Google heeft de release onthuld van de webbrowser Chrome 107. Tegelijkertijd is er een stabiele release beschikbaar van het gratis Chromium-project, dat als basis dient voor Chrome. De Chrome-browser verschilt van Chromium in het gebruik van Google-logo's, de aanwezigheid van een systeem voor het verzenden van meldingen bij een crash, modules voor het afspelen van tegen kopiëren beveiligde videocontent (DRM), een systeem voor het automatisch installeren van updates, waardoor Sandbox-isolatie permanent mogelijk wordt gemaakt , het leveren van sleutels aan de Google API en het verzenden van RLZ- tijdens het zoeken.parameters. Voor degenen die meer tijd nodig hebben om te updaten, wordt de Extended Stable-tak afzonderlijk ondersteund, gevolgd door 8 weken. De volgende release van Chrome 108 staat gepland voor 29 november.
Belangrijkste wijzigingen in Chrome 107:
- Ondersteuning toegevoegd voor het ECH-mechanisme (Encrypted Client Hello), dat de ontwikkeling van ESNI (Encrypted Server Name Indication) voortzet en wordt gebruikt om informatie over TLS-sessieparameters te coderen, zoals de aangevraagde domeinnaam. Het belangrijkste verschil tussen ECH en ESNI is dat ECH in plaats van te coderen op het niveau van individuele velden, het volledige TLS ClientHello-bericht codeert, waardoor u lekken kunt blokkeren via velden die ESNI niet bestrijkt, bijvoorbeeld de PSK (Pre-Shared Sleutel) veld. ECH gebruikt ook het HTTPSSVC DNS-record in plaats van het TXT-record om openbare-sleutelinformatie over te brengen, en gebruikt geverifieerde end-to-end-codering op basis van het Hybrid Public Key Encryption (HPKE)-mechanisme om de sleutel te verkrijgen en te coderen. Om te bepalen of ECH is ingeschakeld, is de instelling “chrome://flags#encrypted-client-hello” voorgesteld.
- Ondersteuning voor hardwareversnelde videodecodering in H.265-indeling (HEVC) is ingeschakeld.
- De vijfde fase van informatiereductie in de User-Agent HTTP-header en JavaScript-parameters navigator.userAgent, navigator.appVersion en navigator.platform is geactiveerd, geïmplementeerd om informatie te verminderen die kan worden gebruikt om de gebruiker passief te identificeren. Chrome 107 heeft de platform- en processorinformatie in de User-Agent-regel voor desktopgebruikers verminderd en de inhoud van de JavaScript-parameter navigator.platform bevroren. De verandering is alleen merkbaar in versies voor het Windows-platform, waarvoor de specifieke platformversie is gewijzigd naar "Windows NT 10.0". Op Linux is de platforminhoud in de User-Agent niet gewijzigd.
Voorheen zijn de MINOR.BUILD.PATCH-nummers waaruit de browserversie bestond vervangen door 0.0.0. In de toekomst is het de bedoeling om alleen informatie over de naam van de browser, de belangrijkste browserversie, het platform en het apparaattype (mobiele telefoon, pc, tablet) in de header achter te laten. Om aanvullende gegevens te verkrijgen, zoals de exacte versie en uitgebreide platformgegevens, moet u de User Agent Client Hints API gebruiken. Voor sites die niet voldoende nieuwe informatie hebben en nog niet klaar zijn om over te stappen op User Agent Client Hints, hebben ze tot mei 2023 de mogelijkheid om de volledige User-Agent terug te geven.
- De Android-versie ondersteunt het Android 6.0-platform niet meer; de browser vereist nu minimaal Android 7.0.
- Het interfaceontwerp voor het volgen van de status van downloads is gewijzigd. In plaats van de onderste regel met gegevens over de downloadvoortgang is er een nieuwe indicator toegevoegd aan het paneel met de adresbalk; als je erop klikt, wordt de voortgang van het downloaden van bestanden en een geschiedenis met een lijst van reeds gedownloade bestanden getoond. In tegenstelling tot het onderste paneel wordt de knop constant op het paneel weergegeven en hebt u snel toegang tot uw downloadgeschiedenis. De nieuwe interface wordt momenteel standaard alleen aan enkele gebruikers aangeboden en zal naar alle gebruikers worden uitgebreid als er geen problemen zijn.
- Voor desktopgebruikers is het mogelijk om wachtwoorden te importeren die zijn opgeslagen in een bestand in CSV-formaat. Voorheen konden wachtwoorden uit een bestand naar de browser alleen worden overgedragen via de dienst passwords.google.com, maar nu kan dit ook via de Google Wachtwoordmanager die in de browser is ingebouwd.
