Chrome 118 veröffentlicht. Vorbereitung auf die Blockierung von Drittanbieter-Cookies in Chrome

Die Google LLC hat die Version 118 des Webbrowsers Chrome veröffentlicht. Zeitgleich steht ein stabiler Release des freien Projekts Chromium zur Verfügung, das die Basis von Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Sendung von Benachrichtigungen im Falle eines Absturzes, Modulen zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), einem automatischen Update-System, der ständigen Aktivierung von Sandbox-Isolation, der Bereitstellung von Schlüsseln für die Google API und der Übertragung von RLZ-Parametern bei Suchanfragen. Für jene, die mehr Zeit für ein Upgrade benötigen, wird separat ein Extended Stable-Zweig unterstützt, der über einen Zeitraum von 8 Wochen gewartet wird. Die nächste Version von Chrome 119 ist für den 31. Oktober geplant.

Die wichtigsten Änderungen in Chrome 118:

• Die Vorbereitung zur Beendigung der Unterstützung für Drittanbieter-Cookies in Chrome hat begonnen, die beim Zugriff auf Webseiten gesetzt werden, die sich von der Domain der aktuellen Seite unterscheiden. Solche Cookies werden verwendet, um die Bewegungen der Nutzer zwischen Webseiten im Code von Werbenetzwerken, sozialen Netzwerk-Widgets und Web-Analytics-Systemen zu verfolgen. Die Änderungen sind Teil der Initiative Privacy Sandbox, die darauf abzielt, einen Kompromiss zwischen den Bedürfnissen der Nutzer nach Privatsphäre und dem Wunsch von Werbenetzwerken und Webseiten, die Vorlieben der Besucher zu verfolgen, zu erreichen.

  In Chrome 118 wurde in den Entwicklertools eine Warnung für das Senden von Cookies implementiert, die unter die zukünftigen Blockierungen fallen. Zudem wurde die Option der Befehlszeile „—test-third-party-cookie-phaseout“ sowie die Einstellung „chrome://flags/#test-third-party-cookie-phaseout“ hinzugefügt, um die Blockierung zum Testen zwangsweise zu aktivieren. Die tatsächliche Blockierung von Drittanbieter-Cookies beginnt im ersten Quartal 2024 und wird während der Testphase bis zum dritten Quartal nur 1 % der Chrome-Nutzer umfassen. Nach dem dritten Quartal 2024 wird die Reichweite der Blockierung auf 100 % ausgeweitet.

  Anstelle von Tracking-Cookies werden folgende APIs empfohlen:

