Release von Chrome 101

Google hat die Veröffentlichung des Webbrowsers Chrome 101 vorgestellt. Gleichzeitig ist die stabile Version des freien Projekts Chromium verfügbar, das die Basis von Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung bei Abstürzen, Modulen zur Wiedergabe von urheberrechtlich geschütztem Videomaterial (DRM), ein automatisches Update-System, die permanente Aktivierung der Sandbox-Isolierung, die Bereitstellung von Schlüsseln für die Google-API und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, wird eine spezielle Version namens Extended Stable unterstützt, die über einen Zeitraum von 8 Wochen begleitet wird und ein Update für die vorherige Version Chrome 100 enthält. Die nächste Version Chrome 102 ist für den 24. Mai geplant.

Hauptänderungen in Chrome 101:

• Die Funktion Side Search wurde hinzugefügt, die es ermöglicht, die Suchergebnisse in einer Seitenleiste gleichzeitig mit dem Betrachten einer anderen Seite anzuzeigen (in einem Fenster kann sowohl der Inhalt der Seite als auch das Ergebnis der Suchanfrage gleichzeitig gesehen werden). Nachdem man von der Google-Suchergebnisseite auf eine Webseite gewechselt hat, erscheint vor dem Eingabefeld in der Adressleiste ein Symbol mit dem Buchstaben „G“, auf das man klicken kann, um die Seitenleiste mit den Ergebnissen der zuvor vorgenommenen Suche zu öffnen. Standardmäßig ist die Funktion nicht auf allen Systemen aktiviert; zur Aktivierung kann die Einstellung „chrome://flags/#side-search“ verwendet werden.
• In der Adressleiste Omnibox wurde ein vorausgreifendes Rendern (Prerendering) des Inhalts der Empfehlungen implementiert, die beim Eingeben angezeigt werden. Zuvor wurden die wahrscheinlichsten Empfehlungen zur Beschleunigung des Zugriffs aus der Adressleiste vor dem Klick des Nutzers geladen, unter Verwendung des Prefetch-Aufrufs. Jetzt werden diese nicht nur geladen, sondern auch im Buffer gerendert (einschließlich der Ausführung von Skripten und der Bildung des DOM-Baums), was eine sofortige Anzeige der Empfehlungen nach dem Klick ermöglicht. Zur Steuerung des vorausgreifenden Renderns wurden die Einstellungen „chrome://flags/#enable-prerender2“, „chrome://flags/#omnibox-trigger-for-prerender2“ und „chrome://flags/#search-suggestion-for-prerender2“ angeboten.
• Die Informationen im HTTP-Header User-Agent und in den JavaScript-Parametern navigator.userAgent, navigator.appVersion und navigator.platform wurden eingeschränkt. Im Header bleiben nur Angaben zum Namen des Browsers, zur Hauptversion des Browsers (die Komponenten der Version MINOR.BUILD.PATCH wurden durch 0.0.0 ersetzt), zur Plattform und zum Gerätetyp (Mobiltelefon, PC, Tablet) erhalten. Um zusätzliche Daten wie die genaue Version und erweiterte Informationen zur Plattform zu erhalten, muss die API User Agent Client Hints verwendet werden. Für Websites, denen die neuen Informationen nicht ausreichen und die noch nicht bereit sind, auf User Agent Client Hints umzusteigen, wurde bis Mai 2023 die Möglichkeit der Rückgabe des vollständigen User-Agent bereitgestellt.
• Das Verhalten der Funktion setTimeout wurde geändert, wenn ein Nullargument für die Verzögerung der Aufrufzeit übergeben wird. Ab Chrome 101 wird der Code bei "setTimeout(…, 0)" sofort ohne eine Verzögerung von 1 ms ausgeführt, wie es die Spezifikation verlangt. Für wiederholte, verschachtelte Aufrufe von setTimeout gilt eine Verzögerung von 4 ms.
• In der Version für die Plattform Android wurde die Unterstützung für die Anforderung von Berechtigungen zur Anzeige von Benachrichtigungen implementiert (in Android 13 muss die App über die Berechtigung „POST_NOTIFICATIONS“ verfügen, um Benachrichtigungen anzuzeigen, andernfalls wird das Senden von Benachrichtigungen blockiert). Wenn Chrome in einer Android 13-Umgebung ausgeführt wird, wird der Browser jetzt eine Anfrage für die Berechtigung zur Anzeige von Benachrichtigungen anzeigen.
• Die Nutzung der API WebSQL in Drittanbieter-Skripten wurde entfernt. Standardmäßig war die Blockierung von WebSQL in Skripten, die nicht von der aktuellen Website geladen wurden, in Chrome 97 aktiviert, aber es wurde eine Option zum Deaktivieren dieses Verhaltens belassen. In Chrome 101 wurde diese Option entfernt. Zukünftig ist geplant, die Unterstützung von WebSQL schrittweise vollständig einzustellen, unabhängig vom Nutzungskontext. Anstelle von WebSQL wird empfohlen, die APIs Web Storage und Indexed Database zu verwenden. Der WebSQL-Handler basierte auf SQLite-Code und konnte von Angreifern zur Ausnutzung von Schwachstellen in SQLite verwendet werden.
