Google heeft de Chrome 107-webbrowser uitgebracht. Tegelijkertijd is er een stabiele versie beschikbaar van het gratis Chromium-project, de basis van Chrome. De Chrome-browser onderscheidt zich van Chromium doordat hij Google-logo's gebruikt, een systeem heeft voor het verzenden van meldingen bij een crash, modules voor het afspelen van kopieerbeveiligde videocontent (DRM), een automatisch installatiesysteem voor updates, constante integratie van Sandbox-isolatie, levering van sleutels aan de Google API en overdracht van RLZ-parameters tijdens het zoeken. Voor wie meer tijd nodig heeft om te updaten, wordt de Extended Stable-branch apart ondersteund, die 8 weken lang wordt ondersteund. De volgende versie van Chrome 108 staat gepland voor 29 november.
Belangrijkste wijzigingen in Chrome 107:
- Ondersteuning toegevoegd voor het ECH-mechanisme (Encrypted Client Hello), dat de ontwikkeling van ESNI (Encrypted Server Name Indication) voortzet en wordt gebruikt om informatie over TLS-sessieparameters, zoals de aangevraagde domeinnaam, te versleutelen. Het belangrijkste verschil tussen ECH en ESNI is dat ECH het volledige ClientHello TLS-bericht versleutelt in plaats van afzonderlijke velden. Dit helpt lekken te voorkomen via velden die ESNI niet dekt, zoals het PSK-veld (Pre-Shared Key). ECH gebruikt ook de HTTPSSVC DNS-record in plaats van een TXT-record om openbare-sleutelinformatie te verzenden en gebruikt geverifieerde end-to-end-encryptie op basis van het HPKE-mechanisme (Hybrid Public Key Encryption) om de sleutel te verkrijgen en te versleutelen. De instelling "chrome://flags#encrypted-client-hello" wordt voorgesteld om te bepalen of ECH is ingeschakeld.
- Ondersteuning voor hardwareversnelling van videodecodering in H.265 (HEVC)-formaat is ingeschakeld.
- De vijfde fase van het afkappen van informatie in de User-Agent HTTP-header en de JavaScript-parameters navigator.userAgent, navigator.appVersion en navigator.platform is geactiveerd, met als doel de hoeveelheid informatie die gebruikt kan worden om een gebruiker passief te identificeren, te verminderen. In Chrome 107 is de platform- en processorinformatie in de User-Agent-string voor desktopgebruikers verminderd en is de inhoud van de JavaScript-parameter navigator.platform bevroren. De wijziging is alleen merkbaar op Windows-platforms, waar de specifieke platformversie is vervangen door "Windows NT 10.0". Op Linux is de platforminhoud in User-Agent niet gewijzigd.
Voorheen werden de MINOR.BUILD.PATCH-nummers die de browserversie vormden, vervangen door 0.0.0. In de toekomst zal de header alleen informatie bevatten over de browsernaam, de belangrijkste browserversie, het platform en het apparaattype (mobiele telefoon, pc, tablet). Om aanvullende gegevens te verkrijgen, zoals de exacte versie en uitgebreide platformgegevens, moet u de User Agent Client Hints API gebruiken. Voor sites die nog niet over voldoende nieuwe informatie beschikken en nog niet klaar zijn om over te stappen op User Agent Client Hints, is de mogelijkheid om de volledige User Agent te retourneren beschikbaar tot mei 2023.
- De Android-versie ondersteunt het Android 6.0-platform niet meer en de browser heeft nu minimaal Android 7.0 nodig om te kunnen draaien.
- Het interfaceontwerp voor het volgen van de downloadstatus is gewijzigd. In plaats van de onderste regel met downloadvoortgangsgegevens, is er een nieuwe indicator toegevoegd aan de adresbalk. Wanneer erop wordt geklikt, worden de voortgang van bestandsdownloads en de geschiedenis met een lijst van reeds gedownloade bestanden weergegeven. In tegenstelling tot het onderste paneel wordt de knop constant weergegeven op het paneel en biedt deze snel toegang tot de downloadgeschiedenis. De nieuwe interface wordt momenteel standaard alleen aan bepaalde gebruikers aangeboden en zal, indien er geen problemen zijn, voor iedereen beschikbaar zijn.
- Desktopgebruikers kunnen nu wachtwoorden importeren die zijn opgeslagen in een CSV-bestand. Voorheen konden wachtwoorden uit een bestand alleen via de service passwords.google.com naar een browser worden overgezet, maar nu kan dit via de ingebouwde wachtwoordbeheerder van de browser (Google Password Manager).
