Google ha annunciato l'uscita del browser web Chrome 107. Allo stesso tempo è disponibile una versione stabile del progetto gratuito Chromium, che funge da base per Chrome. Il browser Chrome si differenzia da Chromium per l'utilizzo dei loghi di Google, per la presenza di un sistema per l'invio di notifiche in caso di crash, moduli per la riproduzione di contenuti video protetti da copia (DRM), un sistema per l'installazione automatica degli aggiornamenti, abilitazione permanente dell'isolamento Sandbox , fornendo chiavi all'API di Google e trasmettendo RLZ durante le ricerche. Per coloro che necessitano di più tempo per l'aggiornamento, il ramo Extended Stable è supportato separatamente, seguito da 8 settimane. Il prossimo rilascio di Chrome 108 è previsto per il 29 novembre.
Modifiche principali in Chrome 107:
- Aggiunto il supporto per il meccanismo ECH (Encrypted Client Hello), che continua lo sviluppo di ESNI (Encrypted Server Name Indication) e viene utilizzato per crittografare le informazioni sui parametri della sessione TLS, come il nome di dominio richiesto. La differenza fondamentale tra ECH ed ESNI è che invece di crittografare a livello dei singoli campi, ECH crittografa l'intero messaggio TLS ClientHello, consentendo di bloccare le fughe di dati attraverso i campi che ESNI non copre, ad esempio il PSK (Pre-Shared Chiave). ECH utilizza inoltre il record DNS HTTPSSVC anziché il record TXT per trasmettere informazioni sulla chiave pubblica e utilizza la crittografia end-to-end autenticata basata sul meccanismo Hybrid Public Key Encryption (HPKE) per ottenere e crittografare la chiave. Per controllare se ECH è abilitato, è stata proposta l'impostazione "chrome://flags#encrypted-client-hello".
- Il supporto per la decodifica video con accelerazione hardware nel formato H.265 (HEVC) è abilitato.
- È stata attivata la quinta fase di riduzione delle informazioni nell'header HTTP User-Agent e nei parametri JavaScript navigator.userAgent, navigator.appVersion e navigator.platform, implementata per ridurre le informazioni che possono essere utilizzate per identificare passivamente l'utente. Chrome 107 ha ridotto le informazioni sulla piattaforma e sul processore nella riga User-Agent per gli utenti desktop e ha congelato il contenuto del parametro JavaScript navigator.platform. Il cambiamento è evidente solo nelle versioni per la piattaforma Windows, per le quali la versione specifica della piattaforma viene modificata in "Windows NT 10.0". Su Linux, il contenuto della piattaforma nello User-Agent non è cambiato.
In precedenza, i numeri MINOR.BUILD.PATCH che costituivano la versione del browser sono stati sostituiti con 0.0.0. In futuro si prevede di lasciare nell'intestazione solo le informazioni relative al nome del browser, alla versione principale del browser, alla piattaforma e al tipo di dispositivo (telefono cellulare, PC, tablet). Per ottenere dati aggiuntivi, come la versione esatta e i dati estesi della piattaforma, è necessario utilizzare l'API User Agent Client Hints. Per i siti che non dispongono di nuove informazioni sufficienti e non sono ancora pronti per passare a User Agent Client Hints, fino a maggio 2023 hanno l'opportunità di restituire lo User-Agent completo.
- La versione Android non supporta più la piattaforma Android 6.0; il browser ora richiede almeno Android 7.0.
- Il design dell'interfaccia per monitorare lo stato dei download è stato modificato. Al posto della riga inferiore con i dati sull'avanzamento del download, nel pannello con la barra degli indirizzi è stato aggiunto un nuovo indicatore; cliccandoci sopra viene mostrato l'avanzamento del download dei file e una cronologia con l'elenco dei file già scaricati. A differenza del pannello inferiore, il pulsante è costantemente visualizzato sul pannello e consente di accedere rapidamente alla cronologia dei download. La nuova interfaccia al momento è offerta di default solo ad alcuni utenti e verrà estesa a tutti se non ci saranno problemi.
