Utgivelsen av Chrome 107

Google har lansert versjonen av nettleseren Chrome 107. Samtidig er det tilgjengelig en stabil utgivelse av det åpne prosjektet Chromium, som danner grunnlaget for Chrome. Chrome-nettleseren skiller seg fra Chromium ved å bruke Google-logoer, ha et system for å sende varsler ved systemfeil, moduler for å spille av beskyttet videoinnhold (DRM), automatisert oppdatering, konstant aktiverte Sandbox-isolasjon, levering av nøkler til Google API, og overføring av RLZ-parametere under søk. For de som trenger mer tid til oppdatering, støttes en egen Extended Stable-gren i åtte uker. Neste utgivelse av Chrome 108 er planlagt 29. november.

De viktigste endringene i Chrome 107:

• Støtten for ECH (Encrypted Client Hello) er lagt til, som viderefører utviklingen av ESNI (Encrypted Server Name Indication) og brukes for å kryptere informasjon om TLS-øktparametre, som det forespurte domenenavnet. Hovedforskjellen mellom ECH og ESNI er at i ECH krypteres hele TLS-meldingen ClientHello i stedet for enkeltfelt, noe som stopper lekkasjer gjennom felt som ikke dekkes av ESNI, for eksempel PSK-feltet (Pre-Shared Key). ECH bruker også DNS-posten HTTPSSVC i stedet for en TXT-poster for å overføre informasjon om offentlige nøkler og bruker autentisert ende-til-ende-kryptering basert på HPKE-mekanismen (Hybrid Public Key Encryption) for å oppnå og kryptere nøkkelen. For å administrere aktiveringen av ECH, er det foreslått en innstilling «chrome://flags#encrypted-client-hello».
• Støtten for maskinvareakselerasjon for dekoding av video i H.265-format (HEVC) er aktivert.
• Femte trinn i beskjæringen av informasjon i HTTP-headeren User-Agent og JavaScript-parametrene navigator.userAgent, navigator.appVersion og navigator.platform er aktivert, gjennomført for å redusere informasjonen som kan brukes til passiv identifikasjon av brukeren. I Chrome 107 er informasjonen om plattform og prosessor i User-Agent-strengen redusert for brukere av stasjonære systemer, og innholdet i JavaScript-parameteren navigator.platform er fryset. Endringen er merkbar kun i versjoner for Windows-plattformen, der den spesifikke versjonen av plattformen er erstattet med «Windows NT 10.0». Innholdet i plattformen i User-Agent er ikke endret på Linux.

