Veröffentlichung von Chrome 93

Das Unternehmen Google hat die Version 93 des Web-Browsers Chrome veröffentlicht. Gleichzeitig ist die stabile Version des freien Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich durch die Verwendung von Google-Logos, ein Benachrichtigungssystem im Falle eines Absturzes, Module zur Wiedergabe geschützter Videoinhalte (DRM), ein automatisches Update-System und die Übertragung von RLZ-Parametern bei der Suche. Die nächste Version von Chrome 94 ist für den 21. September geplant (die Entwicklung wurde auf einen vierwöchigen Zyklus für die Erstellung von Releases umgestellt).

Die wichtigsten Änderungen in Chrome 93:

• Die Gestaltung des Informationsblocks zur Seite (page info) wurde modernisiert, in dem die Unterstützung für verschachtelte Blöcke implementiert wurde, während Dropdown-Listen mit Zugriffsrechten durch Schalter ersetzt wurden. In den Listen wird die wichtigste Information zuerst angezeigt. Diese Änderung ist nicht für alle Nutzer aktiviert; zur Aktivierung kann die Einstellung „chrome://flags/#page-info-version-2-desktop“ verwendet werden.
• Für einen kleinen Prozentsatz der Nutzer wurde als Experiment das Symbol für eine sichere Verbindung in der Adresszeile durch ein neutraleres und nicht mehr doppeldeutig interpretierbares Zeichen ersetzt (das Schloss wurde durch das Zeichen „V“ ersetzt). Für nicht verschlüsselte Verbindungen wird weiterhin das Symbol „nicht sicher“ angezeigt. Als Grund für den Wechsel des Symbols wird angeführt, dass viele Nutzer das Schloss-Symbol mit Vertrauen in den Inhalt der Website assoziieren, anstatt es als Hinweis auf die Verschlüsselung der Verbindung zu verstehen. Laut einer Umfrage von Google verstehen nur 11% der Nutzer die Bedeutung des Schloss-Symbols.
• In der Liste der zuletzt geschlossenen Tabs wird der Inhalt der geschlossenen Tab-Gruppen angezeigt (früher wurde in der Liste lediglich der Name der Gruppe ohne Detailinformationen angezeigt) mit der Möglichkeit, sowohl die gesamte Gruppe als auch einzelne Tabs aus der Gruppe gleichzeitig wiederherzustellen. Diese Funktion ist nicht für alle Nutzer aktiviert, weshalb möglicherweise eine Änderung der Einstellung „chrome://flags/#tab-restore-sub-menus“ erforderlich ist.
• Für Unternehmen wurden neue Einstellungen DefaultJavaScriptJitSetting, JavaScriptJitAllowedForSites und JavaScriptJitBlockedForSites implementiert, die eine Steuerung des JIT-less-Modus ermöglichen, der die Anwendung von JIT-Kompilierung bei der Ausführung von JavaScript deaktiviert (es wird nur der Ignition-Interpreter verwendet) und die Zuweisung von ausführbarem Speicher während der Code-Ausführung verbietet. Die Deaktivierung von JIT kann hilfreich sein, um die Sicherheit beim Arbeiten mit potenziell gefährlichen Webanwendungen um den Preis einer Leistungsminderung von etwa 17 % zu erhöhen. Bemerkenswert ist, dass Microsoft noch einen Schritt weiter gegangen ist und im Edge-Browser einen experimentellen Modus „Super Duper Secure“ implementiert hat, der es dem Benutzer ermöglicht, JIT zu deaktivieren und inkompatible mit JIT Hardware-Schutzmechanismen wie CET (Controlflow-Enforcement Technology), ACG (Arbitrary Code Guard) und CFG (Control Flow Guard) für Prozesse, die Webinhalt verarbeiten, zu aktivieren. Sollte das Experiment erfolgreich sein, könnte man erwarten, dass es in die Hauptversion von Chrome übernommen wird.
• Auf der Seite für einen neuen Tab wird eine Liste der gefragtesten Dokumente angezeigt, die in Google Drive gespeichert sind. Der Inhalt der Liste entspricht dem Abschnitt Priority in drive.google.com. Um die Anzeige von Inhalten in Google Drive zu steuern, können die Einstellungen „chrome://flags/#ntp-modules“ und „chrome://flags/#ntp-drive-module“ verwendet werden.
