Chrome 92 veröffentlicht

Das Unternehmen Google hat die Veröffentlichung des Webbrowsers Chrome 92 vorgestellt. Gleichzeitig ist die stabile Version des Open-Source-Projekts Chromium, das die Grundlage von Chrome bildet, verfügbar. Der Browser Chrome unterscheidet sich durch die Verwendung der Google-Logos, ein System zur Benachrichtigung im Falle eines Absturzes, Module für die Wiedergabe geschützter Video-Inhalte (DRM), ein System zur automatischen Installation von Updates und die Übertragung von RLZ-Parametern bei der Suche. Die nächste Version Chrome 93 ist für den 31. August geplant.

Die wichtigsten Änderungen in Chrome 92:

• In die Einstellungen wurden Werkzeuge zur Verwaltung der Aktivierung der Komponenten des Privacy Sandbox hinzugefügt. Dem Benutzer wird die Möglichkeit gegeben, die von Google entwickelte FLoC-Technologie (Federated Learning of Cohorts) zu deaktivieren, die das Tracking durch Cookies durch "Kohorten" ersetzt, die es ermöglichen, Benutzer mit ähnlichen Interessen zu gruppieren, ohne Einzelpersonen zu identifizieren. Die Kohorten werden im Browser berechnet, indem maschinelle Lernalgorithmen auf die Besuchshistorie und den Inhalt angewendet werden, der im Browser geöffnet wird.
• Für Benutzer von Desktop-Systemen ist der Back-forward Cache standardmäßig aktiviert, der einen sofortigen Wechsel beim Verwenden der Schaltflächen "Zurück" und "Vorwärts" oder beim Navigieren zu zuvor besuchten Seiten der aktuellen Website ermöglicht. Zuvor war der Back-forward Cache nur in Builds für die Android-Plattform verfügbar.
• Die Isolierung von Websites und Erweiterungen in verschiedenen Prozessen wurde verstärkt. Während der Site Isolation-Mechanismus zuvor die Isolation von Websites voneinander in verschiedenen Prozessen und auch die Trennung aller Erweiterungen in einen separaten Prozess gewährleistete, wird in der neuen Version eine Trennung der Browsererweiterungen untereinander durch die Auslagerung jeder Erweiterung in einen eigenen Prozess umgesetzt, was eine zusätzliche Barriere gegen bösartige Erweiterungen schafft.
• Die Leistung und Effizienz der Phishing-Erkennung wurde erheblich gesteigert. Die Geschwindigkeit der Phishing-Erkennung anhand lokaler Bildanalysen ist in der Hälfte der Fälle auf das 50-Fache gestiegen, und in 99 % der Fälle war sie mindestens 2,5 Mal schneller. Im Durchschnitt hat sich die Klassifizierungszeit für Phishingbilder von 1,8 Sekunden auf 100 ms verringert. Insgesamt hat sich die CPU-Belastung, die durch alle Rendering-Prozesse entsteht, um 1,2 % verringert.
• Die Nummer der verbotenen Netzwerkports wurde um die Ports 989 (ftps-data) und 990 (ftps) erweitert. Zuvor wurden bereits die Ports 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 und 10080 blockiert. Für die Ports auf der schwarzen Liste wird der Versand von HTTP-, HTTPS- und FTP-Anfragen blockiert, um sich gegen die NAT-Slipstreaming-Angriffe zu schützen, die es ermöglichen, beim Öffnen einer speziell vom Angreifer vorbereiteten Webseite in einem Browser eine Netzwerkverbindung von einem angreifenden Server zu einem beliebigen UDP- oder TCP-Port auf dem System des Nutzers herzustellen, unabhängig von der Verwendung interner IP-Adressen (192.168.x.x, 10.x.x.x).
• Es wurde eine Anforderung zur Anwendung der Zwei-Faktor-Authentifizierung für Entwickler bei der Veröffentlichung neuer Erweiterungen oder Updates im Chrome Web Store eingeführt.
• Im Browser werden bereits installierte Erweiterungen deaktiviert, wenn sie aufgrund von Regelverstößen aus dem Chrome Web Store entfernt werden.
• Beim Versenden von DNS-Anfragen, wenn klassische DNS-Server genutzt werden, werden zusätzlich zu den „A“- und „AAAA“-Einträgen nun auch DNS-Einträge vom Typ „HTTPS“ abgefragt, über die Parameter übertragen werden, die die Einrichtung von HTTPS-Verbindungen beschleunigen, wie Protokolleinstellungen, Schlüssel für die Verschlüsselung von TLS ClientHello und eine Liste von Subdomain-Aliasen. IP-Adressen Die Einbindung von iFrame-Blöcken, die von
