Das Unternehmen Google Release des Web-Browsers . Gleichzeitig stabile Ausgabe des Open-Source-Projekts , das die Grundlage von Chrome bildet. Der Browser Chrome durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung bei Abstürzen, die Möglichkeit, Flash-Inhalte auf Anfrage zu laden, Module zur Wiedergabe von geschützten Videoinhalten (DRM), ein automatisches Aktualisierungssystem und der Übertragung bei der Suche . Die nächste Version von Chrome 77 ist für den 10. September geplant.
:
- standardmäßig der Schutzmodus gegen die Übertragung von Drittanbieter-Cookies aktiviert, der im Falle des Fehlens des SameSite-Attributs im Set-Cookie-Header standardmäßig den Wert „SameSite=Lax“ festlegt, was die Übertragung von Cookies für Einfügungen von Drittanbieter-Websites einschränkt (aber Websites können die Einschränkung weiterhin aufheben, indem sie beim Setzen des Cookies explizit den Wert SameSite=None angeben). Bislang hat der Browser Cookies bei jeder Anfrage an eine Website gesendet, für die Cookies gesetzt sind, selbst wenn ursprünglich eine andere Website geöffnet war, und der Zugriff indirekt über das Laden eines Bildes oder über ein iframe erfolgte. Im Modus 'Lax' werden Cookies nur für inter-site Unteranfragen blockiert, wie z.B. Bildanforderungen oder das Laden von Inhalten über ein iframe, die häufig für CSRF-Angriffe und zur Verfolgung der Bewegungen von Benutzern zwischen Websites verwendet werden.
- Die Wiedergabe von Flash-Inhalten wird standardmäßig eingestellt. Bis zur Veröffentlichung von Chrome 87, die für Dezember 2020 erwartet wird, kann die Unterstützung von Flash in den Einstellungen (Erweitert > Datenschutz und Sicherheit > Website-Einstellungen) wiederhergestellt werden, wobei eine ausdrückliche Bestätigung für die Wiedergabe von Flash-Inhalten für jede Website erforderlich ist (die Bestätigung bleibt bis zum nächsten Neustart des Browsers gespeichert). Die vollständige Entfernung des Codes zur Unterstützung von Flash erfolgt gemäß dem von Adobe zuvor angekündigten Plan zur Einstellung der Unterstützung der Flash-Technologie im Jahr 2020;
- Für Unternehmen wurde die Möglichkeit hinzugefügt, in der Adressleiste nach Dateien im Google Drive-Speicher zu suchen;
- Die von in Chrome unangemessener Werbung, die das Verständnis des Inhalts stört und nicht den von der Coalition for Better Ads festgelegten Kriterien entspricht, hat begonnen;
- Ein adaptiver Wechselmodus zur neuen Seite wurde implementiert, bei dem das Löschen des aktuellen Inhalts und die Anzeige eines weißen Hintergrunds nicht sofort, sondern mit einer kurzen Verzögerung erfolgt. Bei schnell ladenden Seiten führt das Löschen nur zu Flimmern und bringt keinen Nutzen, um den Benutzer über den Beginn des Ladens der neuen Seite zu informieren. In der neuen Version wird, wenn die Seite schnell öffnet und innerhalb einer kurzen Verzögerung liegt, die neue Seite nahtlos anstelle der vorherigen angezeigt (z. B. praktisch beim Wechsel zu anderen Seiten derselben Website, die eine ähnliche Gestaltung und Farbgebung haben). Wenn das Anzeigen der Seite eine merkliche Zeit für den Benutzer in Anspruch nimmt, wird der Bildschirm wie gewohnt vorher gelöscht;
- Die Kriterien zur Bestimmung der Benutzeraktivität auf der Seite wurden verschärft. Chrome erlaubt es, pop-up-Benachrichtigungen anzuzeigen und lästigen Video-/Audio-Inhalt nur nach Benutzeraktionen auf der Seite abzuspielen. In der neuen Version werden das Drücken der Escape-Taste, das Überfahren eines Links und Berührungen des Bildschirms nicht mehr als aktivierende Interaktion mit der Seite gewertet (ein expliziter Klick, Texteingabe oder Scrollen sind erforderlich);
- der Media-Query „prefers-color-scheme“, die es Websites ermöglicht, die Anwendung des dunklen Designs im Browser zu erkennen und automatisch das dunkle Design für die angezeigte Website zu aktivieren.
