Chrome 107 udgivelse

Google har præsenteret udgaven af webbrowseren Chrome 107. Samtidig er den stabile version af det frie projekt Chromium tilgængelig, som fungerer som basis for Chrome. Browseren Chrome adskiller sig fra Chromium ved at bruge Google-logoer, have et system til at sende meddelelser i tilfælde af nedbrud, moduler til afspilning af kopibeskyttet videoinhold (DRM), et system til automatisk opdatering, konstant aktiveret Sandbox-isolering, levering af nøgler til Google API og overførsel af RLZ-parametre ved søgning. For dem, der har brug for mere tid til at opdatere, understøttes en særlig version kaldet Extended Stable, som får opdateringer i 8 uger. Den næste udgave af Chrome, version 108, er planlagt til 29. november.

De vigtigste ændringer i Chrome 107:

• Der er tilføjet support for ECH (Encrypted Client Hello)-mekanismen, som fortsætter med at udvikle ESNI (Encrypted Server Name Indication) og bruges til at kryptere information om TLS-sessionens parametre, såsom det anmodede domænenavn. Den væsentligste forskel mellem ECH og ESNI er, at i ECH krypteres hele TLS-beskeden ClientHello i stedet for at kryptere på niveauet af enkeltfelter, hvilket forhindrer lækager gennem felter, der ikke dækkes af ESNI, f.eks. PSK-feltet (Pre-Shared Key). ECH bruger også DNS-posten HTTPSSVC i stedet for en TXT-post til at overføre information om offentlige nøgler og anvender autentificeret ende-til-ende kryptering baseret på HPKE-mekanismen (Hybrid Public Key Encryption) til at modtage og kryptere nøglen. For at styre aktiveringen af ECH er en indstilling "chrome://flags#encrypted-client-hello" foreslået.
• Der er tilføjet support for hardwareaccelereret dekodning af video i H.265-format (HEVC).
• Den femte fase af reduktion af information i HTTP-headeren User-Agent og JavaScript-parametrene navigator.userAgent, navigator.appVersion og navigator.platform er aktiveret med det formål at reducere den information, der kan bruges til passiv identifikation af brugeren. I Chrome 107 er informationen om platform og processor i User-Agent forkortet for brugere af desktopsystemer, og indholdet af JavaScript-parameteren navigator.platform er også låst. Ændringen er kun mærkbar i versioner til Windows-platformen, for hvilken den specifikke version af platformen er blevet ændret til "Windows NT 10.0". I Linux er indholdet af platformen i User-Agent ikke ændret.