  • FedCM (Federated Credential Management) ermöglicht die Erstellung von integrierten Identifizierungsdiensten, die Privatsphäre gewährleisten und ohne Drittanbieter-Cookies arbeiten.
  • Private State Tokens ermöglichen es, verschiedene Benutzer ohne die Verwendung von intersite Identifikatoren zu trennen und Authentifizierungsinformationen zwischen verschiedenen Kontexten zu übertragen.
  • Topics (Kritik) ermöglichen es, die Interessenkategorien der Benutzer zu definieren, die verwendet werden können, um Gruppen von Benutzern mit ähnlichen Interessen zu identifizieren, ohne einzelne Benutzer mithilfe von Tracking-Cookies zu identifizieren. Die Interessen werden basierend auf der Aktivität des Benutzers im Browser berechnet und auf dem Gerät des Benutzers gespeichert. Mit der Topics-API kann das Werbenetzwerk allgemeine Informationen über bestimmte Interessen abrufen, ohne Informationen über die spezifische Aktivität des Benutzers zu haben.
  • Protected Audience, um Retargeting-Aufgaben und die Bewertung der eigenen Zielgruppe (Arbeit mit Benutzern, die die Website bereits besucht haben) zu lösen.
  • Attribution Reporting ermöglicht es, solche Leistungsmerkmale von Werbung zu bewerten, wie Klicks und Konversionen (Käufe auf der Website nach dem Klick).
  • Storage Access API kann verwendet werden, um beim Benutzer die Berechtigung für den Zugriff auf den Cookie-Speicher anzufordern, wenn standardmäßig Drittanbieter-Cookies blockiert sind.
• Für alle Benutzer ist die Unterstützung des ECH (Encrypted Client Hello) Mechanismus aktiviert, der die Entwicklung von ESNI (Encrypted Server Name Indication) fortsetzt und zur Verschlüsselung von Informationen über TLS-Sitzungsparameter verwendet wird, wie etwa den angeforderten Domänennamen. Der wesentliche Unterschied zwischen ECH und ESNI besteht darin, dass bei ECH die gesamte TLS-Nachricht ClientHello verschlüsselt wird, anstatt nur bestimmte Felder, was Leaks durch Felder, die nicht von ESNI abgedeckt werden, wie das PSK (Pre-Shared Key) Feld, verhindert. Für die Aktivierung von ECH gibt es die Einstellung „chrome://flags#encrypted-client-hello“.
• Bei aktivierter erweiterten Browserschutzfunktion (Safe Browsing > Enhanced protection) wurde die Möglichkeit implementiert, bösartige Erweiterungen, die nicht aus dem offiziellen Erweiterungskatalog stammen, aus der Ferne zu deaktivieren. Die Entscheidung zur Entfernung wird auf den Google-Servern auf der Grundlage manueller Überprüfung oder nach Auslösung des automatischen Erkennungssystems für bösartigen Code getroffen.
• Bei aktivierter standardmäßigen Browserschutzfunktion (Safe Browsing > Standard protection) wird in Echtzeit die Sicherheit offener URLs überprüft, basierend auf der Übertragung an Server Google partielle Hashes von von Benutzern geöffneten URLs. Zur Vermeidung von Zuordnungsproblemen IP-Adressen werden die Daten über einen zwischenliegenden Proxy übertragen. Früher wurde die Überprüfung durch das Hochladen einer lokalen Kopie der Liste unsicherer URLs auf das System des Benutzers vorgenommen. Das neue Verfahren ermöglicht ein schnelleres Blockieren von schädlichen URLs.
• Das Design der Seiten wurde überarbeitet, die beim Versuch, eine als unsicher eingestufte Website zu öffnen, angezeigt werden.
• In der Telemetrie, die an Google-Server gesendet wird, wenn der erweiterte Browserschutz (Safe Browsing > Erweiterter Schutz) aktiviert ist, werden nun auch API-Anfragen von Erweiterungen an chrome.tabs berücksichtigt. Die Daten werden gesammelt, um schädliche Aktivitäten und Regelverstöße bei Erweiterungen zu identifizieren.
• Mit aktivem erweitertem Browserschutz (Safe Browsing > Erweiterter Schutz) wird die Unterstützung für das tiefe Scannen von verschlüsselten ZIP- und RAR-Archiven auf Google-Seite bereitgestellt (der Benutzer wird nach dem Entpackungs-Passwort gefragt, danach wird der Inhalt zur Überprüfung an die Google-Server gesendet).
• Im Konfigurator und im Leitfaden zum Schutz der Privatsphäre wurde ein neuer Text hinzugefügt, der den Inhalt der Schutzstufen von Safe Browsing erklärt, sowie Links zu den entsprechenden Artikeln mit weiteren Informationen. Die Beschreibungen des Standard-Schutzes, der Deaktivierung des Schutzes und der Warnungen vor Passwortkompromittierungen wurden vereinfacht.
• Im Abschnitt Quests (Preistracking in Online-Shops) auf der neuen Tab-Seite wurden Informationen über verfügbare Rabatte hinzugefügt. Der Rabattindikator kann auch in der Adresszeile erscheinen, wenn Seiten mit Produkten aus Online-Shops geöffnet werden, die von Google überwacht werden.
• Gemäß der Spezifikation RFC-6265bis wird das Blockieren aller Cookies, die Steuerzeichen enthalten und über JavaScript gesetzt wurden, sichergestellt. Früher wurden Cookies mit einem Nullzeichen, Wagenrücklauf und Zeilenumbruch am problematischen Zeichen abgeschnitten und nicht blockiert, was in einigen Situationen für schädliche Handlungen ausgenutzt werden konnte. Um das neue Verhalten zu deaktivieren, kann die Option „—disable-features=BlockTruncatedCookies“ verwendet werden.
• In registrierten Erweiterungen von Service Workern ist der Zugriff auf die API WebUSB erlaubt.
• Die Notwendigkeit, die Möglichkeit zur Anzeige von Dialogen zur Anfrage und Bestätigung von Zahlungen zuvor vom Benutzer zu aktivieren, wurde entfernt.
• Die Dekodierung von ASCII-Zeichencodes in Form von «%xx» wurde eingestellt. Zum Beispiel wurde früher «http://example.com/» vor der Speicherung in url.href in «http://example.com/A» dekodiert, jetzt bleibt es jedoch «http://example.com/».
• Die Möglichkeit, Text vertikal in den Webformular-Elementen select, meter, progress, button, textarea und input anzuordnen, wurde hinzugefügt. Die Positionierung des Textes in Formularen wird über die CSS-Eigenschaft writing-mode gesteuert, die für die vertikale Darstellung die Werte vertical-rl oder vertical-lr annehmen kann.
• Die Unterstützung nicht standardmäßiger Schlüsselwörter wurde im CSS-Eigenschaft „appearance“ eingestellt: inner-spin-button, media-slider, media-sliderthumb, media-volume-slider, media-volume-sliderthumb, push-button, searchfield-cancel-button, slider-horizontal, sliderthumb-horizontal, sliderthumb-vertical und square-button. Zur Bewertung der Nutzung dieser Schlüsselwörter, die nicht in die Spezifikation aufgenommen wurden, wurde eine Statistik gesammelt, die zeigt, dass sie nur in 0,001 % der Fälle angewendet wurden.
• Regel @scope hinzugefügt, die CSS-Stile basierend auf der Nähe der Stildefinition zu den Elementen bindet. Die Regel @scope kann verwendet werden, um die typische Anordnung von Stilen basierend auf der Reihenfolge der Elemente zu umgehen oder um den Stil einer Komponente zu ändern, ohne die Stile von darin enthaltenen Elementen zu berühren. Zum Beispiel für verschachtelte divs: <div class="»lightpink-theme»"> <a href="/de/»/#»">Ich bin hellrosa!</a> <div class="»pink-theme»"> <a href="/de/»/#»">Verschiedene Rosatöne!</a> </div> </div> Der gesamte Inhalt wird hellrosa gefärbt, da der Stil „lightpink-theme“, der im übergeordneten div angegeben ist, auf das gesamte Block wirkt. Mit @scope kann der Geltungsbereich geändert werden, sodass für das innere div der Stil „pink-theme“ basierend auf der Nähe der Stildefinition und nicht auf der Reihenfolge im Code angewendet wird: @scope (.pink-theme) { a { color: hotpink; } } @scope (.lightpink-theme){ a { color: lightpink; } }
• Die Unterstützung für die Medienabfrage (@media) „scripting“ wurde hinzugefügt, mit der überprüft werden kann, ob Skriptfunktionen verfügbar sind (z. B. kann in CSS festgestellt werden, ob die Unterstützung von JavaScript aktiviert ist).
• Die Unterstützung der Medienabfrage prefers-reduced-transparency wurde hinzugefügt, die es ermöglicht, Änderungen an den Systemeinstellungen zu erkennen, die für die Reduzierung der Anwendung von Transparenzeffekten oder teilweiser Transparenz verantwortlich sind (z. B. der „Reduce Transparency“-Modus in macOS, der zur Verbesserung der Lesbarkeit von Texten verwendet wird).
• In CSS wurde die Unterstützung neuer Werte „float: inline-start“, „float: inline-end“, „clear: inline-start“, „clear: inline-end“, „resize: block“, „resize: inline“ hinzugefügt, die die logische Positionierung von Elementen steuern (für Sprachen, die nicht von oben nach unten und von links nach rechts geschrieben werden, verwendet die logische Positionierung die Konzepte von Anfang, Ende und Richtung des Textes).
• In der CSS-Eigenschaft „transform-box“ wurde die Unterstützung der Werte stroke-box, content-box und border-box hinzugefügt, die es ermöglichen, die Berechnungsmethode des Referenzbereichs für Transformationsoperationen zu ändern, z. B. um erweiterte grafische Effekte umzusetzen.
• Es wurde die Möglichkeit hinzugefügt, Blöcke mit Scrollfunktion während der Navigation mit der Tastatur den Fokus zu geben (z. B. kann der Fokus auf die Scrollfunktion durch Drücken der Tabulatortaste gesetzt werden, und mit den Pfeiltasten navigiert werden).
• Verbesserungen der Werkzeuge für Webentwickler wurden implementiert. Die Funktionen des Panels "Sources" wurden erweitert; anstelle des Abschnitts "Filesystem" wird jetzt der Tab "Workspace" angeboten, über den Änderungen, die über die Entwicklertools vorgenommen wurden, mit den Quellcodes synchronisiert werden können.

