Chrome 145 veröffentlicht

Google hat die Version des Webbrowsers Chrome 145 veröffentlicht. Gleichzeitig steht auch die stabile Version des Open-Source-Projekts Chromium zur Verfügung, auf dem Chrome basiert. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, einem System zur Meldung von Absturzbenachrichtigungen, Modulen zum Abspielen von kopiergeschütztem Videoinhalt (DRM), einem automatischen Update-System, einer stets aktivierten Sandbox-Isolierung, der Bereitstellung von Schlüsseln für die Google-API sowie der Übermittlung von RLZ-Parametern bei der Suche. Für Nutzer, die mehr Zeit für das Update benötigen, wird eine separate Extended Stable-Version angeboten, die zusätzliche 8 Wochen Unterstützung erhält. Die nächste Version Chrome 146 ist für den 10. März geplant.

Wesentliche Änderungen in Chrome 145:

• Die Unterstützung des Bildformats JPEG XL wurde hinzugefügt, wobei die Bibliothek jxl-rs zur Dekodierung verwendet wird, die die JPEG-XL-Implementierung in Rust innehat. Die Unterstützung für JPEG XL ist derzeit standardmäßig deaktiviert und erfordert die Aktivierung der Option „chrome://flags/#enable-jxl-image-format“.
• Die Entwicklung des AI-Modus wurde fortgesetzt, der es ermöglicht, über die Adressleiste oder die Seite, die beim Öffnen eines neuen Tabs angezeigt wird, mit einem AI-Agenten zu interagieren. Der AI-Modus bietet die Möglichkeit, komplexe Fragen in natürlicher Sprache zu stellen und Antworten basierend auf Informationen von den relevantesten Seiten zu einem bestimmten Thema zu erhalten. Bei Bedarf kann der Benutzer durch gezielte Fragen Informationen präzisieren. Der Modus ermöglicht es auch, Fragen zum Inhalt der Seite direkt aus der Adressleiste zu stellen. In Chrome 145 ist der AI-Modus in den Versionen für die Plattformen Android und iOS implementiert. Für Benutzer aus Kanada, Indien und Neuseeland wird standardmäßig der Chatbot Gemini aktiviert (bei Verwendung der englischen Sprache).
• Es wurde ein Mechanismus für DBSC (Device Bound Session Credentials) hinzugefügt, der es ermöglicht, die Authentifizierungssitzung auf der Website an ein bestimmtes Gerät zu binden. Dies soll Angriffe von anderen Systemen mit abgefangenen Sitzungs-Cookies erschweren. Um eine gerätespezifische Sitzung zu erstellen, wurde der HTTP-Header "Secure-Session-Registration" vorgeschlagen. Die Schutzmethode besteht darin, ein Paar kryptographischer Schlüssel bereitzustellen, die an das aktuelle Gerät gebunden sind und bei der Verbindung generiert werden. Diese Schlüssel werden im TPM (Trusted Platform Module) gespeichert. In der Sitzung werden Cookies mit kurzer Lebensdauer verwendet, die regelmäßig mit dem privaten Schlüssel aktualisiert und mit dem öffentlichen Schlüssel überprüft werden können.
• Der Parameter, der das Deaktivieren der Blockierung von zwangsweise installierten Browser-Erweiterungen erlaubte, in denen unwesentliche Verstöße gegen die Richtlinien des Chrome Web Store festgestellt wurden, wurde entfernt. Zu den unwesentlichen Verstößen zählen das Vorhandensein potenzieller Schwachstellen, das Aufzwingen von Erweiterungen ohne Wissen des Nutzers, Manipulationen mit Metadaten, Verstöße gegen die Handhabung von Nutzerdaten und irreführende Angaben zur Funktionalität.
• In der Version für Android wird bei Aktivierung des erweiterten Schutzmodus (AAPM, Android Advanced Protection Mode) die Javascript API WebGPU deaktiviert. Websites, die WebGPU zur Darstellung von 3D-Inhalten verwenden (z. B. Google Maps), müssen auf langsamere Alternativen wie WebGL zurückgreifen (in Tests um 5,78 % langsamer). Um zu überprüfen, ob WebGPU deaktiviert ist, kann die Eigenschaft navigator.gpu verwendet werden.
• In der Android-Version wird bei Aktivierung des verbesserten Schutzes des Browsers (Enhanced Safe Browsing) eine lokale Analyse des Seiteninhalts auf Anzeichen von Betrug durchgeführt. Wenn die lokale Prüfung Verdachtsmomente für zweifelhaften Inhalt aufgedeckt hat, erfolgt eine zusätzliche Überprüfung auf Google-Servern, und im Falle einer Bestätigung wird eine Warnung an den Benutzer ausgegeben.
• Die neue Origin-API wurde hinzugefügt, die ein Origin-Objekt bereitstellt, das das Konzept des Web-Origin implementiert und Methoden zum Vergleichen, Serialisieren und Analysieren von Web-Origin anbietet. Der Begriff „Web-Origin“ ist in RFC 6454 definiert und dient zur Trennung der Grenzen der Isolierung und des Vertrauens in Inhalte. Web-Origin umfasst den Teil der URL, der das Protokoll, den Hostnamen und die Portnummer enthält (z. B. https://opennet.ru). Die neue API wurde eingeführt, um die Operationen mit Web-Origin zu vereinheitlichen und Schwachstellen aufgrund inkorrekter Vergleiche serialisierter ASCII-Darstellungen von Web-Origin beim Festlegen der Zugehörigkeit von Ressourcen zu einer Webseite auszuschließen.
