Google wydało przeglądarkę internetową Chrome 107. Jednocześnie dostępna jest stabilna wersja bezpłatnego projektu Chromium, na którym opiera się przeglądarka Chrome. Przeglądarka Chrome różni się od Chromium tym, że wykorzystuje logo Google, ma system wysyłania powiadomień w przypadku awarii, zawiera moduły do odtwarzania materiałów wideo chronionych przed kopiowaniem (DRM), ma system automatycznej instalacji aktualizacji, zawsze włącza izolację Sandbox, dostarcza klucze do interfejsu API Google i przesyła parametry RLZ podczas wyszukiwania. Dla użytkowników, którzy potrzebują więcej czasu na aktualizację, dostępna jest osobna rozszerzona gałąź stabilna, która jest wspierana przez 8 tygodni. Wydanie kolejnej wersji przeglądarki Chrome 108 zaplanowano na 29 listopada.
Kluczowe zmiany w Chrome 107:
- Dodano obsługę mechanizmu ECH (Encrypted Client Hello), który kontynuuje rozwój mechanizmu ESNI (Encrypted Server Name Indication) i służy do szyfrowania informacji o parametrach sesji TLS, takich jak żądana nazwa domeny. Główną różnicą pomiędzy ECH i ESNI jest to, że ECH zamiast szyfrować poszczególne pola, szyfruje całą wiadomość ClientHello TLS, co pozwala blokować wycieki przez pola nieobjęte ESNI, takie jak pole PSK (Pre-Shared Key). ECH korzysta również z rekordu DNS HTTPSSVC zamiast rekordu TXT do przenoszenia informacji o kluczu publicznym i stosuje uwierzytelniane szyfrowanie typu end-to-end oparte na mechanizmie HPKE (Hybrid Public Key Encryption) w celu wyprowadzenia i zaszyfrowania klucza. Aby kontrolować, czy ECH jest włączone, proponowane jest ustawienie „chrome://flags#encrypted-client-hello”.
- Włączono obsługę sprzętowego przyspieszenia dekodowania wideo w formacie H.265 (HEVC).
- Uruchomiono piąty etap obcinania informacji w nagłówku HTTP User-Agent i parametrach JavaScript navigator.userAgent, navigator.appVersion i navigator.platform. Ma to na celu ograniczenie informacji, które mogą być wykorzystane do pasywnej identyfikacji użytkownika. Przeglądarka Chrome 107 skraca informacje o platformie i procesorze w ciągu User-Agent w przypadku użytkowników komputerów stacjonarnych i zamraża zawartość parametru JavaScript navigator.platform. Zmiana jest zauważalna tylko w wersjach na platformę Windows, w których nazwa konkretnej platformy została zastąpiona nazwą „Windows NT 10.0”. W systemie Linux zawartość platformy w User-Agent nie uległa zmianie.
Numery MINOR.BUILD.PATCH, które wcześniej oznaczały wersję przeglądarki, zostały zastąpione numerem 0.0.0. W przyszłości nagłówek będzie zawierał jedynie informacje o nazwie przeglądarki, jej głównej wersji, platformie i typie urządzenia (telefon komórkowy, komputer, tablet). Aby uzyskać dodatkowe dane, takie jak dokładna wersja i zaawansowane dane dotyczące platformy, należy skorzystać z interfejsu API User Agent Client Hints. W przypadku witryn, które nie mają wystarczającej ilości nowych informacji i nie są jeszcze gotowe na przejście na wskazówki klienta User-Agent, do maja 2023 r. dostępna będzie opcja powrotu do pełnej wersji User-Agent.
- Wersja na Androida nie obsługuje już platformy Android 6.0. Do prawidłowego działania przeglądarki wymagany jest co najmniej system Android 7.0.
- Zmieniono wygląd interfejsu umożliwiającego śledzenie statusu pobierania. Zamiast dolnej linii z danymi o postępie pobierania, do panelu z paskiem adresu dodano nowy wskaźnik. Po kliknięciu wyświetla się postęp pobierania plików oraz historia z listą już pobranych plików. W przeciwieństwie do dolnego panelu, przycisk jest stale wyświetlany na panelu i umożliwia szybki dostęp do historii pobrań. Nowy interfejs jest obecnie domyślnie oferowany tylko niektórym użytkownikom, ale jeśli nie będzie żadnych problemów, zostanie udostępniony wszystkim.
