Google hat die Version 142 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht die stabile Version des freien Projekts Chromium, das die Grundlage für Chrome bildet, zur Verfügung. Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System zur Benachrichtigung bei Abstürzen, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, ständige Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google APIs und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, gibt es eine separate Unterstützung für die Extended Stable-Version, die über einen Zeitraum von 8 Wochen begleitet wird. Die nächste Version von Chrome 143 ist für den 2. Dezember geplant.
Die wichtigsten Änderungen in Chrome 142:
- Der Zugriff auf lokale Systeme bei Interaktionen mit öffentlichen Websites ist nun geschützt. Bei Anfragen von einer öffentlichen oder internen Netzwerkseite (Intranet) zu IP-Adressen Wenn ein Benutzer auf das lokale System oder das Loopback-Interface (127.0.0.0/8) zugreift, wird der Browser einen Dialog zur Bestätigung dieser Aktion anzeigen. Zu den Schutzmaßnahmen gehören Versuche, Ressourcen zu laden, Anfragen über fetch() und das Einfügen von iframes. Der Schutz gilt vorerst nicht für Verbindungen über WebSockets, WebTransport und WebRTC, wird jedoch später für diese Technologien hinzugefügt.
Angreifer nutzen den Zugriff auf interne Ressourcen, um CSRF-Angriffe auf Router, Zugangspunkte, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste durchzuführen, die Anfragen nur aus dem lokalen Netzwerk akzeptieren. Darüber hinaus kann das Scannen interner Ressourcen verwendet werden, um indirekt Informationen über das lokale Netzwerk zu identifizieren oder zu sammeln.
- Ein einheitliches, vereinfachtes Interface wurde für die Verknüpfung mit dem Google-Konto sowie zur Synchronisierung von Daten wie gespeicherten Passwörtern und Lesezeichen angeboten. Die Synchronisierung ist in den Anmeldevorgang integriert und wird nicht als separate Funktion in den Einstellungen angezeigt. Nutzer können Chrome mit ihrem Google-Konto verbinden und es zur Speicherung von Passwörtern, Lesezeichen, Besuchtshistorien und Tabs verwenden. Diese Funktion ist derzeit für eine Teilmenge der Nutzer aktiviert und wird schrittweise ausgeweitet.
- Ein neues Modell zur Isolierung von Prozessen wurde implementiert — „Origin Isolation“, bei dem jede Quelle von Inhalten (Origin — ein Zusammenspiel von Protokoll, Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden. und Port, beispielsweise „https://foo.example.com“), in einem separaten Rendering-Prozess isoliert wird. Da eine erhöhte Fragmentierung der Isolierung zu einem höheren Speicherverbrauch und einer erhöhten CPU-Last führen kann, wird der neue Isolationsmodus nur auf Systemen mit mehr als 4 GB RAM aktiviert. Auf leistungsschwachen Geräten bleibt der alte Isolierungsansatz bestehen, bei dem alle unterschiedlichen Quellen von Inhalten, die mit einer Website verbunden sind (z. B. foo.example.com und bar.example.com), in einem separaten Prozess isoliert werden.
- Auf Systemen mit Windows und macOS, die nicht mit einer zentralen Chrome-Verwaltung betrieben werden, wird das automatische Deaktivieren von zwangsweise installierten Browsererweiterungen umgesetzt, bei denen geringe Verstöße gegen die Richtlinien des Chrome Web Store festgestellt wurden. Zu diesen geringen Verstöße gehören potenzielle Sicherheitslücken, das Aufzwängen der Erweiterung ohne Wissen des Nutzers, Manipulationen mit Metadaten, Verstöße gegen die Richtlinien zur Verarbeitung von Nutzerdaten und irreführende Informationen über die Funktionalität. Auf Wunsch kann der Nutzer die deaktivierte Erweiterung wieder aktivieren.
- In der Android-Version, ähnlich wie bei den Desktop-Versionen, wird eine Warnung über betrügerische Seiten angezeigt, die von einem großen Sprachmodell basierend auf der Inhaltsanalyse festgestellt wurden. Der Einsatz von KI erfolgt im Rahmen des erweiterten Browserschutzes (Enhanced Safe Browsing). Das KI-Modell wird clientseitig ausgeführt, aber im Falle eines Verdachts auf fragwürdige Inhalte erfolgt eine zusätzliche Überprüfung auf Google-Servern.
