Google ujawniło wydanie przeglądarki internetowej Chrome 107. Jednocześnie dostępna jest stabilna wersja darmowego projektu Chromium, który jest podstawą Chrome. Przeglądarka Chrome różni się od Chromium wykorzystaniem logo Google, obecnością systemu wysyłania powiadomień w przypadku awarii, modułami do odtwarzania treści wideo chronionych przed kopiowaniem (DRM), systemem automatycznej aktualizacji, stałą izolacją Sandbox , dostarczanie kluczy do Google API i przesyłanie podczas wyszukiwania parametrów RLZ. Dla tych, którzy potrzebują więcej czasu na aktualizację, gałąź Extended Stable jest obsługiwana oddzielnie, a następnie przez 8 tygodni. Kolejna wersja Chrome 108 zaplanowana jest na 29 listopada.
Kluczowe zmiany w Chrome 107:
- Dodano obsługę mechanizmu ECH (Encrypted Client Hello), który kontynuuje rozwój ESNI (Encrypted Server Name Indication) i służy do szyfrowania informacji o parametrach sesji TLS, takich jak żądana nazwa domeny. Kluczowa różnica pomiędzy ECH a ESNI polega na tym, że w ECH zamiast szyfrowania na poziomie poszczególnych pól, szyfrowana jest cała wiadomość TLS ClientHello, co pozwala blokować wycieki przez pola nieobjęte ESNI np. PSK (Wstępnie udostępniony klucz). ECH używa również rekordu HTTPSSVC DNS zamiast rekordu TXT do przekazywania informacji o kluczu publicznym i wykorzystuje uwierzytelnione kompleksowe szyfrowanie oparte na mechanizmie Hybrid Public Key Encryption (HPKE) w celu uzyskania i zaszyfrowania klucza. Aby kontrolować, czy funkcja ECH jest włączona, sugerowane jest ustawienie „chrome://flags#encrypted-client-hello”.
- Włączono obsługę przyspieszanego sprzętowo dekodowania wideo w formacie H.265 (HEVC).
- Piąty etap przycinania informacji w nagłówku HTTP User-Agent i parametrach JavaScript navigator.userAgent, navigator.appVersion i navigator.platform został włączony w celu zmniejszenia ilości informacji, których można użyć do pasywnej identyfikacji użytkownika. W Chrome 107 ciąg agenta użytkownika został zmniejszony w informacjach o platformie i procesorze dla użytkowników komputerów stacjonarnych, a zawartość parametru JavaScript navigator.platform została zamrożona. Zmiana jest zauważalna tylko w wersjach na platformę Windows, dla których konkretna wersja platformy została zmieniona na „Windows NT 10.0”. W systemie Linux zawartość platformy w User-Agent nie uległa zmianie.
Wcześniej numery MINOR.BUILD.PATCH, które tworzyły wersję przeglądarki, zostały zastąpione przez 0.0.0. W przyszłości nagłówek będzie zawierał tylko informacje o nazwie przeglądarki, głównej wersji przeglądarki, platformie i typie urządzenia (telefon komórkowy, komputer PC, tablet). Aby uzyskać dodatkowe dane, takie jak dokładna wersja i rozszerzone dane platformy, należy użyć interfejsu User Agent Client Hints API. W przypadku witryn, które nie mają wystarczającej ilości nowych informacji i nie są jeszcze gotowe do przejścia na wskazówki klienta User Agent, do maja 2023 r. przewidziana jest możliwość zwrotu pełnego User-Agent.
- Wersja Androida nie obsługuje już platformy Android 6.0, przeglądarka wymaga teraz co najmniej Androida 7.0.
- Zmieniono projekt interfejsu do śledzenia statusu pobrań. Zamiast dolnej linii z danymi o postępie pobierania, do panelu z paskiem adresu dodano nowy wskaźnik, po kliknięciu pokazany jest postęp pobierania plików oraz historia z listą już pobranych plików. W przeciwieństwie do dolnego paska przycisk jest stale wyświetlany na pasku i umożliwia szybki dostęp do historii pobierania. Nowy interfejs był dotychczas oferowany domyślnie tylko niektórym użytkownikom i zostanie rozszerzony na wszystkich, jeśli nie będzie problemów.
