Google heeft de release van webbrowser Chrome 107 aangekondigd. Tegelijkertijd is er een stabiele versie van het open-sourceproject Chromium beschikbaar, dat de basis vormt voor Chrome. De Chrome-browser verschilt van Chromium door het gebruik van Google-logo's, de aanwezigheid van een systeem voor het verzenden van meldingen in geval van een crash, modules voor het afspelen van auteursrechtenbeschermde video-inhoud (DRM), een systeem voor automatische updates, permanente inschakeling van sandbox-isolatie, de levering van sleutels voor Google API en de overdracht van RLZ-parameters tijdens het zoeken. Voor degenen die meer tijd nodig hebben voor updates, wordt er een aparte versie, Extended Stable, ondersteund, die 8 weken wordt meegeleverd. De volgende release van Chrome 108 staat gepland voor 29 november.
Belangrijkste wijzigingen in Chrome 107:
- Ondersteuning voor het ECH-mechanisme (Encrypted Client Hello) is toegevoegd, dat de ontwikkeling van ESNI (Encrypted Server Name Indication) voortzet en wordt gebruikt voor het versleutelen van informatie over TLS-sessieparameters, zoals de aangevraagde domeinnaam. Het belangrijkste verschil tussen ECH en ESNI is dat in ECH in plaats van versleuteling op het niveau van individuele velden het hele TLS-bericht ClientHello wordt versleuteld, wat het mogelijk maakt om lekken via velden die niet door ESNI worden gedekt, zoals het PSK-veld (Pre-Shared Key), te blokkeren. ECH maakt ook gebruik van de DNS-vermelding HTTPSSVC in plaats van een TXT-vermelding voor het verzenden van informatie over de openbare sleutel en past geauthenticeerde end-to-end versleuteling toe op basis van het HPKE-mechanisme (Hybrid Public Key Encryption) voor het verkrijgen en versleutelen van de sleutel. Voor het beheren van de inschakeling van ECH is er een instelling voorgesteld: "chrome://flags#encrypted-client-hello".
- Ondersteuning voor hardwarematige versnelling van het decoderen van video in H.265-indeling (HEVC) is ingeschakeld.
- De vijfde fase van het verkorten van informatie in de HTTP-header User-Agent en de JavaScript-parameters navigator.userAgent, navigator.appVersion en navigator.platform is geactiveerd, met als doel het verminderen van de informatie die kan worden gebruikt voor passieve gebruikersidentificatie. In Chrome 107 is de informatie over platform en processor in de User-Agent-regel verkort voor desktopgebruikers, en is de inhoud van de JavaScript-parameter navigator.platform bevroren. De wijziging is alleen merkbaar in versies voor Windows-platforms, waar de specifieke versie van het platform is vervangen door "Windows NT 10.0". In Linux is de inhoud van de platforminformatie in de User-Agent niet veranderd.
Eerder werden de versiecijfers van de browser vervangen door 0.0.0. In de toekomst zal in de header alleen informatie worden weergegeven over de naam van de browser, de belangrijke versienummer van de browser, het platform en het type apparaat (mobiele telefoon, pc, tablet). Voor extra gegevens, zoals de exacte versie en uitgebreide platformgegevens, moet de API User Agent Client Hints worden gebruikt. Voor websites die niet genoeg nieuwe informatie hebben en nog niet klaar zijn om over te schakelen naar User Agent Client Hints, is er tot mei 2023 de mogelijkheid om de volledige User-Agent terug te geven.
- In de Android-versie is de ondersteuning voor het platform Android 6.0 beƫindigd, nu is minimaal versie Android 7.0 vereist om de browser te kunnen gebruiken.
- De interface voor het volgen van downloads is veranderd. In plaats van een onderste balk met gegevens over de voortgang van de download, is er een nieuwe indicator toegevoegd aan de adresbalk, waarop kan worden geklikt om de voortgang van de bestandsdownloads en de geschiedenis met een lijst van al gedownloade bestanden weer te geven. In tegenstelling tot de onderste balk is de knop constant zichtbaar op de balk en maakt het snel mogelijk om toegang te krijgen tot de downloadgeschiedenis. Deze nieuwe interface is voorlopig standaard aangeboden aan een deel van de gebruikers en zal naar iedereen worden uitgerold als er geen problemen zijn.
- Voor desktopgebruikers is het nu mogelijk om wachtwoorden te importeren die zijn opgeslagen in een bestand in CSV-indeling. Voorheen konden wachtwoorden alleen via de service passwords.google.com naar de browser worden overgebracht, maar nu kan dit ook via de ingebouwde wachtwoordbeheerder van de browser (Google Password Manager).