- Bei der Implementierung des DTLS-Protokolls (Datagram Transport Layer Security, das Pendant zu TLS für UDP), das für WebRTC-Verbindungen verwendet wird, kommen postquantenverschlüsselungsalgorithmen zum Einsatz.
- Der Status der Aktivierung, der beim Nutzerverhalten auf der Seite festgelegt wird, bleibt nach dem Wechsel auf eine andere Seite derselben Domain erhalten. Diese Aktivierungsspeicherung vereinfacht die Entwicklung von mehrseitigen Webanwendungen und löst Probleme wie die Eingabefokussierung, wenn die virtuelle Tastatur der Website angezeigt wird.
- In CSS wurden die Pseudo-Klassen „:target-before“ und „:target-after“ hinzugefügt, um vorhergehende und folgende Markierungen in Bezug auf die aktuelle Scrollposition („:target-current“) zu definieren.
- In den Styling-Containern („@container“) und der Funktion „if()“ ist die Verwendung der in der Spezifikation für Media Queries Level 4 definierten Bereichssyntax (Range Syntax) erlaubt, die die Verwendung von einfachen mathematischen Vergleichsoperationen und logischen Operatoren zur Bestimmung von Wertebereichen ermöglicht. Zum Beispiel können jetzt „@container style(—inner-padding > 1em)“ und „background-color: if(style(attr(data-columns, type) > 2): lightblue; else: white);“ angegeben werden.
- Im Element «<button>» und «<a>» wurde die Unterstützung für das Attribut «interestfor» hinzugefügt, mit dem Aktionen ausgelöst werden können, wie beispielsweise das Anzeigen eines Pop-ups, wenn der Benutzer Interesse an einem Element zeigt. Anzeichen für das Zeigen von Interesse sind im Browser Situationen wie das Überfahren und Halten des Mauszeigers über einem Element, das Drücken von Tastenkombinationen oder das Halten des Finger auf einem Touchscreen. Bei Erkennung von Interesse an einem Element mit dem Attribut «interestfor» generiert der Browser ein InterestEvent.
- Verbesserungen in den Werkzeugen für Webentwickler wurden vorgenommen. In der oberen rechten Ecke wurde eine Schaltfläche für den schnellen Zugriff auf den AI-Assistenten hinzugefügt. Das Kontextmenü-Element „Ask AI“ wurde in „Debug with AI“ umbenannt und erweitert, um kontextabhängige Aktionen ausführen zu können. In der Web-Konsole und im Code-Panel kann der AI-Assistent Gemini jetzt Empfehlungen mit Code generieren.
In den Werkzeugen für Webentwickler wurde die Integration mit dem GDP-Service (Google Developer Program) hergestellt. Entwickler können sich nun direkt aus den Chrome DevTools mit ihrem GDP-Profil verbinden und Belohnungen für die Ausführung bestimmter Aufgaben in diesem Interface erhalten.
Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 20 Sicherheitsanfälligkeiten beseitigt. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen würden, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auf dem System auszuführen, wurden nicht gefunden. Im Rahmen des Belohnungsprogramms zur Entdeckung von Sicherheitsanfälligkeiten hat Google für diese Version 20 Prämien in Höhe von insgesamt 130.000 US-Dollar ausgeschrieben (zwei Prämien von je 50.000 US-Dollar, eine Prämie von 10.000 US-Dollar sowie drei Prämien von 3.000 US-Dollar, zwei Prämien von 2.000 US-Dollar und drei Prämien von 1.000 US-Dollar). Die Höhe von 8 Prämien ist noch nicht festgelegt.
Zusätzlich ist eine noch nicht behobene Sicherheitsanfälligkeit in der Blink-Engine zu vermerken, die zu einem Absturz oder Einfrieren des Browsers führt, wenn bestimmter JavaScript-Code ausgeführt wird. Diese Schwachstelle wird durch architektonische Probleme in der Rendering-Engine verursacht, die mit dem Fehlen einer Begrenzung der Aktualisierungshäufigkeit der Eigenschaft „document.title“ zusammenhängen. Das Fehlen von Einschränkungen ermöglicht es, „document.title“ zu verwenden, um Dutzende von Millionen von Änderungen pro Sekunde im DOM vorzunehmen, was nach wenigen Sekunden zu einem Einfrieren der Benutzeroberfläche aufgrund der Blockierung des Hauptthreads und eines signifikanten Speicherverbrauchs führt, und nach 15-60 Sekunden beendet der Browser unerwartet die Arbeit.
Quelle: opennet.ru