• Die Zugriffsrechte auf das lokale System wurden bei der Interaktion mit öffentlichen Webseiten getrennt. Anfragen von der Webseite an IP-Adressen Für lokale Netzwerke (Intranet oder interne Adressen) und die Loopback-Schnittstelle (127.0.0.0/8) werden nun unterschiedliche Berechtigungen verwendet (local-network und loopback-network), die eine Bestätigung des Benutzers in einem speziellen Dialog erfordern. Geschützt sind Versuche, Ressourcen zu laden, fetch()-Anfragen und iframe-Einfügen. Der Zugriff auf interne Ressourcen wird von Angreifern genutzt, um CSRF-Angriffe auf Router, Access Points, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste durchzuführen, die nur Anfragen aus dem lokalen Netzwerk akzeptieren. Außerdem kann das Scannen interner Ressourcen zur indirekten Identifizierung oder Sammlung von Informationen über das lokale Netzwerk verwendet werden.
• Die Einstellung UserAgentReduction wurde entfernt, die es ermöglichte, ungekürzte Informationen im HTTP-Header User-Agent und in den JavaScript-Parametern navigator.userAgent, navigator.appVersion und navigator.platform zu übertragen. Der Browser überträgt jetzt immer eine gekürzte Version von User-Agent ohne detaillierte Informationen zur Plattform (zum Beispiel „Android 16; S“ anstelle von „Android 16; SM-A205U“).
• Im integrierten PDF-Viewer wurde die Möglichkeit hinzugefügt, Dokumente im Google Drive Cloud-Speicher zu speichern. Im Google Drive werden Dokumente aus Chrome im Ordner "Gespeichert von Chrome" abgelegt.
• Das API LayoutShift, das die Änderung der Position von DOM-Elementen auf dem Bildschirm verfolgt, wurde auf die Ausgabe von Informationen in CSS-Pixeln anstelle von Bildschirm-Pixeln umgestellt. CSS-Pixel berücksichtigen die DPI des Bildschirms und sehen auf allen Bildschirmen, einschließlich hochauflösender Monitore, gleich aus. Diese Änderung wurde vorgenommen, um Chrome an das Verhalten anderer Browser anzupassen.
• Für das API Controlled Frame wurde die Methode WebRequest.SecurityInfo implementiert, die es Webanwendungen ermöglicht, HTTPS-, WSS- oder WebTransport-Anfragen an den Server abzufangen und einen Snapshot des Zertifikats zu erhalten. сервера Dies ermöglicht eine manuelle Überprüfung des Zertifikats, das bei einer direkten Verbindung mit demselben Server über TCP/UDP verwendet wurde.
• Die Unterstützung für die CSS-Eigenschaften column-wrap und column-height, die in der Spezifikation CSS Multi-column Layout 2 definiert sind, wurde hinzugefügt. Die Eigenschaft column-wrap ermöglicht es, Spalten auf eine neue Zeile zu verschieben, anstatt horizontal zu scrollen, wenn die Spalten nicht in die vorgegebene Höhe, die durch die Eigenschaft column-height festgelegt ist, passen.
• Die CSS-Eigenschaft text-justify wurde hinzugefügt, um den Typ der Textausrichtung bei Verwendung von „text-align: justify“ zu definieren.
• Bei den CSS-Eigenschaften letter-spacing und word-spacing ist es nun erlaubt, den Abstand in Prozent anzugeben.
• In den JavaScript-Objekten Map und WeakMap wurde die „upsert“-Spezifikation implementiert, die die Arbeit mit Sammlungen von Schlüssel-Wert-Paaren vereinfacht. Es wurden die Methoden getOrInsert und getOrInsertComputed hinzugefügt, die den bereits in der Sammlung vorhandenen Wert zurückgeben, der mit dem angegebenen Schlüssel assoziiert ist, oder einen neuen Eintrag erstellen, wenn der Schlüssel nicht gefunden wird.
• Die Implementierung der IndexedDB-API wurde überarbeitet und nutzt jetzt SQLite als Backend (die frühere Implementierung basierte auf LevelDB in separaten Dateien). Die neue Version wird derzeit nur in Kontexten verwendet, die im Arbeitsspeicher gespeichert sind, zum Beispiel im Inkognito-Modus.
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen. Im Netzwerkinspektor der „Request conditions“-Leiste ist standardmäßig die Möglichkeit aktiviert, die Geschwindigkeit einzelner Netzwerkrequests zu drosseln.

Neben den neu eingeführten Funktionen und Fehlerkorrekturen wurden in der neuen Version 11 Schwachstellen behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Kritische Probleme, die eine Umgehung aller Browserschutzebenen und die Ausführung von Code außerhalb der Sandbox-Umgebung ermöglichen, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung von Sicherheitsanfälligkeiten für die aktuelle Version hat Google 11 Prämien ausgelobt und 18.500 US-Dollar ausgezahlt (je eine Prämie in Höhe von 8000 $, 5000 $, 2000 $ und 500 $, sowie drei Prämien von jeweils 1000 $). Die Höhe von 4 Prämien wurde bisher noch nicht festgelegt.

Quelle: opennet.ru