Google ha lanzado la versión 107 del navegador web Chrome. Al mismo tiempo, está disponible la versión estable del proyecto gratuito Chromium, que es la base de Chrome. El navegador Chrome se diferencia de Chromium por el uso de los logotipos de Google, la presencia de un sistema de notificación en caso de fallos, módulos para la reproducción de contenido de vídeo protegido contra copia (DRM), un sistema de actualización automática, la habilitación constante de la aislamiento Sandbox, la provisión de claves para la API de Google y la transmisión de los parámetros RLZ en las búsquedas. Para aquellos que necesitan más tiempo para actualizar, se mantiene por separado la rama Extended Stable, que se acompaña de 8 semanas. El próximo lanzamiento de Chrome 108 está programado para el 29 de noviembre.
Principales cambios en Chrome 107:
- Se ha añadido soporte para el mecanismo ECH (Encrypted Client Hello), que continúa el desarrollo de ESNI (Encrypted Server Name Indication) y se utiliza para cifrar información sobre los parámetros de las sesiones TLS, como el nombre de dominio solicitado. La diferencia clave entre ECH y ESNI es que en ECH se cifra todo el mensaje TLS ClientHello en lugar de solo ciertos campos, lo que permite bloquear filtraciones a través de campos que no cubre ESNI, por ejemplo, el campo PSK (Pre-Shared Key). ECH también utiliza el registro DNS HTTPSSVC en lugar de un registro tipo TXT para transmitir información sobre la clave pública y aplica cifrado de extremo a extremo autenticado basado en el mecanismo HPKE (Hybrid Public Key Encryption) para obtener y cifrar la clave. Se ha propuesto la configuración «chrome://flags#encrypted-client-hello» para gestionar la habilitación de ECH.
- Se ha incluido soporte para la aceleración de hardware en la decodificación de vídeo en formato H.265 (HEVC).
- Se ha activado la quinta fase de reducción de información en el encabezado HTTP User-Agent y en los parámetros de JavaScript navigator.userAgent, navigator.appVersion y navigator.platform, implementada con el objetivo de reducir la información que puede utilizarse para la identificación pasiva del usuario. En Chrome 107, la información sobre la plataforma y el procesador se ha reducido en la cadena User-Agent para los usuarios de sistemas de escritorio, y el contenido del parámetro JavaScript navigator.platform se ha congelado. El cambio es notable solo en las versiones para la plataforma Windows, para la cual la versión específica de la plataforma se ha reemplazado por «Windows NT 10.0». En Linux, el contenido de la plataforma en el User-Agent no se ha modificado.
Anteriormente, los componentes de la versión del navegador MINOR.BUILD.PATCH se reemplazaron por 0.0.0. En el futuro, el encabezado solo contendrá información sobre el nombre del navegador, la versión principal del navegador, la plataforma y el tipo de dispositivo (teléfono móvil, PC, tableta). Para obtener datos adicionales, como la versión exacta y datos avanzados de la plataforma, es necesario utilizar la API User Agent Client Hints. Para los sitios que no estén listos para migrar a User Agent Client Hints y requieran más información, se ha habilitado la opción de devolver el User-Agent completo hasta mayo de 2023.
- En la versión para Android se ha descontinuado el soporte para la plataforma Android 6.0, y ahora se requiere al menos la versión Android 7.0 para el funcionamiento del navegador.
- Se ha cambiado el diseño de la interfaz para el seguimiento del estado de las descargas. En lugar de la barra inferior con datos sobre el progreso de la descarga, se ha añadido un nuevo indicador en la barra de direcciones, que al hacer clic muestra el progreso de las descargas y un historial con la lista de archivos ya descargados. A diferencia de la barra inferior, el botón se muestra constantemente en la barra y permite acceder rápidamente al historial de descargas. Esta nueva interfaz se ha ofrecido por defecto solo a algunos usuarios y se extenderá a todos en caso de que no haya problemas.
