Chrome 119 veröffentlicht

Google hat die Version 119 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht die stabile Version des freien Projekts Chromium zur Verfügung, das die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, einem System zur Benachrichtigung bei Abstürzen, Modulen zum Abspielen von kopiergeschütztem Videoinhalt (DRM), einer automatischen Update-Installation, einem immer aktiven Sandbox-Isolierungssystem, der Bereitstellung von Schlüsseln für die Google API und der Übermittlung von RLZ-Parameter bei der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, wird eine separate Extended Stable-Variante unterstützt, die über einen Zeitraum von 8 Wochen gepflegt wird. Die nächste Version von Chrome 120 ist für den 5. Dezember geplant.

Wesentliche Änderungen in Chrome 119:

• Der Release-Zyklus wurde verkürzt, indem die Zeit zwischen der Erstellung eines neuen Branches und dem Beginn des Beta-Tests reduziert wurde – die Beta-Version wird jetzt zwei Tage nach der Erstellung des Branches und nicht mehr nach 8 Tagen erstellt. Die Stabilisierung der Beta-Version erfolgt wie zuvor innerhalb von 4 Wochen. Somit wurde der Vorbereitungszyklus für neue Versionen um eine Woche verkürzt.
• Es wurde die Möglichkeit zur Speicherung von Tab-Gruppen eingeführt. Der Benutzer kann jetzt eine Gruppe speichern und die darin enthaltenen Tabs schließen, um Ressourcen zu sparen. Später, wenn die Tabs aus der gespeicherten Gruppe benötigt werden, können sie zurückgerufen und auf anderen Geräten geöffnet werden, die an der Tab-Synchronisierung teilnehmen. Diese Funktion ist für einige Nutzer aktiviert; für die erzwungene Aktivierung gibt es die Einstellung „chrome://flags/#tab-groups-save“.
• Im Benutzerinterface wurden die Formulierungen von Operationen und Einstellungen, die mit der Löschung und dem Verlust von Daten zu tun haben, geändert. Anstelle des Begriffs „Clear“ wird nun das Wort „Delete“ verwendet, da der Begriff „Clear“ von einigen Nutzern nicht als Hinweis auf einen unwiderruflichen Datenverlust wahrgenommen wurde.
• Bei der automatischen URL-Vervollständigung wird nun jedes Schlüsselwort, das zuvor zur Suche nach einer Website verwendet wurde, berücksichtigt und nicht nur Wörter, die mit dem Anfang der Adresse übereinstimmen. Zum Beispiel wird die automatische Vervollständigung der Adresse „https://www.google.com/travel/flights“ nicht nur durch die Eingabe des Wortes „google“ ausgelöst, sondern auch durch die Eingabe von „flights“.
• Automatische Korrektur von Tippfehlern bei der Eingabe von Website-Adressen wurde implementiert und es werden relevante Vorschläge angezeigt, die die zuvor geöffneten Webseiten des aktuellen Nutzers berücksichtigen. Zum Beispiel wird bei der Eingabe von „youutube“ angeboten, YouTube.com zu öffnen.
• Es wurde die Möglichkeit hinzugefügt, in den Lesezeichenbereichen über die Adresszeile zu suchen. Zum Beispiel kann beim Eingeben des Namens eines Lesezeichenbereichs Chrome Links aus diesem Bereich vorschlagen, die dem eingegebenen Schlüsselwort entsprechen. Bei der Eingabe von „Reisen 2023 New“ werden Links aus dem Lesezeichenbereich „Reisen 2023“ vorgeschlagen, die mit New York verbunden sind.
• Es wurden Empfehlungen für beliebte Webseiten implementiert, auch wenn der Nutzer sie zuvor nicht besucht hat oder einen Fehler bei der Eingabe der URL gemacht hat. Beispielsweise, wenn ein Nutzer aufgrund einer Empfehlung Google Earth öffnen möchte und „googleear“ eingibt, ohne die genaue Adresse zu kennen, schlägt der Browser vor, die Website earth.google.com zu besuchen.
• In Chrome für Desktop-Systeme wurde die Lesbarkeit der Informationen in der Adresszeile verbessert und die Reaktionsfähigkeit der Benutzeroberfläche erhöht – die Ergebnisse werden jetzt sofort nach Beginn der Eingabe in der Adresszeile angezeigt.
