Izdaja Chrome 107

Podjetje Google je predstavilo izdajo spletnega brskalnika Chrome 107. Hkrati je na voljo stabilna različica odprtega projekta Chromium, ki je osnovna različica Chrome. Brskalnik Chrome se od Chromiumn razlikuje po uporabi logotipov Google, sistemu za pošiljanje obvestil v primeru zrušitve, modulih za predvajanje zaščitenega videoinformacijskega gradiva (DRM), sistemu za samodejno nameščanje posodobitev, stalni vključenosti izolacije Sandbox, zagotavljanju ključev za Google API in posredovanju RLZ-parametrov med iskanjem. Za tiste, ki potrebujejo več časa za posodobitev, obstaja ločena različica Extended Stable, ki jo spremlja 8-tedensko obdobje podpore. Naslednja izdaja Chrome 108 je predvidena za 29. november.

Glavne spremembe v Chrome 107:

• Dodana je podpora za mehanizem ECH (Encrypted Client Hello), ki nadaljuje razvoj ESNI (Encrypted Server Name Indication) in se uporablja za šifriranje informacij o TLS-seanskih parametrih, kot je zahtevano ime domene. Ključna razlika ECH od ESNI je, da se pri ECH namesto šifriranja na ravni posameznih polj celotno TLS-sporočilo ClientHello šifrira, kar omogoča preprečevanje puščanja informacij skozi polja, ki jih ESNI ne pokriva, na primer polje PSK (Pre-Shared Key). ECH prav tako uporablja DNS zapis HTTPSSVC namesto zapisa tipa TXT za prenos informacij o javnem ključu in uporablja overjeno končno šifriranje na osnovi mehanizma HPKE (Hybrid Public Key Encryption) za pridobitev in šifriranje ključa. Za upravljanje vklopa ECH je predlagana nastavitev „chrome://flags#encrypted-client-hello“.
• Vključena je podpora za strojno pospeševanje dekodiranja videa v formatu H.265 (HEVC).
• Aktivirana je peta faza zmanjševanja informacij v HTTP-zahtevi User-Agent ter parametrih JavaScript navigator.userAgent, navigator.appVersion in navigator.platform, ki se izvaja z namenom zmanjšanja informacij, ki se lahko uporabljajo za pasivno identifikacijo uporabnika. V Chrome 107 je bila v vrsti User-Agent zmanjšana informacija o platformi in procesorju za uporabnike namiznih sistemov, prav tako je bilo zamrznjeno vsebino parametra navigator.platform. Sprememba je opazna le v različicah za platformo Windows, kjer je bila konkretna različica platforme zamenjana z „Windows NT 10.0“. V Linuxu vsebina platforme v User-Agent ni bila spremenjena.

