Veröffentlichung des Webbrowsers Chrome 131

Google hat die Veröffentlichung des Webbrowsers Chrome 131 bekannt gegeben. Gleichzeitig ist eine stabile Version des Open-Source-Projekts Chromium verfügbar, welches die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System zur Benachrichtigung bei Abstürzen, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Aktualisierungssystem, ständige Aktivierung der Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google API und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für Aktualisierungen benötigen, wird ein separater Extended Stable-Zweig angeboten, der über einen Zeitraum von 8 Wochen unterstützt wird. Die nächste Version, Chrome 132, ist für den 14. Januar geplant.

Wesentliche Änderungen in Chrome 131:

• Der integrierte PDF-Viewer erweitert die Möglichkeit zur Texterkennung in gescannten PDF-Dokumenten, in denen der Text als Bild vorliegt. Der Text wird auf dem lokalen System mithilfe einer integrierten Optical Character Recognition (OCR)-Engine erkannt, die auf maschinellem Lernen basiert. Im Gegensatz zu früheren Versionen werden gescannte Dokumente jetzt automatisch in eine Textdarstellung umgewandelt, für die Funktionen wie Hervorheben, Suchen und Kopieren in die Zwischenablage verfügbar sind.
• Es wurde die Möglichkeit eingeführt, erweiterte Prüfungen im PartitionAlloc-Speicherverteilungssystem zu aktivieren, die Schwachstellen verhindern, die durch Zugriffe auf bereits freigegebene Speicherbereiche (use-after-free) verursacht werden. Diese Prüfungen sind standardmäßig deaktiviert, da sie potenziell negative Auswirkungen auf die Leistung haben können. Für Implementierungen, in denen Sicherheit wichtiger ist als Leistung, stehen nun separate Enterprise-Richtlinien zur Aktivierung zusätzlichen Schutzes zur Verfügung.
• Im integrierten Speicher des Root-Zertifikat-Speichers (Chrome Root Store) wurde das Vertrauen in die Zertifizierungsstelle Entrust aufgrund mehrerer Verstöße gegen die Anforderungen an Zertifizierungsstellen, Nichterfüllung von Fristen zur Reaktion auf problematische Zertifikate, Verzögerungen bei der Zertifikatsrücknahme, mangelhafte Erstellung von Vorfallberichten und Nichteinhaltung der Vorschriften bei der Ausgabe, aufgehoben. TLS-Zertifikaten Die EV-Stufe (Extended Validation) erfordert die Überprüfung von Dokumenten zur Domainzugehörigkeit und die Bestätigung des Eigentümers der Ressource. Aufgrund fehlender Maßnahmen zur Behebung der festgestellten Mängel werden TLS-Zertifikate, die nach dem 11. November 2024 von Entrust ausgestellt werden, in Chrome als nicht vertrauenswürdig angesehen. Zertifikate, die vor dem 11. November ausgestellt wurden, werden weiterhin als normal eingestuft.
• In der Android-Version wurde die Möglichkeit hinzugefügt, externe Anbieter für die automatische Formularausfüllung und Passwortspeicherung zu verbinden, die nicht an die Accessibility-API gebunden sind.
• In der Android-Version wurde die Verbindung zum Google-Konto und die Verwaltung der Datensynchronisation zwischen verschiedenen Browsern vereinfacht. Die Synchronisation wird nicht mehr als separate Funktion in den Einstellungen dargestellt, sondern ist mit der Funktion zur Verbindung mit dem Google-Konto kombiniert. Dadurch können Informationen wie Passwörter und Lesezeichen in dem Google-Konto gespeichert und verwendet werden.
• Die schrittweise Aktivierung des neuen Energiesparmodus hat begonnen. In diesem Modus werden automatisch Tabs, die viel CPU-Ressourcen verbrauchen, jedoch keinen Ton ausgeben und länger als 5 Minuten im Hintergrund verborgen sind, eingefroren. Ausnahmen gelten nur für Tabs, die mit der Verwaltung externer Geräte oder der Durchführung von Video- und Audio-Konferenzen verbunden sind (solche Tabs werden anhand des Zugriffs auf die API für USB, Bluetooth, Kamera, Eingabegeräte und Mikrofon sowie der Einrichtung eines Kommunikationskanals mit RTCDataChannel oder MediaStreamTrack identifiziert). Zur Verwaltung der automatischen Einfrierung kann die Einstellung „chrome://flags/#freezing-on-energy-saver“ verwendet werden.
• Es wurden experimentelle Speicherersparnis-Modi (Memory Saver) hinzugefügt – Moderat, Ausgewogen und Maximal. Diese erlauben die Wahl der Methode zur Speicherfreigabe von nicht aktiven Tabs. Im Modus 'Moderat' werden Tabs nur bei Speichermangel im System deaktiviert, während im Modus 'Maximal' die Tabs kurz nach Inaktivität deaktiviert werden. Der Modus 'Ausgewogen' führt die Deaktivierung der inaktiven Tabs unter Berücksichtigung des verfügbaren Speichers im System durch.
