Release Chrome 78

Das Unternehmen Google hat Release des Web-Browsers Chrome 78. Gleichzeitig verfügbar stabile Ausgabe des Open-Source-Projekts Chromium, das die Grundlage von Chrome bildet. Der Browser Chrome unterscheidet sich durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung bei Abstürzen, die Möglichkeit, Flash-Inhalte auf Anfrage zu laden, Module zur Wiedergabe von geschützten Videoinhalten (DRM), ein automatisches Aktualisierungssystem und der Übertragung bei der Suche von RLZ-ParameternDie nächste Version von Chrome 79 ist für den 10. Dezember geplant.

Haupt- Änderungen in Chrome 78:

• Implementiert experimentelle Unterstützung für „DNS über HTTPS“ (DoH, DNS over HTTPS), die selektiv für bestimmte Benutzerkategorien aktiviert wird, deren Systemkonfigurationen bereits DNS-Anbieter angeben, die DoH unterstützen. Wenn beispielsweise in den Systemeinstellungen des Benutzers DNS 8.8.8.8 angegeben ist, wird der DoH-Dienst von Google in Chrome aktiviert („https://dns.google.com/dns-query“), wenn DNS 1.1.1.1 ist, dann der DoH-Service von Cloudflare („https://cloudflare-dns.com/dns-query“) usw.

  Zur Steuerung der Aktivierung von DoH gibt es die Einstellung „chrome://flags/#dns-over-https“. Es werden drei Betriebsmodi unterstützt: „secure“, „automatic“ und „off“. Im Modus „secure“ werden Hosts nur auf der Grundlage zuvor zwischengespeicherter sicherer Werte (erhalten über eine sichere Verbindung) und Anfragen über DoH bestimmt, ein Rückfall auf reguläres DNS erfolgt nicht. Im Modus „automatic“ ist es zulässig, Daten aus einem unsicheren Cache zu erhalten und traditionelle DNS-Anfragen zu stellen, wenn DoH und der sichere Cache nicht verfügbar sind. Im Modus „off“ wird zunächst der allgemeine Cache überprüft, und wenn keine Daten vorhanden sind, wird die Anfrage über das systemeigene DNS gesendet.

• In den Synchronisationsdiensten gibt es eine vorläufige Unterstützung für die gemeinsame Zwischenablage, die derzeit noch nicht für alle Benutzer aktiviert ist. In über ein gemeinsames Konto verbundenen Instanzen von Chrome kann jetzt auf den Inhalt der Zwischenablage eines anderen Geräts zugegriffen werden, einschließlich der gemeinsamen Nutzung der Zwischenablage zwischen mobilen und Desktop-Systemen. Der Inhalt der Zwischenablage wird mithilfe von Ende-zu-Ende-Verschlüsselung verschlüsselt, die den Zugriff auf den Text auf den Servern von Google verhindert.
• Für bestimmte Benutzerkategorien wurde eine experimentelle Möglichkeit zur Änderung des Designs und zur Anpassung des Bildschirms, der beim Öffnen eines neuen Tabs angezeigt wird, eingeführt. Im Menü „Anpassen“, das in der unteren rechten Ecke des neuen Tabs angezeigt wird, gibt es neben der Auswahl des Hintergrundbildes nun auch die Unterstützung zur Änderung der Anordnung der Symbole und zur Auswahl des Designs. Symbole können automatisch basierend auf den am häufigsten geöffneten Websites vorgeschlagen, vom Benutzer ausgewählt oder ganz deaktiviert werden. Das Design kann aus einer Sammlung vordefinierter Themen oder durch die Auswahl gewünschter Farben aus einer Palette erstellt werden. Um die neuen Funktionen zu aktivieren, können die Flags „chrome://flags/#ntp-customization-menu-v2“ und
  „chrome://flags/#chrome-colors“;
• Für Unternehmen ist in der Standard-Adresszeile die Möglichkeit aktiviert, nach Dateien im Google Drive-Speicher zu suchen. Die Suche erfolgt nicht nur nach Überschriften, sondern auch nach dem Inhalt von Dokumenten unter Berücksichtigung der Öffnungshistorie in der Vergangenheit;
  