- Bei Aktivierung des dunklen Designs in den Builds für Linux wird jetzt auch die Adresszeile in dunkler Farbe dargestellt;
- die Möglichkeit, das Öffnen der Seite im Inkognito-Modus über Manipulationen mit der FileSystem API zu erkennen, die zuvor von einigen Veröffentlichungen verwendet wurde, um ein kostenpflichtiges Abonnement zu erzwingen, wenn Seiten anonym ohne Speicherung von Cookies geöffnet werden (damit Benutzer den privaten Modus nicht nutzen, um den Mechanismus für den kostenlosen Testzugang zu umgehen). Früher blockierte der Browser im Inkognito-Modus den Zugriff auf die FileSystem API, um zu verhindern, dass Daten zwischen Sitzungen gespeichert werden, was es ermöglichte, über JavaScript zu überprüfen, ob das Speichern von Daten über die FileSystem API möglich war, und im Falle eines Fehlers auf die Aktivität des Inkognito-Modus zu schließen. Jetzt wird der Zugriff auf die FileSystem API nicht mehr blockiert, und die Inhalte werden nach Beendigung der Sitzung gelöscht;
- neue Herausforderungen im
API Payment Request und Payment Handler. Im Objekt PaymentRequestEvent wurde eine neue Methode changePaymentMethod() hinzugefügt, und im Objekt PaymentRequest ein neuer Ereignishandler paymentmethodchange, die es der zahlungssammelnden Plattform oder Webanwendung ermöglichen, auf die Änderung der Zahlungsmethode durch den Benutzer zu reagieren. In der neuen Version der Zahlungs-APIs wurde auch das Testen von Anwendungen mit selbstsignierten Zertifikaten vereinfacht. Für die Ignorierung von Zertifikatsprüfungsfehlern während der Entwicklung wurde eine neue Befehlszeilenoption „—ignore-certificate-errors“ hinzugefügt; - In die Adresszeile neben der Schaltfläche zum Hinzufügen zu Favoriten für Webanwendungen, die im Desktop Progressive Web Apps (PWA)-Modus arbeiten, ein Shortcut zur Installation der Webanwendung im System, so dass sie wie ein eigenständiges Programm funktioniert;
- Für mobile Geräte besteht die Möglichkeit, die Mini-Leiste mit dem Hinweis zum Hinzufügen der Anwendung zum Startbildschirm zu steuern. Für PWA-Anwendungen (Progressive Web Apps) wird die Mini-Leiste standardmäßig beim ersten Öffnen der Webseite automatisch angezeigt. Der Entwickler kann jetzt die Anzeige dieser Leiste ablehnen und eine eigene Installationsaufforderung implementieren, wofür er einen Ereignishandler
beforeinstallprompt einrichten und den Aufruf preventDefault() damit verknüpfen; - Die Häufigkeit der Aktualitätsprüfung für in Android installierte PWA-Anwendungen (Progressive Web Apps) wurde erhöht. WebAPK-Updates werden jetzt einmal täglich überprüft, statt wie zuvor alle drei Tage. Wenn bei dieser Überprüfung im Manifest eine Änderung eines der Schlüsselsattribute festgestellt wird, lädt der Browser das neue WebAPK herunter und installiert es;
- Im API wurde die Möglichkeit hinzugefügt, Bilder programmgesteuert über die Zwischenablage zu lesen und zu schreiben, wobei die Methoden navigator.clipboard.read() und navigator.clipboard.write() verwendet werden;
- Die Unterstützung einer Gruppe von HTTP-Headern (Sec-Fetch-Dest, Sec-Fetch-Mode, Sec-Fetch-Site und Sec-Fetch-User) wurde implementiert, um zusätzliche Metadaten über die Art der Anfrage (Cross-Site-Anfrage, Anfrage über das img-Tag usw.) zu senden, damit der Server Maßnahmen zum Schutz vor bestimmten Angriffstypen ergreifen kann (zum Beispiel ist es unwahrscheinlich, dass ein Link zu einem Geldtransferhandler über ein img-Tag angegeben wird, deshalb können solche Anfragen blockiert werden, ohne die Anwendung zu belasten);
- Eine Funktion wurde hinzugefügt , die eine programmgesteuerte Übermittlung von Formulardaten ähnlich einem Klick auf die Schaltfläche zur Übermittlung der Daten initiiert. Diese Funktion kann bei der Entwicklung eigener Übermittlungsschaltflächen verwendet werden, bei denen der Aufruf von form.submit() nicht ausreicht, da er nicht zu einer interaktiven Überprüfung der Parameter, zur Generierung des Ereignisses 'submit' und zur Übermittlung der mit der Schaltfläche zur Übermittlung der Daten verbundenen Daten führt;
