Veröffentlichung des Webbrowsers Chrome 123

Google hat die Version 123 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht die stabile Version des freien Projekts Chromium zur Verfügung, das die Basis von Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Übermittlung von Benachrichtigungen bei Abstürzen, Modulen zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, die ständige Aktivierung von Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google API und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Update benötigen, wird ein separater Extended Stable-Zweig unterstützt, der 8 Wochen lang betreut wird. Die nächste Version von Chrome 124 ist für den 16. April geplant.

Die wichtigsten Änderungen in Chrome 123:

• Auf der Seite, die beim Öffnen eines neuen Tabs angezeigt wird, gibt es einen neuen Abschnitt, in dem Links zu kürzlich auf anderen Geräten geöffneten Tabs angezeigt werden, die mit demselben Google-Konto verknüpft sind.
• Die Unterstützung für die Kodierung von Inhalten mit dem Komprimierungsalgorithmus Zstandard (zstd) wurde hinzugefügt, zusätzlich zu den zuvor unterstützten Algorithmen gzip, brotli und deflate.
• Die Unterstützung des freien Video-Codecs Theora, entwickelt von der Xiph.org Foundation auf Basis des VP3-Codecs und seit 2009 in Firefox und Chrome verfügbar, wurde eingestellt. Dies gilt jedoch nicht für Chrome auf Android und Browser, die auf WebKit basieren, wie Safari. Als Grund für die Einstellung der Unterstützung für Theora werden Bedenken genannt, dass in der Implementierung von Theora, die eine recht komplexe Logik für die Analyse binärer Daten und das Dekodieren von Streams aufweist, Sicherheitsanfälligkeiten vorhanden sein könnten, die den kürzlichen kritischen Problemen mit dem VP8-Encoder ähnlich sind. Den Entwicklern zufolge überwiegen bei den zunehmenden 0-Day-Angriffen auf Video-Codecs die sicherheitsrelevanten Risiken den Bedarf an dem Theora-Codec, der in der Praxis kaum verwendet wird, aber dennoch ein bedeutendes Ziel für potenzielle Angriffe darstellt.
• Die schrittweise Erhöhung des Anteils der Nutzer, für die die Unterstützung von Drittanbieter-Cookies, die beim Besuch von Seiten außerhalb der aktuellen Domain gesetzt werden, abgeschaltet ist, ist nach wie vor im Gange. Solche Cookies werden verwendet, um die Bewegungen der Nutzer zwischen Websites in Anzeigenetzwerken, sozialen Medien und Webanalyse-Systemen zu verfolgen. Die Änderungen werden im Rahmen der Initiative Privacy Sandbox vorangetrieben, die darauf abzielt, einen Kompromiss zwischen dem Bedürfnis der Nutzer nach Privatsphäre und dem Anliegen der Werbungtreibenden und Websites, die Vorlieben der Besucher zu verfolgen, zu erreichen. Die Abschaltung von Drittanbieter-Cookies soll schrittweise ausgeweitet werden, mit dem Ziel, bis zum dritten Quartal 2024 einen Anteil von 100 % zu erreichen. Zur Deaktivierung ist eine Einstellung unter "chrome://flags/#test-third-party-cookie-phaseout" vorgesehen.
• Für einen kleinen Prozentsatz der Nutzer in den USA ist die Unterstützung von Funktionen, die maschinelles Lernen nutzen, aktiviert – einschließlich des intelligenten Tab-Grouping, eines Design-Theme-Generators und eines interaktiven Assistenten, die im Ankündigung zu Chrome 121 vorgestellt wurden. Für Systeme mit zentraler Konfigurationsverwaltung kann der Administrator KI-Tools auf Politikebene aktivieren, ohne den experimentellen Modus aktivieren zu müssen.
• Im Dienst zur Synchronisierung von Einstellungen, Verlauf und Lesezeichen (Chrome Sync) wurde die Unterstützung für Versionen vor Chrome 82 eingestellt.
• Bei Aktivierung des erweiterten Schutzes des Browsers (Sicheres Browsen > Erweiterter Schutz) wird die Übermittlung von Informationen über die Anforderungserteilung durch Websites an Google realisiert (solche Seiten werden gegen externe Datenbanken mit schädlichen Inhalten überprüft, und bei Übereinstimmung wird dem Nutzer sofort eine Warnung angezeigt). Außerdem wird die Telemetrie zur Stornierung von Warnungen, die vor dem Öffnen von Seiten angezeigt werden, die von Google auf die schwarze Liste gesetzt wurden, an Google übermittelt.
• Google hat einen Artikel veröffentlicht, der die Methoden erläutert, die zur Überprüfung der Sicherheit von von Nutzern geöffneten Seiten anhand einer externen Datenbank mit bösartigem Inhalt verwendet werden. ServerUm die Privatsphäre zu wahren, werden bei der Überprüfung der von Nutzern geöffneten URLs an Google nicht die vollständigen Hashes der URLs, sondern lediglich die Präfixe mit den ersten 4 Bytes des Hashes übermittelt. Bei Server diesem Präfix wird in der Datenbank bösartiger Seiten geprüft, und bei Übereinstimmung wird die Liste der entsprechenden vollständigen Hashes, die zu dem Präfix passen, an den Browser des Nutzers zurückgesendet, wo schließlich eine endgültige Überprüfung mit dem vollständigen 32-Byte-Hash der URL durchgeführt wird. Um eine Zuordnung der Anfrage zur IP-Adresse des Nutzers zu verhindern, wird das Hash-Präfix zunächst an einen Zwischenproxy gesendet, der die Anfrage in eigenem Namen an den Safe Browsing-Server weitergibt.