• , die sich von der Domain der aktuellen Webseite unterscheiden, verbietet den Aufruf von JavaScript-Dialogen wie window.alert, window.confirm und window.prompt. Diese Änderung wird den Nutzern helfen, sich vor Missbrauch zu schützen, bei dem versucht wird, eine Drittbenachrichtigung als Anfrage der Hauptseite darzustellen. DomainsAuf der Seite des neuen Tabs wird eine Liste der gefragtesten Dokumente angezeigt, die in Google Drive gespeichert sind.
• Es wurde die Möglichkeit zur Änderung des Namens und des Symbols für PWA-Anwendungen (Progressive Web Apps) bereitgestellt.
• Für einige zufällige Web-Formulare, die mit der Eingabe von Adressen oder Kreditkartennummern verbunden sind, wird als Experiment die Anzeige von Empfehlungen für die Autovervollständigung deaktiviert.
• In der Desktop-Version wurde die Option zur Bildsuche (Punkt „Bild finden“ im Kontextmenü) auf die Nutzung des Google Lens-Dienstes anstelle der regulären Google-Suchmaschine umgestellt. Bei Klick auf die entsprechende Schaltfläche im Kontextmenü wird der Nutzer auf eine separate Web-Anwendung weitergeleitet.
• In der Desktop-Version wurde die Option zur Bildsuche (Punkt „Bild finden“ im Kontextmenü) auf die Nutzung des Google Lens-Dienstes anstelle der regulären Google-Suchmaschine umgestellt. Bei Klick auf die entsprechende Schaltfläche im Kontextmenü wird der Nutzer auf eine separate Web-Anwendung weitergeleitet.
• Im Inkognito-Modus sind Links zur Verlaufshistorie ausgeblendet (diese Links sind nutzlos, da sie zu einer Schaltfläche führten, die Informationen darüber anzeigte, dass keine Historie gesammelt wird).
• Neue Befehle wurden hinzugefügt, die bei der Eingabe in die Adresszeile erkannt werden. Zum Beispiel genügt es, "safety check" einzugeben, um die Schaltfläche für den schnellen Zugriff auf die Sicherheitsüberprüfung von Passwörtern und Erweiterungen anzuzeigen, und für den Zugriff auf die Sicherheitseinstellungen und Synchronisierung – "manage security settings" und "manage sync".
• Spezifische Änderungen in der Chrome-Version für Android:
  • In der Leiste wurde eine neue anpassbare Schaltfläche „Magic Toolbar“ implementiert, die verschiedene Verknüpfungen anzeigt, die auf der aktuellen Aktivität des Benutzers basieren und Links enthält, die in diesem Moment benötigt werden könnten.
  • Die Implementierung des auf dem Gerät laufenden maschinellen Lernmodells zur Erkennung von Phishing-Versuchen wurde aktualisiert. Bei der Erkennung von Phishing-Versuchen wird der Browser, zusätzlich zu der Anzeige einer Warnseite, nun auch Informationen über die Version des maschinellen Lernmodells, das berechnete Gewicht für jede Kategorie und den Flag zur Anwendung des neuen Modells an den externen Dienst Safe Browsing senden.
  • Die Einstellung „Show suggestions for similar pages when a page can’t be found“ wurde entfernt, die ähnliche Seiten basierend auf einer Anfrage an Google empfahl, wenn eine Seite nicht gefunden wurde. Diese Einstellung war zuvor bereits aus der Version für Desktop-Systeme entfernt worden.
  • Die Anwendung des Modus zur Isolierung von Seiten in separaten Prozessen wurde erweitert. Aus Gründen des Ressourcenverbrauchs wurden bislang nur einige große bevorzugte Seiten in separate Prozesse ausgelagert. In der neuen Version wird die Isolierung auch auf Seiten angewendet, bei denen der Benutzer sich über OAuth (zum Beispiel über ein Google-Konto) authentifiziert hat oder die den HTTP-Header Cross-Origin-Opener-Policy setzen. Für Benutzer, die die Isolation in separaten Prozessen für alle Webseiten aktivieren wollen, steht die Einstellung „chrome://flags/#enable-site-per-process“ zur Verfügung.
  • Die in die V8-Engine integrierten Schutzmechanismen gegen Angriffe über Seitenkanäle wie Spectre wurden deaktiviert, da sie als nicht so effektiv wie die Isolierung von Webseiten in separaten Prozessen anerkannt wurden. In der Desktop-Version wurden diese Mechanismen bereits mit der Veröffentlichung von Chrome 70 deaktiviert.
  • Der Zugriff auf die Einstellungen der Website-Berechtigungen, wie den Zugriff auf Mikrofon, Kamera und Standortbestimmung, wurde vereinfacht. Um die Liste der Berechtigungen anzuzeigen, genügt es, auf das Schlosssymbol in der Adresszeile zu klicken und den Abschnitt „Berechtigungen“ auszuwählen.