  Tidligere ble versjonsnumrene i nettleseren MINOR.BUILD.PATCH erstattet med 0.0.0. I fremtiden er det planlagt å beholde bare informasjon om nettleserens navn, hovedversjon, plattform og enhetstype (mobiltelefon, PC, nettbrett) i overskriften. For å få ytterligere data, som nøyaktig versjon og utvidede plattformdata, må API-en User Agent Client Hints brukes. For nettsteder som er lite fornøyd med den nye informasjonen og som fortsatt ikke er klare til å gå over til User Agent Client Hints, er det fram til mai 2023 tilgjengelig å returnere full User-Agent.
• I Android-versjonen er støtten for plattformen Android 6.0 avsluttet, og nettleseren krever nå minst versjon Android 7.0.
• Utformingen av grensesnittet for nedlastingsstatus er endret. I stedet for den nederste linjen med informasjon om nedlastingsprosess er det lagt til en ny indikator i adressefeltet, som ved klikk viser fremdriften av filnedlastinger og historikken med listen over allerede lastede filer. I motsetning til bunnen har knappen alltid vært synlig på panelet og lar deg raskt gå til nedlastingshistorikken. Det nye grensesnittet er foreløpig tilbudt som standard til bare en del av brukerne, og vil bli rullet ut til alle dersom det ikke oppstår problemer.
• For brukere på stasjonære systemer er det nå mulig å importere passord som er lagret i en CSV-fil. Tidligere kunne passord fra fil overføres til nettleseren bare gjennom tjenesten passwords.google.com, men nå kan dette også gjøres gjennom den innebygde passordbehandleren i nettleseren (Google Password Manager).
• Etter at brukeren har opprettet en ny profil, vises det et varsel som tilbyr å aktivere synkronisering og gå til innstillingene, der man kan endre profilnavnet og velge fargetema.
• I versjonen for Android-plattformen foreslås et nytt grensesnitt for valg av multimediefiler for opplasting av bilder og videoer (i stedet for egen implementering benyttes det standard Android Media Picker-grensesnittet).
• Automatisk tilbakekalling av tillatelse til å vise varsler er sikret for nettsteder som er oppdaget å sende forstyrrende varsler og meldinger til brukeren. Dessuten er visningen av forespørslene om tillatelse til å sende varsler midlertidig stoppet for slike nettsteder.
• I API-en Screen Capture er det lagt til nye egenskaper relatert til skjermdeling — selfBrowserSurface (lar deg ekskludere den nåværende fanen ved kallet getDisplayMedia()), surfaceSwitching (lar deg skjule knappen for å bytte faner) og displaySurface (gir mulighet til å begrense skjermdelingen til en fane, et vindu eller hele skjermen).
• I API-en Performance er det lagt til en egenskap renderBlockingStatus for å bestemme hvilke ressurser som er årsaken til at gjengivelsen av siden er suspendert inntil de er lastet inn.
• I Origin Trials-modus (eksperimentelle funksjoner som krever separat aktivering) er flere nye API-er lagt til. Origin Trial betyr muligheten til å jobbe med den spesifiserte API-en fra applikasjoner lastet inn fra localhost eller 127.0.0.1, eller etter registrering og mottak av et spesialtoken som er gyldig i en begrenset periode for et spesifikt nettsted.
  • Den deklarative API-en PendingBeacon tillater styring av sending til server data som ikke krever svar (beacon). Det nye API-et tillater å delegere sending av slike data til nettleseren, uten behov for å kalle sendingsoperasjoner på bestemte tidspunkter, for eksempel for å organisere overføring av telemetri etter at brukeren har lukket siden.
  • I HTTP-headeren Permissions-Policy (Feature Policy), som brukes til å delegere tillatelser og aktivere utvidede funksjoner, er det lagt til støtte for verdien "unload", som gjør det mulig å deaktivere behandlere for "unload"-hendelsen på siden.
• I taggen er det lagt til støtte for attributten "rel", som lar deg bruke parameteren "rel=noreferrer" for å deaktivere overføring av Referer-headeren ved navigering gjennom web-skjema, eller "rel=noopener" for å deaktivere egenskapen Window.opener og forby tilgang til konteksten som overgangen ble utført fra.
• I CSS Grid er det lagt til støtte for interpolering av egenskapene grid-template-columns og grid-template-rows for å organisere en jevn overgang mellom ulike tilstander i rutenettet.
• Det er gjort forbedringer i verktøyene for webutviklere. Muligheten for å tilpasse hurtigtaster er lagt til. Inspeksjonen av minne for C/C++-applikasjoner som er konvertert til WebAssembly-formatet er forbedret.

I den nye versjonen er 14 sårbarheter rettet, i tillegg til nye funksjoner og feilrettinger. Mange av sårbarhetene ble oppdaget gjennom automatisert testing med verktøyene AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer og AFL. Det er ingen kritiske problemer som tillater omgåelse av alle nivåer av nettleserbeskyttelse og kjøring av kode utenfor sandbox-miljøet. Gjennom programmet for belønning av sårbarheter har Google utbetalt 10 premier på totalt 57 000 amerikanske dollar for denne utgivelsen (én premie på $20000, $17000 og $7000, to premier på $3000, tre premier på $2000 og én premie på $1000). Størrelsen på én av premiene er fortsatt ikke fastsatt.

Kilde: opennet.ru