- Dla użytkowników komputerów stacjonarnych przewidziano możliwość importu haseł zapisanych w pliku w formacie CSV. Wcześniej hasła z pliku do przeglądarki można było przenosić tylko za pośrednictwem usługi passwords.google.com, ale teraz można to zrobić za pomocą wbudowanego w przeglądarkę menedżera haseł (Google Password Manager).
- Po utworzeniu przez użytkownika nowego profilu wyświetlany jest monit o włączenie synchronizacji i przejście do ustawień, w których można zmienić nazwę profilu i wybrać motyw kolorystyczny.
- Wersja na platformę Android oferuje nowy interfejs do wybierania plików multimedialnych do przesyłania zdjęć i filmów (zamiast własnej implementacji używany jest standardowy interfejs Android Media Picker).
- Włączono automatyczne cofanie uprawnień do wyświetlania powiadomień dla witryn przyłapanych na wysyłaniu powiadomień i wiadomości przeszkadzających użytkownikowi. Ponadto w przypadku takich witryn zawieszane są prośby o uzyskanie uprawnień do wysyłania powiadomień.
- Do interfejsu Screen Capture API dodano nowe właściwości związane z udostępnianiem ekranu — selfBrowserSurface (pozwala wykluczyć bieżącą kartę podczas wywoływania getDisplayMedia()), surfaceSwitching (pozwala ukryć przycisk przełączania kart) i displaySurface (pozwala ograniczyć udostępnianie do karty, okna lub ekranu).
- Dodano właściwość renderBlockingStatus do Performance API, aby identyfikować zasoby, które powodują wstrzymanie renderowania strony do momentu zakończenia ładowania.
- Do trybu Origin Trials dodano kilka nowych interfejsów API (funkcje eksperymentalne wymagające oddzielnej aktywacji). Origin Trial oznacza możliwość pracy z określonym API z aplikacji pobranych z localhost lub 127.0.0.1 lub po zarejestrowaniu i otrzymaniu specjalnego tokena, który jest ważny przez ograniczony czas dla określonej witryny.
- Deklaratywne API PendingBeacon, które pozwala kontrolować wysyłanie danych, które nie wymagają odpowiedzi (beacon) do serwera. Nowe API pozwala na delegowanie wysyłania takich danych do przeglądarki, bez konieczności wywoływania operacji send w określonym czasie, np. w celu zorganizowania transferu telemetrii po zamknięciu strony przez użytkownika.
- Nagłówek HTTP Permissions-Policy (Feature Policy), który służy do delegowania uprawnień i włączania zaawansowanych funkcji, obsługuje teraz wartość „unload”, której można użyć do wyłączenia obsługi zdarzeń „unload” na stronie.
- Tagować dodano obsługę atrybutu „rel”, który umożliwia zastosowanie parametru „rel=noreferrer” do nawigacji po formularzach internetowych w celu wyłączenia przesyłania nagłówka Referer lub „rel=noopener” w celu wyłączenia ustawienia właściwości Window.opener i odmowy dostęp do kontekstu, z którego dokonano przejścia.
- CSS Grid dodaje obsługę interpolacji właściwości grid-template-columns i grid-template-rows, aby zapewnić płynne przejście między różnymi stanami siatki.
- Wprowadzono ulepszenia narzędzi dla twórców stron internetowych. Dodano możliwość dostosowania skrótów klawiszowych. Ulepszona kontrola pamięci obiektów aplikacji C/C++ przekonwertowanych na format WebAssembly.
Oprócz innowacji i poprawek błędów, w nowej wersji naprawiono 14 luk. Wiele luk zostało zidentyfikowanych w wyniku zautomatyzowanych narzędzi testujących AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nie zidentyfikowano żadnych krytycznych problemów pozwalających na ominięcie wszystkich poziomów ochrony przeglądarki i wykonanie kodu w systemie poza środowiskiem piaskownicy. W ramach programu nagród za luki w zabezpieczeniach za obecną wersję firma Google wypłaciła 10 nagród o wartości 57 20000 USD (po jednej w wysokości 17000 7000 USD, 3000 2000 USD i 1000 USD, dwie nagrody o wartości XNUMX USD, trzy nagrody o wartości XNUMX USD i jedna nagroda o wartości XNUMX USD). Wysokość jednej nagrody nie została jeszcze ustalona.
Źródło: opennet.ru