• Im Modus der Origin Trials (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Origin Trial bedeutet die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 geladen werden, oder nach erfolgreicher Registrierung und Erhalt eines speziellen Tokens, der für eine begrenzte Zeit für eine bestimmte Website gültig ist.
  • API File Handling, das es ermöglicht, Webanwendungen als Datei-Handler zu registrieren. Beispielsweise kann eine im PWA-Modus (Progressive Web Apps) betriebene Webanwendung mit einem Texteditor sich als Handler für „.txt“-Dateien registrieren, sodass sie im System-Dateimanager zum Öffnen von Textdateien verwendet werden kann.
  • API Shared Element Transitions, die es ermöglicht, von dem Browser bereitgestellte Effekte zu nutzen, die den Übergang von Zuständen in einseitigen (SPA, Single-Page Applications) und mehrseitigen (MPA, Multi-Page Applications) Webanwendungen visualisieren.
• Im CSS-Regel @font-face wurde der Parameter size-adjust hinzugefügt, der es ermöglicht, die Glyphengrößen für ein bestimmtes Schriftschnitt zu skalieren, ohne den Wert des CSS-Attributs font-size zu ändern (der Bereich unter dem Symbol bleibt derselbe, aber die Glyphengröße in diesem Bereich ändert sich).
• In JavaScript ist in den Objekten Array, String und TypedArray die Methode at() implementiert, die relative Indizierung ermöglicht (bei der die relative Position als Index des Arrays angegeben wird), einschließlich der Verwendung negativer Werte im Verhältnis zum Ende (zum Beispiel gibt „arr.at(-1)“ das letzte Element des Arrays zurück).
• Im JavaScript-Konstruktor Intl.DateTimeFormat wurde die Eigenschaft dayPeriod hinzugefügt, die es ermöglicht, die ungefähre Tageszeit (morgens, abends, tagsüber, nachts) anzuzeigen.
• Bei der Verwendung von SharedArrayBuffers, die das Erstellen von Arrays im gemeinsamen Speicher ermöglichen, ist nun die Definition von HTTP-Headern für Cross-Origin-Opener-Policy und Cross-Origin-Embedder-Policy erforderlich, ohne die die Anfrage blockiert wird.
• In der API Media Session wurden die Aktionen „togglemicrophone“, „togglecamera“ und „hangup“ hinzugefügt, die es Websites mit Videokonferenzsystemen ermöglichen, eigene Handler für die im Interface angezeigten Schaltflächen für das Stummschalten/anpassen des Mikrofons, die Kamera ein/aus und das Beenden des Anrufs hinzuzufügen.
• In der API Web Bluetooth wurde die Möglichkeit hinzugefügt, gefundene Bluetooth-Geräte nach Hersteller- und Produkt-IDs zu filtern. Der Filter wird über den Parameter „options.filters“ in der Methode Bluetooth.requestDevice() angegeben.
• Die erste Phase der Kürzung des Inhalts des HTTP-Headers User-Agent wurde umgesetzt: Im Tab DevTools Issues wird nun eine Warnung über die Veraltung von navigator.userAgent, navigator.appVersion und navigator.platform angezeigt.
• Eine Reihe von Verbesserungen wurde in die Tools für Webentwickler integriert. In der Webkonsole gibt es nun die Möglichkeit, die Ausdrücke „const“ zu überschreiben. Im Elements-Bereich können Details von iframe-Elementen schnell über das Kontextmenü angezeigt werden, das beim Rechtsklick auf das Element aufgerufen wird. Die Fehlersuche bei CORS (Cross-Origin Resource Sharing) wurde verbessert. Im Netzwerkaktivitätsinspektor wurde eine Möglichkeit zur Filterung von Netzwerkrequests aus WebAssembly hinzugefügt. Ein neuer CSS Grid-Editor („display: grid“ und „display: inline-grid“) mit einer Vorschaufunktion wurde vorgestellt.

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 35 Sicherheitsanfälligkeiten behoben. Viele dieser Schwachstellen wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen könnten, alle Schutzschichten des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung bei der Entdeckung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 24 Prämien in Höhe von 112.000 US-Dollar ausgezahlt (zwei Prämien zu je 15.000 Dollar, vier Prämien zu je 10.000 Dollar, eine Prämie zu 8.500 Dollar, zwei Prämien zu je 7.500 Dollar, drei Prämien zu je 5.000 Dollar, eine Prämie zu 3.000 Dollar und eine Prämie zu 500 Dollar). Die Höhe von 11 Prämien ist derzeit noch nicht festgelegt.

Quelle: opennet.ru