- Użytkownicy komputerów stacjonarnych mają teraz możliwość importowania haseł zapisanych w pliku CSV. Wcześniej hasła z pliku można było przesłać do przeglądarki wyłącznie za pośrednictwem usługi passwords.google.com, ale teraz można to zrobić za pośrednictwem wbudowanego menedżera haseł przeglądarki (Google Password Manager).
- Po utworzeniu nowego profilu przez użytkownika wyświetlane jest zaproszenie do włączenia synchronizacji i przejścia do ustawień, w których można zmienić nazwę profilu i wybrać motyw kolorystyczny.
- Wersja na platformę Android oferuje nowy interfejs do wybierania plików multimedialnych do przesyłania zdjęć i filmów (zamiast własnej implementacji używany jest standardowy interfejs Android Media Picker).
- Automatycznie cofaj uprawnienia do wyświetlania powiadomień w witrynach, które wysyłają użytkownikowi irytujące powiadomienia i wiadomości. Ponadto w przypadku takich witryn wysyłanie próśb o zgodę na wysyłanie powiadomień zostało zawieszone.
- Interfejs API przechwytywania ekranu ma nowe właściwości związane z udostępnianiem ekranu: selfBrowserSurface (umożliwia wykluczenie bieżącej karty podczas wywoływania getDisplayMedia()), surfaceSwitching (umożliwia ukrycie przycisku przełączania kart) i displaySurface (umożliwia ograniczenie udostępniania do karty, okna lub ekranu).
- Do interfejsu API wydajności dodano właściwość renderBlockingStatus w celu identyfikacji zasobów powodujących wstrzymanie renderowania strony do czasu zakończenia ich ładowania.
- Do trybu Origin Trials dodano kilka nowych interfejsów API (funkcje eksperymentalne wymagające oddzielnej aktywacji). Origin Trial oznacza możliwość pracy z określonym API z aplikacji pobranych z localhost lub 127.0.0.1 lub po zarejestrowaniu i otrzymaniu specjalnego tokena, który jest ważny przez ograniczony czas dla określonej witryny.
- Deklaratywny interfejs API PendingBeacon umożliwiający kontrolowanie wysyłania danych do serwera, który nie wymaga odpowiedzi (beacon). Nowe API pozwala delegować wysyłanie takich danych do przeglądarki, bez konieczności wywoływania operacji wysyłania w określonym momencie, np. w celu zorganizowania transmisji danych telemetrycznych po zamknięciu strony przez użytkownika.
- Nagłówek HTTP Permissions-Policy (Feature Policy) służący do delegowania uprawnień i włączania zaawansowanych funkcji został zaktualizowany w celu obsługi wartości „unload”, która może służyć do wyłączania obsługi zdarzeń „unload” na stronie.
- W tagu Dodano obsługę atrybutu „rel”, który umożliwia zastosowanie parametru „rel=noreferrer” do nawigacji w formularzach internetowych w celu wyłączenia przesyłania nagłówka Referer lub „rel=noopener” w celu wyłączenia ustawienia właściwości Window.opener i uniemożliwienia dostępu do kontekstu, z którego wykonano przejście.
- W CSS Grid dodano obsługę interpolacji właściwości grid-template-columns i grid-template-rows, aby umożliwić płynne przejścia między różnymi stanami siatki.
- Udoskonalono narzędzia dla twórców stron internetowych. Dodano możliwość dostosowania klawiszy skrótu. Ulepszona kontrola pamięci obiektów aplikacji C/C++ przekonwertowanych do formatu WebAssembly.
Oprócz innowacji i poprawek błędów, nowa wersja eliminuje 14 luk w zabezpieczeniach. Wiele luk zidentyfikowano podczas automatycznych testów z wykorzystaniem narzędzi AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer i AFL. Nie zidentyfikowano żadnych problemów krytycznych, które umożliwiałyby ominięcie wszystkich poziomów zabezpieczeń przeglądarki i wykonywanie kodu w systemie poza środowiskiem testowym. W ramach programu nagród za wykrycie błędów w bieżącej wersji, Google przyznało 10 nagród o łącznej wartości 57 20000 USD (jedną nagrodę w wysokości 17000 7000 USD, jedną nagrodę w wysokości 3000 2000 USD, jedną nagrodę w wysokości 1000 USD, dwie nagrody w wysokości XNUMX USD, trzy nagrody w wysokości XNUMX USD i jedną nagrodę w wysokości XNUMX USD). Wysokość jednej nagrody nie została jeszcze ustalona.
Źródło: opennet.ru