• Für die Seite des neuen Tabs wurden neue Informationskarten vorgeschlagen, die helfen sollen, kürzlich angezeigten Inhalt und damit verbundene Informationen zu finden. Die Karten sollen es erleichtern, die Arbeit mit Informationen fortzusetzen, deren Ansicht unterbrochen wurde, zum Beispiel sollen die Karten helfen, ein Rezept zu finden, das kürzlich online entdeckt, aber nach dem Schließen der Seite verloren ging, oder die Auswahl von Einkäufen in Geschäften fortzusetzen. Als Experiment erhalten die Benutzer zwei neue Karten: „Rezepte“ (chrome://flags/#ntp-recipe-tasks-module) zur Suche nach Kochrezepten und zur Anzeige kürzlich angezeigter Rezepte; „Einkäufe“ (chrome://flags/#ntp-chrome-cart-module) als Erinnerung an Produkte, die in Online-Shops ausgewählt wurden.
• In die Version für die Android-Plattform wurde optionale Unterstützung für die kontinuierliche Suchleiste (chrome://flags/#continuous-search) hinzugefügt, die es ermöglicht, die letzten Suchergebnisse in Google im Blick zu behalten (die Leiste zeigt weiterhin Ergebnisse an, nachdem zu anderen Seiten gewechselt wurde).
• In der Android-Version wurde ein experimenteller Modus für den Austausch von Zitaten (chrome://flags/#webnotes-stylize) hinzugefügt, der es ermöglicht, einen markierten Abschnitt der Seite als Zitat zu speichern und mit anderen Benutzern zu teilen.
• Bei der Veröffentlichung neuer Erweiterungen oder Aktualisierungen von Versionen im Chrome Web Store ist nun unbedingt eine Zwei-Faktor-Authentifizierung des Entwicklers erforderlich.
• Für Nutzer des Google-Kontos wurde die Möglichkeit geschaffen, Informationen zu Zahlungen in ihrem Google-Konto zu speichern.
• Im Inkognito-Modus gibt es bei Aktivierung der Option zur Datenlöschung einen neuen Bestätigungsdialog, der erklärt, dass das Löschen von Daten zum Schließen des Fensters und zum Beenden aller Inkognito-Sitzungen führt.
• Aufgrund identifizierter Inkompatibilitäten mit der Firmware bestimmter Geräte wurde die Unterstützung für die in Chrome 91 eingeführte neue Schlüsselübereinstimmungsmethode, die gegen Brute-Force-Angriffe auf Quantencomputern resistent ist und auf der Verwendung der CECPQ2-Erweiterung (Combined Elliptic-Curve and Post-Quantum 2) in TLSv1.3 basiert, vorübergehend deaktiviert. Diese kombiniert den klassischen Schlüsselübertragungsmechanismus X25519 mit dem HRSS-Schema, das auf dem NTRU Prime-Algorithmus basiert und für Post-Quanten-Kryptosysteme entwickelt wurde.
• Die Ports 989 (ftps-data) und 990 (ftps) wurden zur Liste der blockierten Netzwerkports hinzugefügt, um den ALPACA-Angriff zu verhindern. Zuvor wurden bereits zum Schutz vor dem NAT-Slipstreaming-Angriff die Ports 69, 137, 161, 554, 1719, 1720, 1723, 5060, 5061, 6566 und 10080 blockiert.
• In TLS wurde die Unterstützung für Cipher-Suiten auf Basis des 3DES-Algorithmus eingestellt. Insbesondere wurde die Cipher-Suite TLS_RSA_WITH_3DES_EDE_CBC_SHA entfernt, die anfällig für den Sweet32-Angriff ist.
• Die Unterstützung für die Ubuntu-Version 16.04 wurde eingestellt.
• Es wurde die Möglichkeit geschaffen, die WebOTP-API zwischen verschiedenen Geräten zu verwenden, die über dasselbe Google-Konto verbunden sind. WebOTP ermöglicht es Webanwendungen, einmalige Bestätigungscodes zu lesen, die per SMS gesendet werden. Die vorgeschlagene Änderung ermöglicht es, den Bestätigungscode auf einem mobilen Gerät mit Chrome für Android zu erhalten und ihn auf einem Desktop-System anzuwenden.
• Die API User-Agent Client Hints, die als Ersatz für den User-Agent-Header entwickelt wird, wurde erweitert. User-Agent Client Hints ermöglicht die selektive Bereitstellung von Daten zu bestimmten Parametern des Browsers und der Systemumgebung (Version, Plattform usw.) erst nach Anfrage. Server. Der Benutzer kann seinerseits festlegen, welche Informationen den Website-Besitzern zur Verfügung gestellt werden können. Bei der Verwendung von User-Agent Client Hints wird die Browser-ID nur auf ausdrückliche Anfrage übermittelt, während standardmäßig nur grundlegende Parameter angegeben werden, was die passive Identifizierung erschwert.