• Zusätzliche Leistungseinstellungen wurden hinzugefügt, darunter die Möglichkeit, bestimmte Websites festzulegen, die ständig aktiv bleiben sollen (ohne Verzögerung im Hintergrund), die Auswahl der visuellen Indikatoren für deaktivierte Tabs und die Anzeige des Speicherverbrauchs in den Pop-up-Vorschaubildern der Tabs.
• Das Tool 'Performance Detection' wurde hinzugefügt, das potenzielle Leistungsprobleme bei besuchten Seiten erkennt und eine Benachrichtigung mit einer Klicklösung bereitstellt. Zum Beispiel kann der Browser vorschlagen, andere ressourcenintensive Tabs zu deaktivieren, um die aktuelle Seite zu beschleunigen.
• TLS 1.3 und QUIC verwenden den Schlüsselinkapselierungsalgorithmus (KEM, Key Encapsulation Mechanism) „X25519Kyber768“, der gegen das Knacken mit Quantencomputern resistent ist. Dieser wurde auf die endgültige Spezifikation ML-KEM (CRYSTALS-Kyber) umgestellt, die vom National Institute of Standards and Technology (NIST) standardisiert wurde. X25519Kyber768 ist eine Kombination aus X25519 ECDH und dem ML-KEM-Algorithmus, der kryptografische Methoden nutzt, die auf der Lösung von Gitterproblemen basieren, deren Lösungszeit sich auf normalen und Quantencomputern nicht unterscheidet.
• Die Bildsuchfunktion von Google Lens, die über das Kontextmenü verfügbar ist, hat die Unterstützung für die Überlagerung von Übersetzungen in eine andere Sprache hinzugefügt (der übersetzte Text wird über dem ursprünglichen Text im Bild angezeigt).
• Eine API für direkte Sockets wurde hinzugefügt, die es ermöglicht, direkte TCP- und UDP-Verbindungen zu externen Systemen herzustellen sowie Listener-Sockets für den Empfang von Verbindungen zu erstellen. Bei dem ersten Verbindungsversuch mit einem neuen Host wird der Benutzer um Bestätigung für die Operation gebeten. Die Notwendigkeit, eine neue API hinzuzufügen, ergibt sich aus der Möglichkeit, mit Netzwerkinfrastrukturen zu interagieren, die ihre eigenen Protokolle verwenden, die über TCP und UDP arbeiten, jedoch nicht über HTTPS oder WebSockets kommunizieren können.
• Im Modus "Origin Trials" wurde die API Summarizer eingeführt, die Text zusammenfassen kann (eine kurze Darstellung des Wesentlichen) mithilfe eines großen Sprachmodells.
• Im Modus "Origin Trials" wurde die API Playout Statistics hinzugefügt, die die Schnittstelle AudioContext.playoutStats definiert, um Statistiken über die Qualität und Verzögerungen bei der Audiowiedergabe über die WebAudio-API zu erhalten.
• Um Missbrauch vorzubeugen, wurde eine Bestätigungsabfrage für Berechtigungen bei der Verwendung der API Keyboard Lock und Pointer Lock hinzugefügt, die zusätzlichen Einfluss auf Tastatur und Maus bieten (zum Beispiel kann der Standardmauscursor verborgen werden und die Mausbewegung kann selbst verarbeitet werden). Der Status der Berechtigungsvergabe kann über die API Permissions überprüft werden.
• Es ist erlaubt, zusätzliche Tags im HTML-Element „<select>“ anzugeben, neben den standardmäßigen Tags „<option>», «<optgroup>» und «<hr>“. Die Änderung wurde zur Vorbereitung auf die Umsetzung in zukünftigen Versionen der anpassbaren Variante „<select>“ vorgenommen, die die Gestaltungsmöglichkeiten des Menüs erweitert.
• In den CSS-Eigenschaften „clip-path“, „fill“, „stroke“ und „marker-*“ wurde die Unterstützung für externe SVG-Ressourcen hinzugefügt. Beispielsweise kann jetzt ‘clip-path: url(„resources.svg#myPath“)‘ angegeben werden.
• Das Modell der Vererbung von Stil-Eigenschaften für Textauswahlen, die durch die Pseudoklassen „::selection“ und „::target-text“ definiert werden, wurde angepasst und entspricht nun dem Vererbungsmodell der Pseudoklassen „::highlight“, „::spelling-error“ und „::grammar-error“. Die Auswahl hängt jetzt nicht mehr von der Struktur des Dokuments (Reihenfolge der HTML-Elemente) ab, sondern davon, wie der Text markiert wird (Auswahlkette). Im folgenden Beispiel wird die Farbe der verschachtelten Elemente mit Text im Absatz „<p class="»blue»">“ nun gemäß dem Stil der Pseudoklasse „::selection“ ausgewählt, anstatt nach der für den Absatz angegebenen Farbregel. p { color: deeppink; } .blue::selection { color: blue; } <p class="»blue»"> Das ist <em>hervorhebender</em> Text. </p>
• Die Einschränkungen, die das Setzen der CSS-Eigenschaften „display“ für die HTML-Elemente „
  “ und „