• Warnmeldungen werden in der Konsole der Entwicklertools angezeigt, wenn eine Seite Anfragen an interne Netzwerke (192.168.x.x, 10.x.x.x usw.) sendet und solche Anfragen außerhalb eines sicheren Kontextes ohne vorherige Überprüfung durchgeführt werden. Bevor die tatsächliche Anfrage, die von der Website initiiert wurde, an eine Ressource im internen Netzwerk gesendet wird, sendet der Browser zunächst eine Vorauswertung und prüft, ob der Server den HTTP-Header „Access-Control-Allow-Private-Network: true“ zurückgibt, der den Zugriff auf das Intranet erlaubt. Wenn der Zugriff nicht genehmigt ist, kann dies auf einen unzulässigen Zugriff auf einen internen Dienst hinweisen, was auf einen möglichen Angriff über den Browser auf Ressourcen im lokalen Netzwerk hindeuten kann (zum Beispiel könnte ein Angreifer im iframe einen Request an das Web-Interface des Heimrouters einfügen, wie etwa „“). In Chrome-Version 130 wird die Warnung durch einen Fehler ersetzt und unzulässige Anfragen werden blockiert.
• In Chrome für Android und iOS wurde die Möglichkeit hinzugefügt, die Websites weiter zu besuchen, die zuvor auf anderen Geräten geöffnet wurden, die mit demselben Google-Konto verbunden sind.
• In Chrome für Android wurde die Methode zur Speicherung lokaler Passwörter geändert, die nicht mit anderen Geräten synchronisiert werden. Zuvor wurden lokale Passwörter im Chrome-Profil gespeichert, jetzt werden sie in den Passwortspeicher übertragen, der von Google Play-Diensten bereitgestellt wird und bereits zur Speicherung des Google-Kontopassworts verwendet wird. In Chrome 123 wird der neue Speicherungsmodus für Benutzer ohne lokale Passwörter aktiviert, in Chrome 124 wird er für Benutzer mit lokalen Passwörtern angewendet.
• Eine API für die statische Routenführung von ServiceWorkern (Service Worker Static Routing) wurde hinzugefügt. Diese ermöglicht es, die Ausführung von JavaScript und die Abfangung durch ServiceWorker zu vermeiden, wenn Ressourcen angefordert werden, die bestimmten Bedingungen entsprechen. Mit anderen Worten, die API bietet die Möglichkeit, festzulegen, wie bestimmte Ressourcen geladen werden sollen und den Aufruf des ServiceWorkers für Ressourcen zu deaktivieren, die aus dem Cache abgerufen oder direkt geladen werden können. Entscheidungskriterien können URL-Muster, Anfrage-Methoden, Inhaltstyp (dokument, einbetten, schriftart, video usw.) und Ausführungsstatus („running“, „not-running“) sein. Zum Beispiel kann beim Senden einer Post-Anfrage mit Web-Formulardaten direkt, ohne den Aufruf eines ServiceWorkers, angegeben werden: addEventListener('install', (event) => { event.addRoutes({ condition: { urlPattern: '/form/*', requestMethod: 'post' }, source: 'network' }); });
• In CSS wurde die Funktion light-dark() hinzugefügt, um das Farbschema an die Einstellungen des hellen oder dunklen Modus anzupassen. In der Funktion können zwei Werte angegeben werden, die je nach hellem oder dunklem Modus ausgewählt werden. Zum Beispiel: „background-color: light-dark(lime, green);“.
• Die API für lange Animationsframes wurde hinzugefügt, um die Reaktionsfähigkeit der Benutzeroberfläche der Website zu diagnostizieren und Engpässe bei der Darstellung zu identifizieren.
• Im Medienabfrage «display-mode» wurde die Unterstützung für den Wert «picture-in-picture» hinzugefügt, der es ermöglicht, CSS-Regeln zu erstellen, die nur angewendet werden, wenn die Webanwendung im «Bild-in-Bild»-Modus angezeigt wird. @media all and (display-mode: picture-in-picture) { body { margin: 0; } h1 { font-size: 0.8em; } }
• Im CSS-Eigenschaft «align-content» wurde die Möglichkeit implementiert, mit Blockcontainern und Tabellenelementen zu arbeiten. Zum Beispiel können jetzt «display: block», «display: list-item», und «display: table-cell» mithilfe von «align-content» ausgerichtet werden.
• Die CSS-Eigenschaft «field-sizing» wurde hinzugefügt, die es ermöglicht, die Größe von Formelementen abhängig von ihrem Inhalt zu gestalten, beispielsweise um die Größe eines Textfelds automatisch zu vergrößern, während Daten eingegeben werden.
• Im JavaScript-Interface NavigationActivation wurde der Parameter navigation.activation hinzugefügt, der den Aktivierungsstatus des Dokuments wiedergibt (zum Beispiel kann man feststellen, dass das Dokument aus dem Cache wiederhergestellt wurde, nachdem auf die Navigationstasten "vorwärts" oder "rückwärts" geklickt wurde). Der Parameter kann verwendet werden, um den Seiteninhalt entsprechend der Herkunft des Nutzers anzupassen, zum Beispiel könnte eine andere Animation angezeigt werden, wenn der Nutzer von der Startseite kommt.
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen.

Neben den Neuerungen und Bugfixes wurden in der neuen Version 12 Schwachstellen behoben. Viele der Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Programms zur Auszahlung von Belohnungen für die Entdeckung von Schwachstellen hat Google für die aktuelle Version insgesamt 7 Prämien in Höhe von 22.000 US-Dollar vergeben (eine Prämie von 10.000 $, eine von 4.000 $, eine von 3.000 $ und eine von 1.000 $, sowie zwei Prämien von 2.000 $). Die Höhe einer einzelnen Belohnung ist noch nicht festgelegt.

Quelle: opennet.ru