L'azienda Google ha presentato il rilascio del browser web Chrome 107. È disponibile contemporaneamente anche la versione stabile del progetto open source Chromium, che costituisce la base di Chrome. Il browser Chrome si distingue da Chromium per l'uso dei loghi Google, la presenza di un sistema di invio di notifiche in caso di arresto anomalo, moduli per la riproduzione di contenuti video protetti da copyright (DRM), un sistema di aggiornamento automatico, l'attivazione costante della Sandbox, la fornitura di chiavi per le API Google e la trasmissione di parametri RLZ durante la ricerca. Per gli utenti che necessitano di più tempo per l'aggiornamento, è supportata una versione Extended Stable, che offre un supporto di 8 settimane. Il rilascio successivo di Chrome 108 è previsto per il 29 novembre.
Principali novità in Chrome 107:
- È stata aggiunta la supporto per il meccanismo ECH (Encrypted Client Hello), che continua lo sviluppo dell'ESNI (Encrypted Server Name Indication) e viene utilizzato per crittografare le informazioni sui parametri delle sessioni TLS, come il nome di dominio richiesto. La principale differenza tra ECH e ESNI è che in ECH, invece di crittografare a livello di singoli campi, viene crittografato l'intero messaggio TLS ClientHello, permettendo di bloccare le perdite tramite campi non coperti da ESNI, come il campo PSK (Pre-Shared Key). ECH utilizza anche il record DNS HTTPSSVC invece di un record di tipo TXT per trasmettere informazioni sulla chiave pubblica e applica la crittografia end-to-end autenticata basata sul meccanismo HPKE (Hybrid Public Key Encryption) per generare e crittografare la chiave. È stata proposta un'impostazione per gestire l'attivazione di ECH: "chrome://flags#encrypted-client-hello".
- È stata attivata la supporto per l'accelerazione hardware nella decodifica di video in formato H.265 (HEVC).
- È stata implementata la quinta fase di riduzione delle informazioni nell'intestazione HTTP User-Agent e nei parametri JavaScript navigator.userAgent, navigator.appVersion e navigator.platform, con l'obiettivo di ridurre le informazioni che possono essere utilizzate per l'identificazione passiva degli utenti. In Chrome 107, nella stringa User-Agent, sono state ridotte le informazioni sulla piattaforma e sul processore per gli utenti di sistemi desktop, e il contenuto del parametro JavaScript navigator.platform è stato congelato. La modifica è evidente solo nelle versioni per la piattaforma Windows, per la quale la versione specifica è stata sostituita da "Windows NT 10.0". In Linux, il contenuto della piattaforma nell'User-Agent non è cambiato.
In precedenza, i numeri della versione del browser MINOR.BUILD.PATCH sono stati sostituiti con 0.0.0. In futuro, si prevede di mantenere solo informazioni sul nome del browser, sulla versione principale del browser, sulla piattaforma e sul tipo di dispositivo (telefono mobile, PC, tablet) nell'intestazione. Per ulteriori dati, come la versione esatta e informazioni dettagliate sulla piattaforma, è necessario utilizzare l'API User Agent Client Hints. Per i siti che non hanno a disposizione nuove informazioni e che non sono ancora pronti a passare a User Agent Client Hints, fino a maggio 2023 è stata fornita la possibilità di restituire il completo User-Agent.
- Nella versione per Android, è stata interrotta la supporto per la piattaforma Android 6.0; ora è necessaria almeno la versione Android 7.0 per il funzionamento del browser.
- È stata modificata l'interfaccia per il monitoraggio dello stato dei download. Invece della barra inferiore con i dati sul progresso del download, è stato aggiunto un nuovo indicatore alla barra degli indirizzi, su cui, cliccando, si mostra il progresso dei download dei file e la cronologia con l'elenco dei file già scaricati. A differenza della barra inferiore, il pulsante è sempre visibile sulla barra e consente di accedere rapidamente alla cronologia dei download. Questa nuova interfaccia è attualmente proposta come predefinita solo per una parte degli utenti e sarà distribuita a tutti in assenza di problemi.