  “ verhinderten, wurden entfernt. In CSS wurde das Pseudo-Element „::details-content“ hinzugefügt, um das Styling des einklappbaren und aufklappbaren Blocks anzupassen.
• Die CSS-Eigenschaft „font-variant-emoji“ wurde hinzugefügt, um den Stil der Emoji-Anzeige anzupassen. Beispielsweise kann man zwischen textlicher oder grafischer Darstellung wählen.
• In der CSS-Regel @page, die für die Anpassung des Layouts der Seite vor dem Drucken oder Exportieren in das PDF-Format vorgesehen ist, wurde die Möglichkeit eingeführt, Bereiche für die Platzierung des Inhalts im Seitenrand zu definieren, zum Beispiel um einen eigenen Kopfzeilen-, Seitenvermerkt oder Fußzeilenbereich hinzuzufügen.
• Die veraltete CSS-Eigenschaft "inset-area", die zur Steuerung der Anzeige von Elementen verwendet wurde, die an der Position anderer Elemente angebunden sind (CSS Anchor Positioning), wurde als obsolet erklärt. Entsprechend der Empfehlung der Arbeitsgruppe zur Standardisierung von CSS wurde "inset-area" durch die vollständig analoge Eigenschaft "position-area" ersetzt.
• Die Werkzeuge für Webentwickler wurden erweitert. Im Performance-Panel wurden neue Funktionen zur Analyse der Leistung hinzugefügt. Ein experimentelles Panel mit einem KI-Assistenten wurde vorgeschlagen, in dem Sie in Form eines Chats Antworten auf Fragen zur Fehlersuche oder Klarstellungen zu CSS erhalten können.
  

Neben den Neuerungen und Fehlerbehebungen in der neuen Version wurden 12 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit Tools wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Einer der Probleme wurde als hochgradig gefährlich eingestuft (eine Anomalie im Code für die Arbeit mit Erweiterungen in der Blink-Engine). Kritische Probleme, die eine Umgehung aller Browserschutzebenen ermöglichen und die Ausführung von Code in der Systemumgebung außerhalb des Sandbox-Umfelds erlauben, wurden nicht gefunden. Im Rahmen des Programms zur Gewährung von Geldprämien für die Entdeckung von Sicherheitsanfälligkeiten hat die Firma Google für die aktuelle Version 8 Prämien in Höhe von jeweils 1.000 US-Dollar ausgezahlt (eine Prämie beträgt 1.000 USD). Die Höhe von 7 Prämien ist bisher nicht festgelegt.

Quelle: opennet.ru