- Nadat de gebruiker een nieuw profiel heeft aangemaakt, wordt er een prompt weergegeven waarin u wordt gevraagd de synchronisatie in te schakelen en naar de instellingen te gaan, waar u de profielnaam kunt wijzigen en een kleurthema kunt selecteren.
- De versie voor het Android-platform biedt een nieuwe interface voor het selecteren van mediabestanden voor het uploaden van foto's en video's (in plaats van een eigen implementatie wordt de standaard Android Media Picker-interface gebruikt).
- Er is automatische intrekking van de toestemming voor het weergeven van meldingen voorzien voor sites waarvan is vastgesteld dat ze meldingen en berichten verzenden die de gebruiker hinderen. Bovendien zijn voor dergelijke sites de verzoeken om toestemming voor het verzenden van meldingen opgeschort.
- De Screen Capture API heeft nieuwe eigenschappen toegevoegd met betrekking tot het delen van schermen: selfBrowserSurface (hiermee kunt u het huidige tabblad uitsluiten bij het aanroepen van getDisplayMedia()), SurfaceSwitching (hiermee kunt u de knop verbergen om tussen tabbladen te schakelen) en displaySurface (hiermee kunt u het delen beperken tot een tabblad, venster of scherm).
- De eigenschap renderBlockingStatus is toegevoegd aan de Performance API om bronnen te identificeren die ervoor zorgen dat de weergave van pagina's wordt onderbroken totdat ze zijn geladen.
- Er zijn verschillende nieuwe API's toegevoegd aan de Origin Trials-modus (experimentele functies die afzonderlijk moeten worden geactiveerd). Origin Trial impliceert de mogelijkheid om met de gespecificeerde API te werken vanuit applicaties die zijn gedownload van localhost of 127.0.0.1, of na registratie en ontvangst van een speciaal token dat voor een beperkte tijd geldig is voor een specifieke site.
- Declaratieve API PendingBeacon, waarmee u het verzenden van gegevens waarvoor geen antwoord (baken) naar de server nodig is, kunt controleren. Met de nieuwe API kunt u het verzenden van dergelijke gegevens naar de browser delegeren, zonder dat u op een bepaald tijdstip verzendbewerkingen hoeft uit te voeren, bijvoorbeeld om de overdracht van telemetrie te organiseren nadat de gebruiker de pagina heeft gesloten.
- De HTTP-header Permissions-Policy (Feature Policy), die wordt gebruikt om autoriteit te delegeren en geavanceerde functies in te schakelen, ondersteunt nu de waarde "unload", die kan worden gebruikt om handlers voor de gebeurtenis "unload" op de pagina uit te schakelen.
- Merken ondersteuning toegevoegd voor het attribuut “rel”, waarmee u de parameter “rel=noreferrer” kunt toepassen op navigatie door webformulieren om de overdracht van de Referer-header uit te schakelen, of “rel=noopener” om het instellen van de eigenschap Window.opener uit te schakelen en te verbieden toegang tot de context van waaruit de transitie heeft plaatsgevonden.
- CSS Grid heeft ondersteuning toegevoegd voor het interpoleren van de eigenschappen grid-template-kolommen en grid-template-rijen om een soepele overgang tussen verschillende rasterstatussen te bieden.
- Er zijn verbeteringen aangebracht in tools voor webontwikkelaars. De mogelijkheid toegevoegd om sneltoetsen te configureren. Verbeterde geheugeninspectie van C/C++-applicatieobjecten geconverteerd naar WebAssembly-indeling.
Naast innovaties en bugfixes elimineert de nieuwe versie 14 kwetsbaarheden. Veel van de kwetsbaarheden zijn geïdentificeerd als resultaat van geautomatiseerd testen met behulp van de tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er zijn geen kritieke problemen geïdentificeerd die het mogelijk zouden maken om alle niveaus van browserbeveiliging te omzeilen en code op het systeem uit te voeren buiten de sandbox-omgeving. Als onderdeel van het programma om contante beloningen uit te betalen voor het ontdekken van kwetsbaarheden voor de huidige release, heeft Google tien beloningen uitgekeerd ter waarde van 10 dollar (één beloning van $57, $20000 en $17000, twee beloningen van $7000, drie beloningen van $3000 en één beloning van $ 2000). De omvang van één beloning is nog niet vastgesteld.
Bron: opennet.ru