• Gemäß der Änderung der API Fetch-Spezifikation wurde der HTTP-Header Authorization beim Weiterleiten an eine andere Domain (Cross-Origin) entfernt.
• In den Benachrichtigungseinstellungen und der Standortbestimmung wurde eine Option hinzugefügt, um den Dienst zur automatischen Unterdrückung von Berechtigungsanfragen (Permission Suggestions Service) zu aktivieren. Zur Auswahl stehen die Modi:
  • Immer die Anfragen zur Erteilung von Berechtigungen für Benachrichtigungen und den Zugriff auf den Standort anzeigen;
  • Automatisch spamartige Berechtigungsanfragen ignorieren, indem der Mechanismus des Permission Suggestions Service verwendet wird;
  • Immer alle Anfragen zur Anzeige von Benachrichtigungen ignorieren;
  • Immer alle Anfragen zur Erteilung von Berechtigungen für Benachrichtigungen und den Zugriff auf den Standort blockieren.
• In Builds für die Android-Plattform wird bei aktivierter Standardbrowser-Schutzfunktion (Safe Browsing > Standard protection) in Echtzeit eine Sicherheitsprüfung der geöffneten URLs durchgeführt, die auf der Übertragung von Server Google partielle Hashes von von Benutzern geöffneten URLs. Zur Vermeidung von Zuordnungsproblemen IP-Adressen Benutzer und Hash werden über einen Zwischenproxy übertragen. Zuvor wurde die Prüfung durch das Hochladen einer lokalen Kopie der Liste unsicherer URLs auf das System des Benutzers durchgeführt. Das neue Schema ermöglicht eine schnellere Sperrung schadhafter URLs. Für Desktop-Systeme war ein solcher Modus in der letzten Version enthalten.
• Die Escapierung von Nicht-Buchstaben-Symbolen im Hostnamen beim Aufruf der URL-Funktion wurde an die aktualisierte Spezifikation angepasst. Zum Beispiel gab der Aufruf der Funktion 'URL("http://exa(mple.com;")' früher 'http://example.com/' zurück, wird nun jedoch einen Fehler ausgeben: "Ungültige URL".
• Für alle zuvor gespeicherten Cookies wurde eine Lebensdauerbeschränkung eingeführt, die der ab Chrome 104 für neue und aktualisierte Cookies verwendeten ähnlich ist. Für bestehende Cookies wird die Lebensdauer auf 400 Tage ab der Veröffentlichung von Chrome 119 verkürzt.
• In CSS wurden neue Pseudoklassen ':user-valid' und ':user-invalid' vorgeschlagen, die Formularelemente darstellen, deren Werte die Prüfung bestanden oder nicht bestanden haben. Im Gegensatz zu ':valid' und ':invalid' werden die neuen Pseudoklassen erst nach der Interaktion des Benutzers mit dem Formularelement aktiviert.
• Bei der Festlegung von Farben in CSS ist es erlaubt, Werte zu definieren, die sich auf andere Farbparameter beziehen. Zum Beispiel bedeutet die Angabe 'oklab(from magenta calc(l * 0.8) a b)', dass eine um 80 % hellere Farbe von Magenta erhalten wird.
• Im CSS-Eigenschaft clip-path, das die Sichtbarkeit eines Elements auf einen bestimmten Bereich beschränkt, wurde die Unterstützung für den Wert hinzugefügt, um willkürliche Bereiche für das Zuschneiden anzugeben. Außerdem wurde die Möglichkeit hinzugefügt, die Funktionen xywh() und rect() zu verwenden, um rechteckige oder abgerundete Bereiche einfacher anzugeben.
• Die Unterstützung der WebSQL-API wurde deaktiviert, und es wird empfohlen, die Web Storage-API und die Indexed Database zu verwenden. Der WebSQL-Handler basiert auf dem Code der SQLite-Bibliothek. Die WebSQL-API wurde in anderen Browsern nicht unterstützt, war von einer externen Bibliothek abhängig und erhöhte die Risiken von Sicherheitsproblemen (WebSQL konnte von Angreifern genutzt werden, um Schwachstellen in SQLite auszunutzen). Um die Unterstützung von WebSQL für Unternehmensbenutzer wiederherzustellen, wurde die WebSQLAccess-Politik beibehalten, die in Chrome 123 entfernt werden wird.
• Der API HTML Sanitizer, der es ermöglicht, Elemente aus Inhalten zu entfernen, die die Anzeige und Ausführung über die Methode setHTML() beeinflussen, wurde vorübergehend entfernt. Der API wurde entwickelt, um HTML-Tags zu entfernen, die für XSS-Angriffe verwendet werden können. Als Grund für die Entfernung wird die Unvollständigkeit der Spezifikation genannt, die sich seit der Hinzufügung des Sanitizers in Chrome erheblich verändert hat. Nachdem die Spezifikation fertiggestellt ist, wird der API zurückgebracht.
