Společnost Google představila verzi webového prohlížeče Chrome 107. Současně je dostupná stabilní verze volného projektu Chromium, která tvoří základ pro Chrome. Prohlížeč Chrome se od Chromia odlišuje používáním logotypů Google, systémem pro zasílání oznámení v případě havárie, moduly pro přehrávání videa chráněného proti kopírování (DRM), systémem automatické instalace aktualizací, trvalým zapnutím Sandbox izolace, poskytováním klíčů k API Google a předáváním parametrů RLZ při vyhledávání. Pro ty, kteří potřebují více času na aktualizaci, je samostatně podporována větev Extended Stable, která má 8 týdnů podpory. Další verze Chrome 108 je naplánována na 29. listopadu.
Hlavní změny v Chrome 107:
- Byla přidána podpora mechanismu ECH (Encrypted Client Hello), který pokračuje ve vývoji ESNI (Encrypted Server Name Indication) a používá se k šifrování informací o parametrech TLS relací, jako je požadované doménové jméno. Klíčový rozdíl mezi ECH a ESNI spočívá v tom, že v ECH se šifruje celé TLS zpráva ClientHello, což brání únikům přes pole, která ESNI nezahrnuje, například pole PSK (Pre-Shared Key). ECH také používá DNS záznam HTTPSSVC místo TXT záznamu pro přenos informací o veřejném klíči a aplikuje autentizované end-to-end šifrování na základě mechanismu HPKE (Hybrid Public Key Encryption) pro získání a šifrování klíče. Pro správu zapnutí ECH byla navržena volba „chrome://flags#encrypted-client-hello“.
- Byla povolena podpora hardwarového akcelerovaného dekódování videa ve formátu H.265 (HEVC).
- Byla aktivována pátá fáze ořezávání informací v HTTP hlavičce User-Agent a JavaScript parametrech navigator.userAgent, navigator.appVersion a navigator.platform, realizovaná za účelem snížení informací, které mohou být použity pro pasivní identifikaci uživatele. V Chrome 107 byla v řetězci User-Agent zkrácena informace o platformě a procesoru pro uživatele desktopových systémů, a také byla zmražena obsah JavaScript parametru navigator.platform. Změna je patrná pouze v verzích pro platformu Windows, pro kterou byla konkrétní verze platformy nahrazena „Windows NT 10.0“. V Linuxu se obsah platformy v User-Agent nezměnil.
Dříve byly součásti verze prohlížeče označované čísly MINOR.BUILD.PATCH nahrazeny 0.0.0. Do budoucna se v nadpisu plánuje ponechat pouze informace o názvu prohlížeče, hlavní verzi prohlížeče, platformě a typu zařízení (mobilní telefon, PC, tablet). Pro získání dalších údajů, jako je přesná verze a rozšířené informace o platformě, je nutné použít API User Agent Client Hints. Pro stránky, kterým nové informace nestačí a které ještě nejsou připravené přejít na User Agent Client Hints, je do května 2023 zajištěna možnost vrátit kompletní User-Agent.
- Ve verzi pro Android byla ukončena podpora platformy Android 6.0, pro práci prohlížeče je nyní vyžadována alespoň verze Android 7.0.
- Bylo změněno uspořádání rozhraní pro sledování stavu stahování. Místo dolního řádku s údaji o postupu stahování byl do panelu s adresním řádkem přidán nový indikátor, na který po kliknutí zobrazí průběh stahování souborů a historii se seznamem již stažených souborů. Na rozdíl od dolního panelu je tlačítko trvale zobrazeno na panelu a umožňuje rychlý přístup k historii stahování. Nové rozhraní je zatím navrženo jako výchozí pouze pro část uživatelů a bude rozšířeno na všechny v případě, že nenastanou žádné problémy.
- Uživatelům stolních systémů byla poskytnuta možnost importovat hesla uložená v souboru ve formátu CSV. Dříve bylo možné přenášet hesla ze souboru do prohlížeče pouze prostřednictvím služby passwords.google.com, nyní to lze provést i prostřednictvím integrovaného správce hesel prohlížeče (Google Password Manager).