  Prejšnje komponente različice brskalnika MINOR.BUILD.PATCH so bile zamenjane z 0.0.0. V prihodnje bo v glavi ostalo le ime brskalnika, njegova glavna različica, platforma in vrsta naprave (mobilni telefon, PC, tablica). Za pridobitev dodatnih podatkov, kot so natančna različica in razširjeni podatki o platformi, je potrebno uporabiti API User Agent Client Hints. Spletna mesta, ki jim nova informacija ni zadostna in še niso pripravljena preiti na User Agent Client Hints, imajo do maja 2023 možnost vračanja polnega User-Agent.
• V različici za Android je prenehala podpora za platformo Android 6.0, za delovanje brskalnika je zdaj potrebna vsaj različica Android 7.0.
• Spremenjen je izgled vmesnika za sledenje stanju prenosov. Namesto spodnje vrstice s podatki o napredku prenosa je v naslovno vrstico dodan nov indikator, ob kliku na katerega se prikaže napredek prenosa datotek in zgodovina s seznamom že prenesenih datotek. V nasprotju s spodnjo vrstico se gumb stalno prikazuje na naslovni vrstici in omogoča hiter dostop do zgodovine prenosov. Novi vmesnik je zaenkrat privzeto ponujen le delu uporabnikov in bo razširjen na vse v primeru odsotnosti težav.
• Uporabnikom namiznih sistemov je omogočeno uvoz gesel, shranjenih v datoteki v formatu CSV. Prej so bila gesla iz datoteke v brskalnik mogoče prenesti le prek storitve passwords.google.com, zdaj pa je to mogoče storiti tudi prek vgrajenega upravitelja gesel (Google Password Manager).
• Po ustvarjanju novega profila uporabnika se prikaže poziv za omogočanje sinhronizacije in prehod na nastavitve, kjer je mogoče spremeniti ime profila in izbrati barvno temo.
• V različici za platformo Android je predlagan nov vmesnik za izbiro multimedijskih datotek za nalaganje fotografij in videoposnetkov (namesto lastne izvedbe je uporabljen standardni vmesnik Android Media Picker).
• Zagotavljena je samodejna preklic dovoljenja za pošiljanje obvestil za spletna mesta, ki so bila ujeta pri pošiljanju motečih obvestil in sporočil uporabnikom. Poleg tega je za taka spletna mesta ustavljena tudi prikazovanje zahtev za pridobitev pooblastil za pošiljanje obvestil.
• V API Screen Capture so dodana nova lastnost, povezana z deljenjem zaslona — selfBrowserSurface (omogoča izključitev trenutnega zavihka pri klicu getDisplayMedia()), surfaceSwitching (omogoča skrivanje gumba za preklapljanje med zavihki) in displaySurface (daje možnost omejitve skupne rabe na zavihek, okno ali zaslon).
• V API Performance je dodana lastnost renderBlockingStatus za določitev virov, zaradi katerih je bila upočasnjena risba strani, dokler ti niso naloženi.
• V načinu Origin Trials (eksperimentalne možnosti, ki zahtevajo ločeno aktivacijo) so dodani nekateri novi API-ji. Origin Trial pomeni možnost dela z določenim API-jem iz aplikacij, naloženih z localhost ali 127.0.0.1, ali po registraciji in pridobitvi posebnega žetona, ki deluje omejen čas za določeno spletno mesto.
  • Deklarativni API PendingBeacon, ki omogoča upravljanje pošiljanja na strežnik podatke, ki ne zahtevajo odgovora (beacon). Nov API omogoča delegiranje pošiljanja takšnih podatkov brskalniku, brez potrebe po klicanju operacij pošiljanja ob določenem času, na primer za organizacijo prenosa telemetrije po tem, ko uporabnik zapre stran.
  • V HTTP-headers Permissions-Policy (Feature Policy), ki se uporablja za delegiranje pooblastil in vključitev naprednih možnosti, je bila dodana podpora za vrednost 'unload', s katero lahko onemogočite obdelovalce dogodka 'unload' na strani.
• V oznako je dodana podpora za atribut 'rel', ki omogoča uporabo parametra 'rel=noreferrer' za onemogočanje prenosa glave Referer ali 'rel=noopener' za onemogočanje nastavljanja lastnosti Window.opener in prepoved dostopa do konteksta, iz katerega je bil izveden prehod.
• V CSS Grid je dodana podpora za interpolacijo lastnosti grid-template-columns in grid-template-rows za organizacijo gladkega prehoda med različnimi stanji mreže.
• Izboljšave so bile opravljene v orodjih za spletne razvijalce. Dodana je možnost prilagajanja bližnjic na tipkovnici. Izboljšano je pregledovanje pomnilnika objektov aplikacij C/C++, pretvorjenih v format WebAssembly.

Poleg novosti in odprave napak v novi različici je bilo odpravljenih 14 ranljivosti. Mnoge od ranljivosti so bile odkrite z avtomatiziranim testiranjem z orodji AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer in AFL. Ni bilo kritičnih težav, ki bi omogočile obhod vseh ravni zaščite brskalnika in izvajanje kode v sistemu zunaj okolja sandBox. V okviru programa za nagrajevanje za odkrivanje ranljivosti je podjetje Google za trenutno različico izplačalo 10 nagrad v skupni vrednosti 57.000 ameriških dolarjev (eno nagrado v $20,000, $17,000 in $7,000, dve nagradi $3,000, tri nagrade $2,000 in eno nagrado $1,000). Znesek ene nagrade še ni določen.

Izvor: opennet.ru