- In IndexedDB wurde die Funktion , die es ermöglicht, Transaktionen, die mit dem Objekt IDBTransaction verbunden sind, zu fixieren, ohne auf den Abschluss der Ereignis-Handler in allen verwandten Anfragen zu warten. Die Verwendung von commit() verbessert die Schreib- und Leseleistung von Anfragen im Speicher und ermöglicht eine explizite Kontrolle über den Abschluss der Transaktion;
- In der Funktion Intl.DateTimeFormat wurden Optionen hinzugefügt, , die es ermöglichen, spezifische für die Locale formatierte Stile für Datum und Uhrzeit anzufordern;
- Die Methode BigInt.prototype.toLocaleString() wurde geändert, um Zahlen unter Berücksichtigung der Locale zu formatieren, und die Methode Intl.NumberFormat.prototype.format() sowie die Funktion formatToParts() wurden angepasst, um Eingabewerte des Typs BigInt zu unterstützen;
- Die Verwendung der API wurde in allen Arten von Web Workern erlaubt, was verwendet werden kann, um optimale Parameter bei der Erstellung eines MediaStream aus dem Worker auszuwählen;
- Eine Methode wurde hinzugefügt, , die nur bereits erfüllte oder abgelehnte Promises zurückgibt, ohne die noch wartenden Promises zu berücksichtigen;
- Die Option '—disable-infobars', die zuvor verwendet werden konnte, um Popup-Warnungen in der Chrome-Oberfläche auszublenden, wurde entfernt (um sicherheitsrelevante Warnungen auszublenden, wurde die Regel CommandLineFlagSecurityWarningsEnabled vorgeschlagen);
- Im Interface zur Arbeit mit Blobs wurden Die CSS-Eigenschaft 'white-space:break-spaces' wurde hinzugefügt, die bestimmt, dass jede Reihe von Leerzeichen, die zu einem Zeilenüberlauf führt, gebrochen werden soll;
- Die Arbeit zur Bereinigung der Flags in chrome://flags hat begonnen, zum Beispiel wurde
- entfernt Ein Flag zur Deaktivierung des Attributs „ping“, das es Website-Besitzern ermöglicht, Klicks auf Links von ihren Seiten zu verfolgen. Bei einem Klick auf einen Link, der das Attribut „ping=URL“ im „a href“-Tag enthält, kann jetzt im Browser nicht mehr die zusätzliche POST-Anfrage an die im Attribut angegebene URL mit Informationen zum erfolgten Klick deaktiviert werden. Damit verliert das Blockieren von ping seinen Sinn, da dieses Attribut in den HTML5-Spezifikationen und es gibt zahlreiche Umgehungsmethoden, um dasselbe zu erreichen (zum Beispiel über einen Transitlink oder das Abfangen von Klicks mit JavaScript-Handlern);
- Das Flag zur Deaktivierung wurde entfernt , bei dem Seiten verschiedener Hosts immer im Speicher unterschiedlicher Prozesse abgelegt werden, in denen jeweils ein eigener Sandbox angewendet wird.
- In der V8-Engine wurde die Leistung beim Scannen und Parsen des JSON-Formats erheblich gesteigert. Für beliebte Webseiten wurde eine Beschleunigung der Ausführung von JSON.parse um bis zu 2,7-fach festgestellt. Die Umwandlung von Unicode-Strings wurde ebenfalls erheblich beschleunigt, beispielsweise hat die Geschwindigkeit der Aufrufe von String#localeCompare, String#normalize sowie bestimmter Intl-APIs fast um das Doppelte zugenommen. Auch die Leistung von Operationen mit gefrorenen Arrays, bei denen Operationen wie frozen.indexOf(v), frozen.includes(v), fn(…frozen), fn(…[…frozen]) und fn.apply(this, […frozen]) verwendet werden, wurde erheblich optimiert.
Neben Neuerungen und Fehlerbehebungen wurden in der neuen Version . Viele dieser Schwachstellen wurden durch automatisiertes Testen mit Werkzeugen festgestellt, , , , und . Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code im System außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Programms zur Vergabe von Geldprämien für das Auffinden von Schwachstellen hat Google 16 Prämien in Höhe von 23.500 US-Dollar ausgezahlt (eine Prämie von 10.000 US-Dollar, eine Prämie von 6.000 US-Dollar, zwei Prämien von 3.000 US-Dollar und drei Prämien von 500 US-Dollar). Die Höhe von 9 Prämien wurde noch nicht festgelegt.
Quelle: opennet.ru