• Im Paket enthalten ist die Komponente Password Checkup, die schrittweise für bestimmte Benutzerkategorien aktiviert wird (zur erzwungenen Aktivierung gibt es das Flag „chrome://flags/#password-leak-detection“). Password Checkup wurde zuvor geliefert in Form von als externes Add-On, die zur Analyse der Sicherheit der vom Benutzer verwendeten Passwörter dient. Bei dem Versuch, sich auf irgendeiner Website anzumelden, überprüft Password Checkup Benutzernamen und Passwort in einer Datenbank kompromittierter Konten und gibt eine Warnung aus, wenn Probleme festgestellt werden (die Überprüfung erfolgt erfolgt auf der Grundlage eines Hash-Präfixes auf der Benutzerseite). Die Überprüfung erfolgt in einer Datenbank, die über 4 Milliarden kompromittierte Konten umfasst, die in Nutzer-Datenlecks aufgetaucht sind. Eine Warnung wird auch angezeigt, wenn der Versuch unternommen wird, triviale Passwörter wie „abc123“ zu verwenden;
• Die Möglichkeit, einen Anruf von einem Android-Gerät, das mit demselben Google-Konto verknüpft ist, zu initiieren, wurde hinzugefügt. Im Desktop-Browser kann der Benutzer eine Telefonnummer im Text markieren, mit der rechten Maustaste klicken und die Aktion, den Anruf zu tätigen, auf das Android-Gerät umleiten, woraufhin auf dem Telefon eine Benachrichtigung erscheint, die es ermöglicht, den Anruf zu initiieren;
• Das Format des Tooltips, der beim Hover über den Tab-Titel angezeigt wird, wurde geändert. Der Tooltip wird jetzt in Form eines Popup-Blocks angezeigt, der den gesamten Titeltext und die URL der Seite zeigt. Der Block ist praktisch für die schnelle Suche nach der benötigten Seite, wenn eine große Anzahl von Tabs geöffnet ist (anstatt durch die Tabs zu blättern, kann man mit der Maus über die Tab-Leiste fahren und die gesuchte Seite finden). Zukünftig ist geplant, in diesem Block eine Seitenvorschau anzuzeigen;
• Eine experimentelle Funktion (chrome://flags/#enable-force-dark) wurde hinzugefügt, die die erzwungene Verwendung eines dunklen Designs beim Besuch von Websites ermöglicht. Für das dunkle Erscheinungsbild der Website werden die Farben invertiert;
• Hinzugefügt Unterstützung der Spezifikation CSS Properties and Values API Level 1, die es ermöglichen, eigene CSS-Eigenschaften zu registrieren, die immer einen bestimmten Typ haben, einen Standardwert festlegen und die Bindung von Animationseffekten zulassen. Zum Registrieren einer Eigenschaft kann die Methode registerProperty() oder die CSS-Regel „@property“ verwendet werden, zum Beispiel:

  CSS.registerProperty({
  name: '—my-font-size',
  syntax: '',
  initialValue: '0px',
  inherits: false
  });

• Im Origin Trials-Modus (experimentelle Möglichkeiten, die eine separate Aktivierung) wurden mehrere neue APIs vorgeschlagen. Origin Trial bedeutet die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 geladen werden, oder nach einer Registrierung und dem Erhalt eines speziellen Tokens, der für eine begrenzte Zeit für eine bestimmte Website gültig ist.
  • API Native File System, die es ermöglicht, Webanwendungen zu erstellen, die mit Dateien im lokalen FS interagieren. Beispielsweise könnte die neue API in im Browser ausgeführten integrierten Entwicklungsumgebungen, Text-, Bild- und Video-Editoren von Nutzen sein. Um die Möglichkeit zum direkten Schreiben und Lesen von Dateien, die Verwendung von Dialogen zum Öffnen und Speichern von Dateien sowie die Navigation durch den Inhalt von Verzeichnissen zu erhalten, muss die Anwendung eine besondere Bestätigung vom Benutzer anfordern;
    
