Lançamento do Chrome 107

A Google apresentou o lançamento do navegador web Chrome 107. Simultaneamente, uma versão estável do projeto de código aberto Chromium, que serve de base para o Chrome, está disponível. O navegador Chrome se distingue do Chromium pelo uso dos logotipos do Google, pela presença de um sistema de envio de notificações em caso de falha, módulos para reprodução de conteúdo de vídeo protegido contra cópia (DRM), um sistema de atualização automática, a inclusão constante de isolamento Sandbox, fornecimento de chaves para a API do Google e a transmissão de parâmetros RLZ durante as pesquisas. Para aqueles que precisam de mais tempo para a atualização, uma ramificação chamada Extended Stable, com suporte por 8 semanas, é mantida separadamente. O próximo lançamento do Chrome 108 está agendado para 29 de novembro.

Principais mudanças no Chrome 107:

• Foi adicionada a compatibilidade com o mecanismo ECH (Encrypted Client Hello), que continua o desenvolvimento do ESNI (Encrypted Server Name Indication) e é utilizado para criptografar informações sobre parâmetros de sessões TLS, como o nome de domínio solicitado. A principal diferença do ECH em relação ao ESNI é que, no ECH, em vez de criptografar campos individuais, toda a mensagem TLS ClientHello é criptografada, bloqueando vazamentos através de campos que não são cobertos pelo ESNI, como o campo PSK (Pre-Shared Key). O ECH também utiliza o registro DNS HTTPSSVC em vez de um registro do tipo TXT para transmitir informações sobre a chave pública e aplica uma criptografia de chave pública híbrida (HPKE) para a obtenção e criptografia da chave. Para gerenciar a ativação do ECH, foi proposta a configuração "chrome://flags#encrypted-client-hello".
• Foi ativado o suporte para aceleração de hardware na decodificação de vídeo no formato H.265 (HEVC).
• Foi ativada a quinta fase de redução de informações no cabeçalho HTTP User-Agent e nos parâmetros JavaScript navigator.userAgent, navigator.appVersion e navigator.platform, com o objetivo de reduzir as informações que podem ser usadas para a identificação passiva do usuário. No Chrome 107, a informação sobre a plataforma e o processador foi reduzida para usuários de sistemas desktop na linha User-Agent, e o conteúdo do parâmetro JavaScript navigator.platform foi congelado. A alteração é notável apenas nas versões para a plataforma Windows, para as quais a versão específica da plataforma foi substituída por "Windows NT 10.0". No Linux, o conteúdo da plataforma no User-Agent não foi alterado.

  Anteriormente, os números da versão do navegador na forma MINOR.BUILD.PATCH foram substituídos por 0.0.0. No futuro, o cabeçalho deve conter apenas informações sobre o nome do navegador, a versão principal do navegador, a plataforma e o tipo de dispositivo (telefone celular, PC, tablet). Para obter dados adicionais, como a versão exata e informações detalhadas sobre a plataforma, é necessário usar a API User Agent Client Hints. Para sites que não têm informações suficientes e que ainda não estão prontos para migrar para User Agent Client Hints, foi oferecida a possibilidade de retornar o User-Agent completo até maio de 2023.
• A versão para Android descontinuou o suporte para a plataforma Android 6.0; agora, é necessário ter pelo menos a versão Android 7.0 para que o navegador funcione.
• A interface para rastreamento de downloads foi reformulada. Em vez da barra inferior com informações sobre o progresso do download, foi adicionado um novo indicador na barra de endereços, que ao ser clicado exibe o progresso dos downloads e um histórico com a lista de arquivos já baixados. Ao contrário da barra inferior, o botão é exibido continuamente na barra e permite acesso rápido ao histórico de downloads. A nova interface está sendo oferecida por padrão apenas para alguns usuários e será distribuída para todos na ausência de problemas.
• Os usuários de sistemas de desktop agora têm a opção de importar senhas salvas em um arquivo no formato CSV. Anteriormente, as senhas só podiam ser transferidas para o navegador através do serviço passwords.google.com, mas agora isso pode ser feito também através do gerenciador de senhas integrado ao navegador (Google Password Manager).
• Após a criação de um novo perfil pelo usuário, é fornecido um convite para ativar a sincronização e acessar as configurações, onde é possível alterar o nome do perfil e escolher o tema de cores.
• Na versão para a plataforma Android, foi proposto um novo interface para seleção de arquivos multimídia para o upload de fotos e vídeos (em vez de uma implementação própria, está sendo utilizado o interface padrão do Android Media Picker).
• Foi implementada a revogação automática da permissão para mostrar notificações para sites identificados como responsáveis pelo envio de notificações e mensagens intrusivas. Além disso, para esses sites, as solicitações para conceder permissões para enviar notificações foram suspensas.
• Na API Screen Capture foram adicionadas novas propriedades relacionadas ao compartilhamento de tela — selfBrowserSurface (permite excluir a aba atual ao chamar getDisplayMedia()), surfaceSwitching (permite ocultar o botão para alternar abas) e displaySurface (possibilita restringir o compartilhamento a uma aba, janela ou tela específica).
• No API Performance foi adicionada a propriedade renderBlockingStatus para determinar quais recursos estão causando a paralisação da renderização da página até que sejam completamente carregados.
• No modo Origin Trials (recursos experimentais que requerem ativação separada) foram adicionadas várias novas APIs. O Origin Trial permite o uso da API especificada a partir de aplicativos carregados a partir de localhost ou 127.0.0.1, ou após registro e obtenção de um token especial, que é válido por tempo limitado para um site específico.
  • API Declarativa PendingBeacon, permitindo gerenciar o envio de servidor dados que não requerem resposta (beacon). A nova API permite delegar o envio desses dados ao navegador, sem a necessidade de chamar operações de envio em um momento específico, por exemplo, para organizar a transmissão de telemetria após o fechamento da página pelo usuário.
  • No cabeçalho HTTP Permissions-Policy (Feature Policy), utilizado para delegar permissões e incluir recursos adicionais, foi adicionada a suporte ao valor "unload", que permite desativar manipuladores do evento "unload" na página.
• Na tag foi adicionada a compatibilidade com o atributo "rel", que permite aplicar à navegação por meio de formulários web os parâmetros "rel=noreferrer" para desativar a transmissão do cabeçalho Referer ou "rel=noopener" para desativar a definição da propriedade Window.opener e proibir o acesso ao contexto de onde a navegação foi realizada.
• No CSS Grid foi adicionada a compatibilidade com a interpolação das propriedades grid-template-columns e grid-template-rows para facilitar a transição suave entre diferentes estados da grade.
• Foram feitas melhorias nas ferramentas para desenvolvedores web. Agora é possível personalizar atalhos de teclado. O inspeccionamento da memória de objetos de aplicações C/C++ convertidos para o formato WebAssembly foi aprimorado.

Além das inovações e correções de bugs na nova versão, foram eliminadas 14 vulnerabilidades. Muitas das vulnerabilidades foram descobertas como resultado de testes automatizados com as ferramentas AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer e AFL. Não foram detectados problemas críticos que permitissem contornar todos os níveis de proteção do navegador e executar código no sistema fora do ambiente sandbox. No âmbito do programa de recompensas por identificação de vulnerabilidades, a Google concedeu 10 prêmios totalizando 57 mil dólares (um prêmio de $20000, um de $17000 e um de $7000, dois prêmios de $3000, três prêmios de $2000 e um prêmio de $1000). O valor de uma recompensa ainda não foi definido.

Fonte: opennet.ru