- Po vytvoření nového profilu uživatelem je zajištěno zobrazení výzvy, která navrhuje zapnout synchronizaci a přejít k nastavením, prostřednictvím kterých lze změnit název profilu a vybrat barevné téma.
- Ve verzi pro Android byl navržen nový rozhraní pro výběr multimediálních souborů pro nahrávání fotografií a videí (místo vlastního provedení je využito standardní rozhraní Android Media Picker).
- Bylo zajištěno automatické odvolání oprávnění pro zobrazení oznámení pro stránky, které byly přistiženy při odesílání obtěžujících uživatelských oznámení a zpráv. Co více, pro takové stránky byla pozastavena zobrazení žádostí o oprávnění k odesílání oznámení.
- V API Screen Capture byly přidány nové vlastnosti související se sdílením obrazovky — selfBrowserSurface (umožňuje vyloučit aktuální kartu při volání getDisplayMedia()), surfaceSwitching (umožňuje skrýt tlačítko pro přepínání karet) a displaySurface (umožňuje omezit sdílení na kartu, okno nebo obrazovku).
- V API Performance bylo přidáno vlastnost renderBlockingStatus, které určuje zdroje, kvůli nimž je vykreslování stránky pozastaveno, dokud nejsou dokončena jejich načítání.
- V režimu Origin Trials (experimentální funkce vyžadující samostatnou aktivaci) bylo přidáno několik nových API. Origin Trial zahrnuje možnost práce se specifikovaným API z aplikací načítaných z localhost nebo 127.0.0.1, nebo po registraci a získání speciálního tokenu, který platí omezenou dobu pro konkrétní web.
- Deklarativní API PendingBeacon, které umožňuje spravovat odesílání na server data, která nevyžadují odpověď (beacon). Nové API umožňuje delegovat odesílání těchto dat na prohlížeč, aniž by bylo nutné volat odesílací operace v určitých časech, například pro organizaci přenosu telemetrie po uzavření stránky uživatelem.
- Do HTTP hlavičky Permissions-Policy (Feature Policy), používané k delegování pravomocí a aktivaci rozšířených funkcí, byla přidána podpora hodnoty „unload“, která umožňuje vypnout zpracovatele události „unload“ na stránce.
- Do tagu byla přidána podpora atributu „rel“, který umožňuje aplikovat k navigaci přes webové formuláře parametr „rel=noreferrer“ pro zakázání předávání hlavičky Referer nebo „rel=noopener“ pro zakázání nastavení vlastnosti Window.opener a zabránění přístupu do kontextu, ze kterého byl proveden přechod.
- V CSS Grid byla přidána podpora interpolace vlastností grid-template-columns a grid-template-rows pro uspořádání plynulého přechodu mezi různými stavy mřížky.
- Byla zlepšena nástroje pro webové vývojáře. Přidána možnost nastavení klávesových zkratek. Zlepšeno inspekce paměti objektů C/C++ aplikací převedených do formátu WebAssembly.
Kromě novinek a oprav chyb v nové verzi bylo odstraněno 14 zranitelností. Mnohé z těchto zranitelností byly odhaleny díky automatizovanému testování nástroji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer a AFL. Nebyly zjištěny žádné kritické problémy, které by umožnily obcházet všechny úrovně ochrany prohlížeče a spouštět kód v systému mimo sandboxové prostředí. V rámci programu odměn za nalezení zranitelností pro aktuální verzi společnost Google vyplatila 10 odměn v celkové výši 57 tisíc amerických dolarů (jednu odměnu ve výši 20000 $, 17000 $ a 7000 $, dvě odměny po 3000 $, tři odměny po 2000 $ a jednu odměnu ve výši 1000 $). Výše jedné odměny zatím nebyla stanovena.
Zdroj: opennet.ru