  • Mechanismus Signed HTTP Exchanges (SXG), die es ermöglichen, verifiziert kopierte Web-Seiten auf anderen Sites zu hosten, die für den Benutzer wie die ursprünglichen Seiten erscheinen (ohne dass sich die URL ändert), erweitert mit der Möglichkeit, Subressourcen (CSS, JS, Bilder usw.) von der Originalseite zu laden. Die Quelle der Ressource wird über den HTTP-Header Link angegeben, der auch einen Prüfhash zur Verifizierung jeder Ressource enthält. Mit dieser neuen Möglichkeit können Inhaltsanbieter eine einzelne signierte HTML-Datei erstellen, die auch alle zugehörigen Subressourcen umfasst;
  • API SMS Receiver, der es einer Web-Anwendung ermöglicht, auf SMS-Nachrichten zuzugreifen, zum Beispiel zur Automatisierung der Verifizierung von Vorgängen durch einen per SMS gesendeten einmaligen Code. Der Zugriff wird nur auf SMS gewährt, die ein spezielles Tag enthalten, das die Nachricht an eine bestimmte Web-Anwendung bindet;
• Die Leistung beim Laden von ArrayBuffer-Objekten über Web Sockets wurde erheblich gesteigert. Auf der Linux-Plattform wurde eine Steigerung der Ladegeschwindigkeit um das 7,5-fache, unter Windows um das 4,1-fache und unter macOS um das 7,8-fache festgestellt;
• Die Möglichkeit zur Festlegung des Wertes der Transparenz in Prozenten in CSS-Eigenschaften wie opacity, stop-opacity, fill-opacity, stroke-opacity und shape-image-threshold wurde hinzugefügt. Anstelle von „opacity: 0.5“ kann jetzt „opacity: 50%“ angegeben werden.
• Im API User Timing Die Übertragung beliebiger Zeitstempel in die Aufrufe von performance.measure() und performance.mark() für die Durchführung von Messungen dazwischen sowie die Angabe beliebiger Metadaten wurde erlaubt.
• Im Media Session API hinzugefügt wurde die Unterstützung zur Bestimmung von Handlern für das Position-Seeking im Stream (seekto) hinzugefügt, neben den zuvor verfügbaren Handlern für Pausieren und Abspielen.
• Im JavaScript-Motor V8 ein neuer Display-Engine (DC) für AMD APU der Serie HD 7000 (Sea Islands, GCN 1.1) hinzugefügt. ein Hintergrund-Modus für das on-the-fly Parsing von Skripten beim Laden über das Netzwerk. Die implementierte Optimierung ermöglichte eine Verkürzung der Kompilierungszeit der Skripte um 5–20%. In der neuen Version wurde auch die Leistung der Destrukturierung von Objekten (Umwandlung von „const {x, y} = object;“ in „const x = object.x; const y = object.y;“) erhöht. Die Geschwindigkeit der Verarbeitung von RegExp-Ausdrücken mit nicht übereinstimmenden Übereinstimmungen wurde verbessert.
  Die Geschwindigkeit des Aufrufs von JavaScript-Funktionen aus WebAssembly und umgekehrt wurde erheblich (um 9-20%) erhöht. Bei der Kompilierung des Bytecodes wurde die Effizienz des Aufbaus von Verknüpfungstabellen zu den ursprünglichen Positionen erhöht, wodurch der Speicherbedarf reduziert wurde.
  1-2.5%.
  
• Erweitert Werkzeuge für die Webentwicklung. Die Auditing-Leiste kann jetzt in Kombination mit anderen Funktionen wie der Blockierung von Anfragen und dem Überschreiben von Downloads verwendet werden. Die Unterstützung für das Debuggen von Zahlungs-Handlern über die Payment API wurde hinzugefügt. In der Leistungsanalyse wurde ein Label für LCP (Largest Contentful Paint) hinzugefügt, das die Zeit zur Darstellung der größten Elemente widerspiegelt.
  
• Entfernt der XSS Auditor, der als ineffektiv angesehen wird (Angreifer verwenden bereits lange Methoden zum Umgehen des XSS Auditors) und neue Vektoren für Informationslecks hinzufügt.
• In der Android-Version wurde die Möglichkeit zur Verwendung eines dunklen Farbschemas für das Menü, die Einstellungen und den Navigationsmodus zu geöffneten Websites ermöglicht.

Neben Neuerungen und Fehlerbehebungen wurden in der neuen Version 37 Sicherheitsanfälligkeiten. Viele dieser Schwachstellen wurden durch automatisiertes Testen mit Werkzeugen festgestellt, AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFLEs wurden keine kritischen Probleme festgestellt, die alle Sicherheitsebenen des Browsers umgehen und Code außerhalb der Sandbox-Umgebung im System ausführen können. Im Rahmen des Programms zur Auszahlung von Geldprämien für die Entdeckung von Sicherheitsanfälligkeiten für die aktuelle Version hat Google insgesamt 21 Prämien in Höhe von 59.500 US-Dollar ausgezahlt (eine Prämie von 20.000 US-Dollar, eine Prämie von 15.000 US-Dollar, eine Prämie von 5.000 US-Dollar, zwei Prämien von 3.000 US-Dollar, drei Prämien von 2.000 US-Dollar, fünf Prämien von 1.000 US-Dollar und fünf Prämien von 500 US-Dollar). Die Höhe von 4 Prämien ist derzeit noch nicht festgelegt.

Quelle: opennet.ru