- Nadat de gebruiker een nieuw profiel heeft aangemaakt, wordt er een uitnodiging weergegeven met de vraag om synchronisatie in te schakelen en naar de instellingen te gaan. Daar kunt u de profielnaam wijzigen en een kleurenthema selecteren.
- De versie voor het Android-platform biedt een nieuwe interface voor het selecteren van mediabestanden voor het uploaden van foto's en video's (in plaats van een eigen implementatie wordt de standaard Android Media Picker-interface gebruikt).
- Trek automatisch de toestemming in om meldingen weer te geven voor sites waarvan is vastgesteld dat ze vervelende meldingen en berichten naar de gebruiker sturen. Bovendien zijn voor dergelijke sites verzoeken om toestemming om meldingen te versturen opgeschort.
- De Screen Capture API heeft nieuwe eigenschappen die betrekking hebben op schermdeling: selfBrowserSurface (hiermee kunt u het huidige tabblad uitsluiten bij het aanroepen van getDisplayMedia()), surfaceSwitching (hiermee kunt u de knop voor het wisselen van tabbladen verbergen) en displaySurface (hiermee kunt u het delen beperken tot een tabblad, venster of scherm).
- De eigenschap renderBlockingStatus is toegevoegd aan de Performance API om bronnen te identificeren die ervoor zorgen dat de weergave van pagina's wordt gepauzeerd totdat ze volledig zijn geladen.
- Er zijn verschillende nieuwe API's toegevoegd aan de Origin Trials-modus (experimentele functies die afzonderlijk moeten worden geactiveerd). Origin Trial impliceert de mogelijkheid om met de gespecificeerde API te werken vanuit applicaties die zijn gedownload van localhost of 127.0.0.1, of na registratie en ontvangst van een speciaal token dat voor een beperkte tijd geldig is voor een specifieke site.
- Declaratieve API PendingBeacon, waarmee u het verzenden van gegevens naar de server kunt beheren die geen respons vereisen (beacon). Met de nieuwe API kunt u het verzenden van dergelijke gegevens delegeren aan de browser, zonder dat u op een specifiek tijdstip verzendbewerkingen hoeft aan te roepen, bijvoorbeeld om de transmissie van telemetrie te regelen nadat de gebruiker de pagina heeft gesloten.
- De HTTP-header Permissions-Policy (Feature Policy) die wordt gebruikt om machtigingen te delegeren en geavanceerde functies in te schakelen, is bijgewerkt ter ondersteuning van de waarde 'unload'. Deze kan worden gebruikt om 'unload'-gebeurtenisafhandelingen op een pagina uit te schakelen.
- In tag Ondersteuning toegevoegd voor het kenmerk "rel", waarmee u de parameter "rel=noreferrer" kunt toepassen op navigatie door webformulieren om de overdracht van de Referer-header uit te schakelen of "rel=noopener" om de instelling van de eigenschap Window.opener uit te schakelen en toegang tot de context van waaruit de overgang is gemaakt, te verbieden.
- CSS Grid biedt nu ondersteuning voor het interpoleren van de eigenschappen grid-template-columns en grid-template-rows, waardoor soepele overgangen tussen verschillende rastertoestanden mogelijk zijn.
- Verbeteringen zijn aangebracht aan de tools voor webontwikkelaars. De mogelijkheid om sneltoetsen aan te passen is toegevoegd. Verbeterde geheugeninspectie van C/C++-applicatieobjecten die zijn geconverteerd naar WebAssembly-formaat.
Naast innovaties en bugfixes elimineert de nieuwe versie 14 kwetsbaarheden. Veel van de kwetsbaarheden werden geïdentificeerd als resultaat van geautomatiseerde tests met de tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer en AFL. Er werden geen kritieke problemen vastgesteld die het mogelijk maakten alle niveaus van browserbeveiliging te omzeilen en code in het systeem buiten de sandboxomgeving uit te voeren. Als onderdeel van het programma voor het uitkeren van geldbeloningen voor het detecteren van kwetsbaarheden voor de huidige release, heeft Google 10 beloningen uitgekeerd met een totaalbedrag van $ 57 (één beloning van $ 20000, $ 17000 en $ 7000, twee beloningen van $ 3000, drie beloningen van $ 2000 en één beloning van $ 1000). De hoogte van één beloning is nog niet vastgesteld.
Bron: opennet.ru