- Per gli utenti di sistemi desktop è stata offerta la possibilità di importare le password salvate in un file in formato CSV. In precedenza, le password da un file nel browser potevano essere trasferite solo tramite il servizio passwords.google.com, ma ora è possibile farlo anche tramite il gestore di password integrato nel browser (Google Password Manager).
- Dopo la creazione di un nuovo profilo da parte dell'utente, viene visualizzato un invito che propone di attivare la sincronizzazione e di accedere alle impostazioni, attraverso le quali è possibile modificare il nome del profilo e scegliere il tema di colore.
- Nella versione per la piattaforma Android è stata proposta una nuova interfaccia per la selezione di file multimediali per il caricamento di foto e video (invece della propria implementazione è stato utilizzato l'interfaccia standard Android Media Picker).
- È stato garantito il ritiro automatico del consenso per le notifiche da parte dei siti accusati di inviare notifiche e messaggi invadenti per l'utente. Inoltre, per tali siti è stata sospesa la visualizzazione delle richieste per ottenere l'autorizzazione all'invio di notifiche.
- Nell'API Screen Capture sono state aggiunte nuove proprietà relative alla condivisione dello schermo: selfBrowserSurface (consente di escludere la scheda attuale quando si chiama getDisplayMedia()), surfaceSwitching (consente di nascondere il pulsante per il passaggio tra le schede) e displaySurface (permette di limitare la condivisione della scheda, della finestra o dello schermo).
- Nell'API Performance è stata aggiunta la proprietà renderBlockingStatus per identificare le risorse che bloccano il rendering della pagina fino al completamento del loro caricamento.
- Nella modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata) sono stati aggiunti diversi nuovi API. L'Origin Trial implica la possibilità di utilizzare l'API specificata da applicazioni caricate da localhost o 127.0.0.1, o dopo aver completato la registrazione e ottenuto un token speciale, valido per un tempo limitato per un sito web specifico.
- API dichiarativa PendingBeacon, che consente di gestire l'invio di server dati senza risposta (beacon). La nuova API consente di delegare l'invio di tali dati al browser, senza la necessità di invocare operazioni di invio in momenti specifici, ad esempio, per organizzare la trasmissione della telemetria dopo che l'utente ha chiuso la pagina.
- Nell'intestazione HTTP Permissions-Policy (Feature Policy), utilizzata per delegare autorizzazioni e abilitare funzionalità avanzate, è stato aggiunto il supporto per il valore 'unload', che consente di disattivare i gestori di eventi 'unload' sulla pagina.
- Nell'elemento è stata aggiunta la supporto per l'attributo 'rel', che consente di applicare ai collegamenti attraverso le web form il parametro 'rel=noreferrer' per disabilitare il trasferimento dell'intestazione Referer o 'rel=noopener' per disabilitare la proprietà Window.opener e vietare l'accesso al contesto da cui è stata effettuata la navigazione.
- Nel CSS Grid è stato aggiunto il supporto per l'interpolazione delle proprietà grid-template-columns e grid-template-rows per facilitare una transizione fluida tra i diversi stati della griglia.
- Sono stati apportati miglioramenti agli strumenti per sviluppatori web. È stata aggiunta la possibilità di configurare le scorciatoie da tastiera. È migliorata l'ispezione della memoria degli oggetti nelle applicazioni C/C++ convertite nel formato WebAssembly.
Oltre alle novità e alle correzioni di errori, la nuova versione ha risolto 14 vulnerabilità. Molte di queste vulnerabilità sono state scoperte attraverso test automatizzati utilizzando strumenti come AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono state trovate problematiche critiche che consentano di bypassare tutti i livelli di protezione del browser ed eseguire codice nel sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di ricompensa per la scoperta di vulnerabilità per l'attuale rilascio, Google ha corrisposto 10 premi per un totale di 57.000 dollari statunitensi (un premio di 20.000 $, 17.000 $ e 7.000 $, due premi da 3.000 $, tre premi da 2.000 $ e un premio da 1.000 $). L'ammontare di una singola ricompensa non è ancora stato stabilito.
Fonte: opennet.ru