  In der neuen Version wird die Unterstützung des Parameters Sec-CH-UA-Bitness zur Rückgabe von Daten über die Plattformarchitektur implementiert, was zur Bereitstellung optimierter Binärdateien verwendet werden kann. Standardmäßig wird der Parameter Sec-CH-UA-Platform mit allgemeinen Plattformdaten gesendet. Im Wert UADataValues, der bei einem Aufruf von getHighEntropyValues() zurückgegeben wird, werden standardmäßig verallgemeinerte Parameter bereitgestellt, wenn keine detaillierte Variante zurückgegeben werden kann. Im Objekt NavigatorUAData wurde die Methode toJSON hinzugefügt, die die Verwendung von Konstruktionen wie JSON.stringify(navigator.userAgentData) ermöglicht.

• Die Möglichkeit, Ressourcen in Paketen im Web Bundle-Format zu verpacken, wurde stabilisiert und standardmäßig angeboten, was eine effizientere Ladeorganisation vieler begleitender Dateien (CSS-Stile, JavaScript, Bilder, iframe) ermöglicht. Zu den Nachteilen der bestehenden Unterstützung für Pakete, die für JavaScript-Dateien (webpack) vorhanden ist und die im Web Bundle behoben werden sollen, gehört: Das gesamte Paket kann im HTTP-Cache gespeichert werden, jedoch nicht dessen Bestandteile; die Kompilierung und Ausführung kann erst nach dem vollständigen Laden des Pakets beginnen; zusätzliche Ressourcen wie CSS und Bilder müssen in Form von JavaScript-Zeilen codiert werden, was die Dateigröße erhöht und eine weitere Parsing-Phase erfordert.
• Der API WebXR Plane Detection, der Informationen über flache Oberflächen in einer virtuellen 3D-Umgebung bereitstellt, wurde aktiviert. Diese API ermöglicht es, ohne ressourcenintensive Datenverarbeitung, die durch den Aufruf von MediaDevices.getUserMedia() erfolgt, auszukommen, indem eigene Implementierungen von Algorithmen zur maschinellen Sicht verwendet werden. Es sei daran erinnert, dass die WebXR-API die Arbeit mit verschiedenen Klassen von Virtual-Reality-Geräten vereinheitlicht, von stationären 3D-Helmen bis hin zu mobilen Lösungen.
• Im Modus der Origin Trials (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Origin Trial bedeutet die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 geladen werden, oder nach erfolgreicher Registrierung und Erhalt eines speziellen Tokens, der für eine begrenzte Zeit für eine bestimmte Website gültig ist.
  • Die API für die Multi-Screen-Fensterplatzierung wurde vorgeschlagen, die es ermöglicht, Fenster auf jedem mit dem aktuellen System verbundenen Bildschirm zu platzieren und die Fensterposition zu speichern sowie das Fenster bei Bedarf im Vollbildmodus auszugeben. Beispielsweise kann eine Webanwendung zur Präsentation mithilfe dieser API die Folien auf einem Bildschirm anzeigen und die Notizen für den Referenten auf einem anderen Bildschirm anzeigen.
  • Im Header der Cross-Origin-Embedder-Policy, die den Modus der Cross-Origin-Isolierung steuert und Regeln für die sichere Nutzung privilegierter Operationen auf der Seite definiert, wurde die Unterstützung für den Parameter „credentialless“ hinzugefügt, um die Übertragung von mit Anmeldeinformationen verbundenen Informationen wie Cookies und Client-Zertifikate zu deaktivieren.
  • Für separat installierbare Webanwendungen (PWA, Progressive Web Apps), die die Darstellung des Fensterinhalts steuern und Eingaben verarbeiten, wurde eine Overlay mit Fenstersteuerungselementen wie einem Titelbereich und Schaltflächen zum Minimieren/Maximieren des Fensters bereitgestellt. Das Overlay erweitert den verfügbaren Änderungsbereich auf das gesamte Fenster und ermöglicht das Hinzufügen benutzerdefinierter Elemente in den Titelbereich.
  • Die Möglichkeit wurde eingeführt, PWA-Anwendungen zu erstellen, die als URL-Handler genutzt werden können. Zum Beispiel kann die Anwendung music.example.com sich als Handler für die URL https://*.music.example.com registrieren, sodass alle Übergänge von externen Anwendungen über diese Links, beispielsweise aus Messaging-Apps und E-Mail-Clients, zur Öffnung dieser PWA-Anwendungen und nicht zu einem neuen Tab im Browser führen.
• Es wurde die Möglichkeit hinzugefügt, CSS-Dateien mithilfe der „import“-Anweisung ähnlich wie beim Laden von JavaScript-Modulen zu importieren, was bei der Erstellung eigener Elemente praktisch ist und die Zuweisung von Stilen in JavaScript überflüssig macht. import sheet from ‘./styles.css’ assert { type: ‘css’ }; document.adoptedStyleSheets = [sheet]; shadowRoot.adoptedStyleSheets = [sheet];