- Na het creƫren van een nieuwe gebruikersprofiel krijgt de gebruiker een prompt te zien waarin wordt voorgesteld om synchronisatie in te schakelen en naar de instellingen te gaan, waar het profielnaam en het kleurenthema kunnen worden aangepast.
- In de Android-versie is er een nieuwe interface geĆÆntroduceerd voor het selecteren van multimediabestanden voor het uploaden van fotoās en videoās (in plaats van een eigen implementatie is de standaardinterface van de Android Media Picker gebruikt).
- Er is automatische intrekking van de toestemming voor het tonen van meldingen voor websites die zich schuldig maken aan het versturen van hinderlijke meldingen en berichten. Bovendien is voor dergelijke websites de weergave van verzoeken om toestemming voor het verzenden van meldingen gepauzeerd.
- In de API Screen Capture zijn nieuwe eigenschappen toegevoegd die verband houden met scherm delen ā selfBrowserSurface (maakt het mogelijk om het huidige tabblad uit te sluiten bij het aanroepen van getDisplayMedia()), surfaceSwitching (maakt het mogelijk om de knop voor het wisselen van tabbladen te verbergen) en displaySurface (geeft de mogelijkheid om scherm delen te beperken tot een tabblad, venster of scherm).
- In de API Performance is de eigenschap renderBlockingStatus toegevoegd om de bronnen te identificeren die de rendering van de pagina uitstellen totdat ze zijn geladen.
- In de Origin Trials-modus (experimentele mogelijkheden die afzonderlijk moeten worden geactiveerd) zijn enkele nieuwe API's toegevoegd. Origin Trial houdt in dat het mogelijk is om met de opgegeven API te werken vanuit applicaties geladen vanaf localhost of 127.0.0.1, of na registratie en het verkrijgen van een speciale token die tijdelijk geldig is voor de specifieke site.
- De declaratieve API PendingBeacon, waarmee het verzenden van gegevens wordt beheerd die geen antwoord vereisen (beacon). De nieuwe API stelt in staat om het verzenden van dergelijke gegevens aan de browser te delegeren, zonder dat er specifieke verzendoperaties moeten worden aangeroepen, bijvoorbeeld om telemetrie te verzenden nadat de gebruiker de pagina heeft gesloten. server In de HTTP-header Permissions-Policy (Feature Policy), die wordt toegepast om bevoegdheden te delegeren en uitgebreide mogelijkheden in te schakelen, is ondersteuning toegevoegd voor de waarde 'unload', waarmee event handlers voor 'unload' op de pagina kunnen worden uitgeschakeld.
- In de <form>-tag is ondersteuning toegevoegd voor de 'rel'-attribuut, waarmee de navigatie via webformulieren het 'rel=noreferrer'-parameter kan toepassen om het verzenden van de Referer-header uit te schakelen, of 'rel=noopener' om het instellen van de Window.opener-eigenschap uit te schakelen en de toegang tot de context waaruit de overgang is uitgevoerd te verbieden.
- In CSS Grid is ondersteuning toegevoegd voor de interpolatie van de eigenschappen grid-template-columns en grid-template-rows om een vloeiende overgang tussen verschillende gridtoestanden mogelijk te maken.
- Er zijn verbeteringen aangebracht in de tools voor webontwikkelaars. Er is een mogelijkheid toegevoegd om sneltoetsen in te stellen. Het inspecteren van de geheugenobjecten van C/C++-toepassingen die zijn geconverteerd naar het WebAssembly-formaat is verbeterd.
- Er zijn verbeteringen aangebracht in de tools voor webontwikkelaars. Er is een mogelijkheid toegevoegd om sneltoetsen in te stellen. Het inspecteren van de geheugenobjecten van C/C++-toepassingen die zijn geconverteerd naar WebAssembly-formaat is verbeterd.
Naast de innovaties en bugfixes in de nieuwe versie zijn er 14 kwetsbaarheden verholpen. Veel van deze kwetsbaarheden zijn ontdekt door geautomatiseerd testen met tools zoals AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er zijn geen kritieke problemen aangetroffen die alle beveiligingslagen van de browser kunnen omzeilen en code buiten de sandbox-omgeving in het systeem kunnen uitvoeren. In het kader van het programma voor het uitbetalen van geldbeloningen voor het ontdekken van kwetsbaarheden heeft Google voor deze release 10 beloningen ter waarde van in totaal 57.000 USD uitbetaald (waaronder Ć©Ć©n beloning van $20.000, $17.000 en $7.000, evenals twee beloningen van $3.000, drie van $2.000 en Ć©Ć©n van $1.000). De omvang van Ć©Ć©n van de beloningen is nog niet bepaald.
Bron: opennet.ru