• Das nicht standardmäßige Attribut shadowRoot, das es ermöglicht, von eigenen Elementen aus auf ihre separate Wurzel im Shadow DOM zuzugreifen, unabhängig vom Status, wurde entfernt. Anstelle von shadowRoot wurde in Chrome 111 das Attribut shadowRootMode vorgeschlagen, das in den Webstandard aufgenommen wurde.
• Die Implementierung des HTML-Elements '' wurde verbessert, das dem 'iframe' ähnelt und ebenfalls das Einbetten von Inhalten von Dritten auf einer Seite ermöglicht. Die Unterschiede beschränken sich auf die Einschränkung der Interaktion zwischen dem eingebetteten Inhalt und dem Seiteninhalt auf DOM- und Attributebene. Zum Beispiel kann die Seite news.example, in die über ein fencedframe ein Werbeblock von der Seite shoes.example eingebettet ist, nicht auf Daten von shoes.example zugreifen, und umgekehrt kann der Code von shoes.example keine Daten abrufen, die mit news.example verbunden sind. In der neuen Version wurde die Unterstützung für die im API Protected Audience eingeführten Platzhalter für die Größe des Werbeblocks hinzugefügt, z. B. 'https://ad.com?width={/_WIDTH%}&height={/_HEIGHT%}'.
• Der Methode getDisplayMedia() wurde der Parameter monitorTypeSurfaces hinzugefügt, der verwendet werden kann, um die Bereitstellung des gesamten Bildschirms zu verbieten.
• Der Methode window.open() wurde ein experimenteller (origin trial) Parameter fullscreen hinzugefügt, der es ermöglicht, ein Fenster direkt im Vollbildmodus zu öffnen.
• Im API AudioEncoderConfig wurde das Flag „bitrateMode“ hinzugefügt, um zwischen konstantem (constant) und variablem (variable) Bitrate zu wählen.
• TLS enthält die Implementierung eines Key Encapsulation Mechanismus (KEM), der den hybriden Algorithmus X25519Kyber768 verwendet, der gegen Angriffe mit Quantencomputern resistent ist. Für die Erstellung von Sitzungsschlüsseln, die zur Verschlüsselung von Daten innerhalb von TLS-Verbindungen verwendet werden, kann jetzt eine Kombination aus dem auf elliptischen Kurven basierenden X25519-Schlüsselaustauschmechanismus, der derzeit in TLS verwendet wird, und dem Algorithmus Kyber-768, der auf Methoden der Gittertheorie basiert, die sich an traditionellen und Quantencomputern nicht unterscheiden, verwendet werden.
• Die Unterstützung der WasmGC-Erweiterung, die das Portieren von Programmen in WebAssembly, die in Programmiersprachen mit Garbage Collector (wie Kotlin, PHP, Java usw.) geschrieben wurden, erleichtert, ist standardmäßig aktiviert. WasmGC fügt neue Typen von Strukturen und Arrays hinzu, für die nichtlineale Speicherzuweisungen angewendet werden können.
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen. Die Möglichkeit, CSS-Regeln „@property“ zu bearbeiten und Warnungen bei fehlerhaften Definitionen auszugeben, wurde hinzugefügt. Die Liste der emulierten Geräte wurde aktualisiert (beispielsweise wurden iPhone 14 und Pixel 7 hinzugefügt). In der Web-Konsole wurde die Auto-Vervollständigung von privaten Feldern implementiert. Die JSON-Daten, die innerhalb von -Tags platziert sind, werden jetzt formatiert.

Neben den Neuerungen und Bugfixes wurden in der neuen Version 15 Sicherheitsanfälligkeiten beseitigt. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit Werkzeugen wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht entdeckt. Im Rahmen des Programms zur Belohnung für die Entdeckung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 13 Prämien in Höhe von insgesamt 40.500 US-Dollar ausgezahlt (darunter eine Prämie von 16.000 $, 11.000 $, 2.000 $ und 500 $, drei Prämien von 3.000 $ und zwei Prämien von 1.000 $). Der Betrag von 4 Prämien wurde noch nicht festgelegt.

Quelle: opennet.ru