъпа до контекста, от който е извършен преходът.
• В CSS Grid е добавена поддръжка за интерполация на свойствата grid-template-columns и grid-template-rows за организиране на плавен преход между различни състояния на мрежата.
• Направени са подобрения в инструментите за уеб разработка. Добавена е възможност за настройка на горещи клавиши. Подобрен е инспекцията на паметта на обектите от приложения C/C++, преобразувани в WebAssembly формат.

Освен нововъведенията и поправките на грешки в новата версия, бяха отстранени 14 уязвимости. Много от уязвимостите бяха открити в резултат на автоматизирано тестване с инструменти като AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Няма открити критични проблеми, които да позволяват заобикаляне на всички нива на защита на браузъра и изпълнение на код в системата извън sandbox-окружението. В рамките на програмата за възнаграждение за откритие на уязвимости по текущия рилийз, компанията Google е изплатила 10 премии на обща стойност 57 хиляди долара (една премия от $20000, $17000 и $7000, две премии по $3000, три премии от $2000 и една премия от $1000). Размерът на едно възнаграждение все още не е определен.

Източник: opennet.ru