  Tidligere blev tallene for MINOR.BUILD.PATCH-versionen af browseren ændret til 0.0.0. Fremover er det planlagt kun at efterlade oplysninger om browserens navn, hovedversion, platform og enhedstype (mobiltelefon, PC, tablet) i overskriften. For at få yderligere oplysninger, såsom den præcise version og udvidede platformdata, skal API'et User Agent Client Hints anvendes. For websteder, hvor den nye information ikke er tilstrækkelig, og som ikke er klar til at skifte til User Agent Client Hints, vil det indtil maj 2023 være muligt at returnere den fulde User-Agent.
• I Android-versionen er supporten for platformen Android 6.0 stoppet, og browseren kræver nu mindst version Android 7.0 for at fungere.
• Brugergrænsefladen til downloadstatus er blevet ændret. I stedet for en nederste bjælke med oplysninger om downloadens fremdrift er der tilføjet en ny indikator på adresselinjen, som viser downloadens fremskridt og historikken med en liste over allerede downloaded filer, når man klikker på den. I modsætning til den nederste bjælke vises knappen konstant på panelet og gør det hurtigt at få adgang til downloadhistorikken. Den nye grænseflade er kun blevet tilbudt som standard til en del af brugerne, og vil blive udbredt til alle, hvis der ikke opstår problemer.
• Brugere af skrivebordssystemer har fået mulighed for at importere adgangskoder, der er gemt i en CSV-fil. Tidligere kunne adgangskoder fra en fil kun overføres til browseren via tjenesten passwords.google.com, men nu er det også muligt at gøre det gennem den indbyggede adgangskodeadministrator i browseren (Google Password Manager).
• Efter at en bruger har oprettet en ny profil, vises et prompt, der tilbyder at aktivere synkronisering og gå til indstillingerne, hvor man kan ændre profilnavnet og vælge farvetema.
• I Android-versionen er der introduceret en ny grænseflade til valg af multimediefiler til upload af fotos og videoer (den standard Android Media Picker-grænseflade anvendes i stedet for en egen implementering).
• Der er sikret automatisk tilbagekaldelse af tilladelsen til at vise meddelelser for websteder, der har sendt forstyrrende meddelelser og notifikationer til brugerne. Desuden er visningen af anmodninger om tilladelser til at sende meddelelser suspenderet for sådanne websteder.
• Der API Screen Capture har fået nye egenskaber vedrørende skærmdeling — selfBrowserSurface (muliggør at udelade den aktuelle fane ved kald af getDisplayMedia()), surfaceSwitching (muliggør at skjule knappen til skift af faner) og displaySurface (giver mulighed for at begrænse skærmdeling til en fane, et vindue eller en skærm).
• Der er tilføjet egenskaben renderBlockingStatus til API Performance for at bestemme de ressourcer, der forhindrer siden i at blive gengivet, indtil de er indlæst.
• I Origin Trials (eksperimentelle funktioner, der kræver separat aktivering) er der tilføjet flere nye API'er. Origin Trial indebærer muligheden for at arbejde med den angivne API fra applikationer, der er indlæst fra localhost eller 127.0.0.1, eller efter tilmelding og modtagelse af et særligt token, der er gyldigt i en begrænset periode for et specifikt websted.
  • Den deklarative API PendingBeacon, der gør det muligt at styre sendingen af server data, der ikke kræver svar (beacon). Den nye API muliggør delegationen af sådanne data til browseren uden at skulle kalde sendingen på bestemte tidspunkter, for eksempel til at organisere overførsel af telemetry efter brugeren har lukket siden.
  • Permissions-Policy (Feature Policy) HTTP-headeren, der anvendes til at delegere beføjelser og aktivere avancerede funktioner, har fået tilføjet støtte til værdien "unload", som kan deaktiverer "unload"-begivenhedshåndterere på siden.
• Taggen har fået støtte til attributten "rel", som muliggør anvendelse af parameteren "rel=noreferrer" til navigation via webformularer for at deaktivere overførslen af Referer-headeren eller "rel=noopener" for at deaktivere indstillingen af Window.opener-egenskaben og nægte adgang til konteksten, hvorfra overgangen blev udført.
• I CSS Grid er der tilføjet støtte til interpolation af egenskaberne grid-template-columns og grid-template-rows for at organisere en glidende overgang mellem forskellige gittertilstande.
• Der er kommet forbedringer i værktøjerne til webudviklere. Muligheden for at tilpasse genvejstaster er blevet tilføjet. Inspektionen af hukommelsen i C/C++-applikationer, der er konverteret til WebAssembly-format, er blevet forbedret.

Udover nye funktioner og fejlrettelser i den nye version er 14 sårbarheder blevet afhjulpet. Mange af sårbarhederne blev identificeret ved hjælp af automatiserede testværktøjer som AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Der er ikke identificeret kritiske problemer, der gør det muligt at omgå alle niveauer af browserbeskyttelse og udføre kode på systemet uden for sandbox-miljøet. I forbindelse med programmet for udbetaling af belønninger for opdagelse af sårbarheder har Google udbetalt 10 præmier til en samlet værdi af 57.000 USD (herunder én præmie på $20000, $17000 og $7000, to præmier på $3000, tre præmier på $2000 og én præmie på $1000). Størrelsen af én præmie er endnu ikke fastlagt.

Kilde: opennet.ru