• Eine neue statische Methode AbortSignal.abort() wurde bereitgestellt, die ein AbortSignal-Objekt zurückgibt, bei dem der Parameter aborted bereits gesetzt ist. Anstelle mehrerer Codezeilen zur Erstellung eines AbortSignal-Objekts im Status aborted kann jetzt eine einzige Zeile „return AbortSignal.abort()“ verwendet werden.
• Im Flexbox-Element wurde die Unterstützung für die Schlüsselwörter start, end, self-start, self-end, left und right hinzugefügt, die die Schlüsselwörter center, flex-start und flex-end zur Vereinfachung der Positionierung von flex-Elementen ergänzen.
• Im Error()-Konstruktor wurde eine neue optionale Eigenschaft „cause“ implementiert, mit der Fehler leicht miteinander verknüpft werden können. const parentError = new Error('parent'); const error = new Error('parent', { cause: parentError }); console.log(error.cause === parentError); // → true
• Die Eigenschaft HTMLMediaElement.controlsList hat Unterstützung für den Modus noplaybackrate erhalten, der es ermöglicht, die vom Browser bereitgestellten Bedienelemente zur Änderung der Wiedergabegeschwindigkeit von Medieninhalten zu deaktivieren.
• Der Header Sec-CH-Prefers-Color-Scheme wurde hinzugefügt, der es ermöglicht, während der Anfrageübertragung Daten über das bevorzugte Farbschema des Nutzers, das in den Medienabfragen „prefers-color-scheme“ verwendet wird, zu übermitteln. Dies ermöglicht es der Website, das Laden der relevanten CSS für das gewählte Schema zu optimieren und sichtbare Umschaltungen von anderen Schemata zu vermeiden.
• Es wurde die Eigenschaft Object.hasOwn hinzugefügt, die eine vereinfachte Version von Object.prototype.hasOwnProperty darstellt, die in Form einer statischen Methode implementiert ist. Object.hasOwn({ prop: 42 }, 'prop') // → true
• Im JIT-Compiler Sparkplug, der für eine sehr schnelle Ausführung der Rohkompilierung zuständig ist, wurde ein Batch-Bearbeitungsmodus für Operationen hinzugefügt, der die Kosten für das Wechseln von Speicherseiten zwischen Schreib- und Ausführungsmodus senkt. Sparkplug kompiliert jetzt mehrere Funktionen gleichzeitig und ruft mprotect nur einmal zur Änderung der Zugriffsrechte der gesamten Gruppe auf. Der vorgeschlagene Modus verkürzt die Kompilierungszeit erheblich (um bis zu 44 %), ohne die Ausführungsleistung von JavaScript negativ zu beeinflussen.
• In der Android-Version wurden die im V8-Engine eingebauten Schutzmechanismen gegen Angriffe über Nebenkanäle wie Spectre deaktiviert, da diese als nicht so effektiv angesehen werden wie die Isolierung von Websites in separaten Prozessen. In der Desktop-Version wurden diese Mechanismen bereits mit der Version Chrome 70 deaktiviert. Die Deaktivierung überflüssiger Überprüfungen hat die Leistung um 2–15 % steigern können.
• Verbesserungen der Entwicklertools für das Web wurden vorgenommen. Im Modus zur Inspektion von Stylesheets wurde die Möglichkeit hinzugefügt, Abfragen zu bearbeiten, die mit der @container-Anweisung erstellt wurden. Im Netzwerkinspektor wurde die Vorschau von Ressourcen im Web Bundle-Format implementiert. Im Web-Console wurde das Kontextmenü um Optionen zum Kopieren von Zeilen in Form von JavaScript-Literalen oder JSON ergänzt. Das Debuggen von Fehlern im Zusammenhang mit CORS (Cross-Origin Resource Sharing) wurde erleichtert.

Neben den Neuerungen und Bugfixes wurden in der neuen Version 27 Sicherheitsanfälligkeiten behoben. Viele dieser Anfälligkeiten wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL erkannt. Kritische Probleme, die alle Schutzebenen des Browsers umgehen und die Ausführung von Code außerhalb der Sandbox-Umgebung ermöglichen, wurden nicht gefunden. Im Rahmen des Programms zur Belohnung der Entdeckung von Sicherheitsanfälligkeiten hat Google für das aktuelle Release 19 Prämien in Höhe von 136.500 USD ausgezahlt (drei Prämien von 20.000 USD, eine Prämie von 15.000 USD, drei Prämien von 10.000 USD, eine Prämie von 7.500 USD, drei Prämien von 5.000 USD und drei Prämien von 3.000 USD). Die Höhe von fünf Prämien wurde noch nicht festgelegt.

Quelle: opennet.ru