• Die Namen der Richtlinien für Unternehmen (chrome://policy), die nicht inklusive Begriffe enthalten, wurden entfernt. Ab Chrome 86 wurden für die genannten Richtlinien Vorschläge für Ersatzbezeichnungen gemacht, die inklusive Terminologie verwenden. Begriffe wie „whitelist“, „blacklist“, „native“ und „master“ wurden bereinigt. Zum Beispiel wurde die Richtlinie URLBlacklist in URLBlocklist umbenannt, AutoplayWhitelist in AutoplayAllowlist und NativePrinters in Printers.
• Im Origin Trials-Modus (experimentelle Funktionen, die eine separate Aktivierung erfordern) hat das Testen der API für das Federated Credential Management (FedCM), die die Erstellung von konsolidierten Identifikationsdiensten ermöglicht, begonnen. Diese Dienste gewährleisten den Datenschutz und funktionieren ohne Mechanismen zur übergreifenden Nachverfolgung, wie z.B. die Verarbeitung von Drittanbieter-Cookies. Das Origin Trial ermöglicht die Verwendung der angegebenen API aus Anwendungen, die von localhost oder 127.0.0.1 geladen wurden, oder nach einer Registrierung und dem Erhalt eines speziellen Tokens, das nur für eine bestimmte Zeit für eine bestimmte Website gültig ist.
• Das stabilisierte und allen Interessierten angebotene Mechanismus Priority Hints ermöglicht es, die Wichtigkeit von geladenen Ressourcen durch Angabe des zusätzlichen Attributs „importance“ in Tags wie iframe, img und link festzulegen. Das Attribut kann die Werte „auto“, „low“ oder „high“ annehmen, die die Ladepriorität externer Ressourcen im Browser beeinflussen.
• Die Eigenschaft AudioContext.outputLatency wurde hinzugefügt, mit der Informationen über die erwartete Verzögerung vor der Audioausgabe abgerufen werden können (die Verzögerung zwischen der Anfrage für den Ton und dem Beginn der Verarbeitung der erhaltenen Daten durch das Ausgabegerät).
• Die CSS-Eigenschaft font-palette und die Regel @font-palette-values wurden hinzugefügt, um eine Palette aus einer farbigen Schriftart auszuwählen oder eine eigene Palette zu definieren. Beispielsweise kann diese Funktion verwendet werden, um die Farben von farbigen Schriftzeichen oder Emojis an das Farbschema des Inhalts anzupassen oder um den Dunkel- oder Hellmodus für die Schriftart zu aktivieren.
• Die CSS-Funktion hwb() wurde hinzugefügt, die eine alternative Methode zur Angabe von sRGB-Farben im HWB-Format (Hue, Whiteness, Blackness) bietet, das dem HSL-Format (Hue, Saturation, Lightness) ähnelt, aber für das menschliche Auge einfacher zu erfassen ist.
• Im window.open()-Methode wird die Angabe der Eigenschaft popup in der windowFeatures-Zeichenfolge, ohne eine Wertzuweisung (d.h. wenn einfach popup angegeben ist, nicht popup=true), nun als Aktivierung des Öffnens eines Miniatur-Popup-Fensters (analog zu „popup=true“) behandelt, anstatt einen standardmäßigen Wert von „false“ zuzuweisen, was unlogisch war und Entwickler in die Irre führte.
• Im MediaCapabilities-API, das Informationen über die Dekodierungsfähigkeiten von Geräten und Browsern für Multimedia-Inhalte bereitstellt (unterstützte Codecs, Profile, Bitraten und Auflösungen), wurde die Unterstützung für WebRTC-Streams hinzugefügt.
• Eine dritte Version der Secure Payment Confirmation API wurde vorgeschlagen, die Werkzeuge zur zusätzlichen Bestätigung von Zahlungsoperationen bietet. In der neuen Version wurde die Unterstützung für Identifikatoren hinzugefügt, die die Eingabe von Daten erfordern, zur Bestimmung von Symbolen zur Anzeige von Überprüfungsfehlern sowie für die optionale Eigenschaft payeeName.
• In der API USBDevice wurde die Methode forget() hinzugefügt, um die zuvor vom Benutzer erteilten Berechtigungen für den Zugriff auf das USB-Gerät zurückzuziehen. Außerdem sind die Instanzen von USBConfiguration, USBInterface, USBAlternateInterface und USBEndpoint nun bei strenger Gleichheit (===, weisen auf dasselbe Objekt hin), wenn sie für dasselbe USBDevice-Objekt zurückgegeben werden.
• Es wurden Verbesserungen an den Werkzeugen für Webentwickler vorgenommen. Es besteht nun die Möglichkeit, Benutzeraktionen im JSON-Format zu importieren und zu exportieren (Beispiel). Die Berechnung und Anzeige privater Eigenschaften in der Web-Konsole und im Code-Viewer wurden verbessert. Die Unterstützung für die Farbmodellierung HWB wurde hinzugefügt. Im CSS-Bereich wurde die Möglichkeit zur Anzeige von kaskadierenden Schichten, die durch die Regel @layer definiert sind, implementiert.

Neben den Neuerungen und Fehlerkorrekturen wurden in der neuen Version 30 Sicherheitsanfälligkeiten behoben. Viele dieser Anfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 25 Prämien in Höhe von insgesamt 81.000 USD ausgeschüttet (eine Prämie von 10.000 USD, drei Prämien von 7.500 USD, drei Prämien von 7.000 USD, eine Prämie von 6.000 USD, zwei Prämien von 5.000 USD, vier Prämien von 2.000 USD, drei Prämien von 1.000 USD und eine Prämie von 500 USD). Die Höhe von 6 Prämien ist noch nicht festgelegt.

Quelle: opennet.ru