- Para los usuarios de sistemas de escritorio, se ha habilitado la opción de importar contraseñas guardadas en un archivo en formato CSV. Anteriormente, las contraseñas de un archivo solo podían transferirse al navegador a través del servicio passwords.google.com, pero ahora también se pueden transferir a través del administrador de contraseñas integrado en el navegador (Google Password Manager).
- Después de que un usuario crea un nuevo perfil, se muestra un mensaje solicitando activar la sincronización y acceder a la configuración, donde se puede cambiar el nombre del perfil y seleccionar un tema de color.
- En la versión para Android se ha propuesto una nueva interfaz para seleccionar archivos multimedia para cargar fotos y videos (en lugar de implementar una propia, se utiliza la interfaz estándar de Android Media Picker).
- Se ha asegurado la revocación automática de permisos para mostrar notificaciones en sitios que se han descubierto enviando notificaciones y mensajes molestos al usuario. Además, para tales sitios, se ha suspendido la presentación de solicitudes para obtener permisos de envío de notificaciones.
- En la API Screen Capture se han añadido nuevas propiedades relacionadas con el uso compartido de pantalla: selfBrowserSurface (permite excluir la pestaña actual al llamar a getDisplayMedia()), surfaceSwitching (permite ocultar el botón para cambiar de pestañas) y displaySurface (ofrece la posibilidad de restringir el uso compartido a una pestaña, ventana o pantalla específica).
- En la API Performance se ha añadido la propiedad renderBlockingStatus para identificar los recursos que están causando que la renderización de la página se detenga hasta que se complete su carga.
- En el modo Origin Trials (funcionalidades experimentales que requieren activación por separado) se han añadido varias API nuevas. El Origin Trial implica la posibilidad de trabajar con la API especificada desde aplicaciones cargadas desde localhost o 127.0.0.1, o tras registrarse y obtener un token especial que tiene una duración limitada para un sitio específico.
- API declarativa PendingBeacon, que permite gestionar el envío de servidor datos que no requieren respuesta (beacon). La nueva API permite delegar el envío de estos datos al navegador, sin necesidad de llamar a las operaciones de envío en un tiempo específico, por ejemplo, para organizar la transmisión de telemetría después de que el usuario cierre la página.
- En el encabezado HTTP Permissions-Policy (Feature Policy), utilizado para delegar permisos y habilitar capacidades avanzadas, se ha añadido soporte para el valor "unload", que permite desactivar los manejadores del evento "unload" en la página.
- En la etiqueta se ha añadido soporte para el atributo "rel", que permite aplicar la opción "rel=noreferrer" a la navegación a través de web-formas para desactivar el envío del encabezado Referer o "rel=noopener" para deshabilitar la propiedad Window.opener y prohibir el acceso al contexto desde el que se realizó la navegación.
- En CSS Grid se ha añadido soporte para la interpolación de las propiedades grid-template-columns y grid-template-rows para organizar transiciones suaves entre diferentes estados de la cuadrícula.
- Se han realizado mejoras en las herramientas para desarrolladores web. Se ha añadido la posibilidad de personalizar atajos de teclado. Se ha mejorado la inspección de memoria de objetos de aplicaciones C/C++, transformados en formato WebAssembly.
Además de las nuevas características y la corrección de errores, la nueva versión ha solucionado 14 vulnerabilidades. Muchas de estas vulnerabilidades fueron descubiertas mediante pruebas automatizadas con herramientas como AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer y AFL. No se han identificado problemas críticos que puedan eludir todos los niveles de protección del navegador y ejecutar código en el sistema fuera del entorno sandbox. En el marco del programa de recompensas por la detección de vulnerabilidades para esta versión, Google ha otorgado 10 premios por un total de 57,000 dólares (un premio de $20,000, uno de $17,000 y uno de $7,000, dos premios de $3,000, tres premios de $2,000 y uno de $1,000). El monto de cada recompensa aún no ha sido determinado.
Fuente: opennet.ru