- Per gli utenti desktop è possibile importare le password salvate in un file in formato CSV. In precedenza, le password da un file al browser potevano essere trasferite solo tramite il servizio passwords.google.com, ma ora ciò può essere fatto anche tramite Google Password Manager integrato nel browser.
- Dopo che l'utente ha creato un nuovo profilo, viene visualizzato un messaggio che richiede di abilitare la sincronizzazione e di accedere alle impostazioni, attraverso le quali è possibile modificare il nome del profilo e selezionare un tema colore.
- La versione per la piattaforma Android offre una nuova interfaccia per la selezione di file multimediali per il caricamento di foto e video (invece della propria implementazione, viene utilizzata l'interfaccia standard di Android Media Picker).
- È stata fornita la revoca automatica dell'autorizzazione alla visualizzazione delle notifiche per i siti che inviano notifiche e messaggi che interferiscono con l'utente. Per tali siti, inoltre, sono state sospese le richieste di autorizzazione all'invio di notifiche.
- L'API Screen Capture ha aggiunto nuove proprietà relative alla condivisione dello schermo: selfBrowserSurface (consente di escludere la scheda corrente quando si chiama getDisplayMedia()), surfaceSwitching (consente di nascondere il pulsante per cambiare scheda) e displaySurface (consente di limitare la condivisione a una scheda, una finestra o una schermata).
- Aggiunta la proprietà renderBlockingStatus all'API Performance per identificare le risorse che causano la sospensione del rendering della pagina fino al completamento del caricamento.
- Diverse nuove API sono state aggiunte alla modalità Origin Trials (funzionalità sperimentali che richiedono un'attivazione separata). Origin Trial implica la possibilità di lavorare con l'API specificata dalle applicazioni scaricate da localhost o 127.0.0.1, o dopo la registrazione e la ricezione di un token speciale valido per un periodo di tempo limitato per un sito specifico.
- API dichiarativa PendingBeacon, che consente di controllare l'invio di dati che non richiedono una risposta (beacon) al server. La nuova API consente di delegare l'invio di tali dati al browser, senza la necessità di richiamare operazioni di invio in un determinato momento, ad esempio per organizzare il trasferimento della telemetria dopo che l'utente ha chiuso la pagina.
- L'intestazione HTTP Permissions-Policy (Feature Policy), utilizzata per delegare l'autorità e abilitare funzionalità avanzate, ora supporta il valore "unload", che può essere utilizzato per disabilitare i gestori dell'evento "unload" sulla pagina.
- Taggare aggiunto il supporto all'attributo “rel”, che permette di applicare il parametro “rel=noreferrer” alla navigazione nei web form per disabilitare il trasferimento dell'header Referer oppure “rel=noopener” per disabilitare l'impostazione della proprietà Window.opener e vietare accesso al contesto da cui è stata effettuata la transizione.
- CSS Grid ha aggiunto il supporto per l'interpolazione delle proprietà grid-template-columns e grid-template-rows per fornire una transizione graduale tra diversi stati della griglia.
- Sono stati apportati miglioramenti agli strumenti per gli sviluppatori web. Aggiunta la possibilità di configurare i tasti di scelta rapida. Migliorata l'ispezione della memoria degli oggetti dell'applicazione C/C++ convertiti nel formato WebAssembly.
Oltre alle innovazioni e alle correzioni di bug, la nuova versione elimina 14 vulnerabilità. Molte delle vulnerabilità sono state identificate come risultato di test automatizzati utilizzando gli strumenti AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Non sono stati identificati problemi critici che consentano di aggirare tutti i livelli di protezione del browser ed eseguire codice sul sistema al di fuori dell'ambiente sandbox. Nell'ambito del programma di pagamento di premi in denaro per la scoperta di vulnerabilità per la versione attuale, Google ha pagato 10 premi per un importo di 57mila dollari USA (un premio da 20000 $, 17000 $ e 7000 $, due premi da 3000 $, tre premi da 2000 $ e uno premio di 1000 dollari). L'entità di una ricompensa non è stata ancora determinata.
Fonte: opennet.ru