  Es wurde die Möglichkeit eingerichtet, die Reihenfolge der Tabs im Panel "Sources" durch Drag & Drop zu ändern. Die Formatierung von JavaScript-Code, der in script-Elementen mit den Typen module, importmap und speculationrules eingebettet ist, wurde sichergestellt. Syntaxhervorhebung wurde für Skripte des Typs importmap und speculationrules hinzugefügt.

  

  Im Panel "Elements" wurde im Tab "Styles" ein separater Abschnitt für benutzerdefinierte Eigenschaften hinzugefügt, mit dem Sie Ihre CSS-Eigenschaften ohne Ausführung von JavaScript definieren können. In den Suchergebnissen werden alle Übereinstimmungen in der Zeile angezeigt, nicht nur die erste Übereinstimmung, was bei der Suche in JavaScript-Dateien, die zur Größenreduktion gepackt sind, praktisch ist (wenn auf das Ergebnis geklickt wird, öffnet sich die Datei im Editor und wird sowohl vertikal als auch horizontal zur Anzeige der gefundenen Position gescrollt).

  

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 20 Sicherheitsanfälligkeiten behoben. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Unter anderem wurde im neuen Release eine kritische Sicherheitsanfälligkeit CVE-2023-5218 behoben, die mit dem Zugriff auf den Speicher nach dessen Freigabe (Use after free) im Mechanismus zur Isolierung von Websites zusammenhängt. Diese Anfälligkeit ermöglicht es, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung im System auszuführen. Im Rahmen des Programms zur Belohnung für die Entdeckung von Sicherheitsanfälligkeiten wurden für die aktuelle Version von Google insgesamt 14 Prämien in Höhe von 30,5 Tausend US-Dollar ausgezahlt (eine Prämie von 6.000 US-Dollar, zwei Prämien von 5.000 US-Dollar, zwei Prämien von 3.000 US-Dollar, eine Prämie von 2.000 US-Dollar, sechs Prämien von 1.000 US-Dollar und eine Prämie von 500 US-Dollar). Der Betrag einer einzigen Belohnung wurde noch nicht festgelegt.

Quelle: opennet.ru