Chrome 97 veröffentlicht

Die Firma Google hat die Veröffentlichung des Web-Browsers Chrome 97 vorgestellt. Gleichzeitig ist die stabile Version des freien Projekts Chromium verfügbar, welches die Grundlage für Chrome bildet. Der Browser Chrome zeichnet sich durch die Verwendung der Google-Logos, ein System zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System und die Übertragung von RLZ-Parametern bei der Suche aus. Für diejenigen, die mehr Zeit für ein Update benötigen, wird ein separater Extended Stable-Zweig unterstützt, der 8 Wochen lang aktiv ist, in dem ein Update für die vorherige Version Chrome 96 bereitgestellt wird. Die nächste Veröffentlichung von Chrome 98 ist für den 1. Februar geplant.

Wesentliche Änderungen in Chrome 97:

• Für einen Teil der Nutzer wird im Konfigurator eine neue Schnittstelle zur Verwaltung von im Browser gespeicherten Daten verwendet („chrome://settings/content/all“). Das Hauptmerkmal der neuen Schnittstelle ist die Ausrichtung auf die Verwaltung der Berechtigungen und die gleichzeitige Löschung sämtlicher Cookies der Website, ohne die Möglichkeit, detaillierte Informationen über einzelne Cookies einzusehen oder diese selektiv zu löschen. Google ist der Meinung, dass der Zugang zur Verwaltung einzelner Cookies für den durchschnittlichen Nutzer, der sich nicht mit den Feinheiten der Webentwicklung auskennt, zu unvorhersehbaren Störungen auf Websites führen kann, da er unüberlegte Änderungen einzelner Parameter vornimmt, sowie zur versehentlichen Deaktivierung von über Cookies aktivierten Datenschutzmechanismen. Für diejenigen, die mit einzelnen Cookies arbeiten müssen, wird empfohlen, den Bereich zur Verwaltung des Speichers in den Entwicklertools zu nutzen (Application/Storage/Cookie).
• Im Informationsblock über die Website wurde die Ausgabe einer kurzen Beschreibung der Website implementiert (zum Beispiel eine Beschreibung aus Wikipedia), wenn in den Einstellungen der Optimierungsmodus für Suche und Navigation aktiviert ist (Option „Make searches and browsing better“).
• Die Unterstützung für das automatische Ausfüllen von Feldern in Webformularen wurde verbessert. Empfehlungen mit Auto-Ausfüllvarianten werden jetzt mit leichtem Versatz angezeigt und mit Informationspikto- grammen versehen, um eine bequemere Vorschau und eine anschauliche Zuordnung zum auszufüllenden Feld zu ermöglichen. Zum Beispiel zeigt das Profil-Piktogramm an, dass das angebotene Auto-Ausfüllen Felder betrifft, die mit Adress- und Kontaktinformationen verbunden sind.
• Die Entfernung von Speicherverwendungen der Benutzerprofil-Handler nach dem Schließen der zugehörigen Browserfenster ist sichergestellt. Zuvor blieben Profile im Speicher und führten weiterhin Aufgaben im Zusammenhang mit der Synchronisation und der Ausführung von Hintergrund-Skripten von Erweiterungen aus, was zu einer ungerechtfertigten Ressourcenverschwendung auf Systemen führte, in denen gleichzeitig mehrere Profile verwendet werden (zum Beispiel ein Gastprofil und eine Bindung an ein Google-Konto). Außerdem wurde eine gründlichere Bereinigung der Daten gewährleistet, die während der Arbeit mit dem Profil verbleiben.
• Die Seite mit den Einstellungen für Suchmaschinen („Einstellungen> Suchmaschinen verwalten“) wurde verbessert. Die automatische Aktivierung von Engines wurde deaktiviert, deren Informationen beim Öffnen der Website über das OpenSearch-Skript angezeigt werden — neue Engines zur Verarbeitung von Suchanfragen aus der Adresszeile müssen jetzt manuell in den Einstellungen aktiviert werden (früher automatisch aktivierte Engines funktionieren weiterhin unverändert).
• Ab dem 17. Januar werden im Chrome Web Store keine Erweiterungen mehr akzeptiert, die die zweite Version des Chrome-Manifests verwenden, jedoch können Entwickler bereits hinzugefügter Erweiterungen weiterhin Updates veröffentlichen.
• Die experimentelle Unterstützung der WebTransport-Spezifikation wurde hinzugefügt, die das Protokoll und die zugehörige JavaScript-API zur Übertragung von Daten zwischen dem Browser und definiert. Server. Der Kommunikationskanal wird über HTTP/3 eingerichtet, wobei QUIC als Transportprotokoll verwendet wird. WebTransport kann anstelle des WebSockets-Mechanismus verwendet werden und bietet zusätzliche Funktionen wie die Organisation der Übertragung in mehreren Streams, unidirektionale Streams, paketunabhängige Zustellung (out-of-order), zuverlässige und nicht zuverlässige Zustellmodi. Darüber hinaus kann WebTransport anstelle des Server Push-Mechanismus verwendet werden, von dem Google in Chrome Abstand genommen hat.
• In die JavaScript-Objekte Array und TypedArrays wurden die Methoden findLast und findLastIndex integriert, die es ermöglichen, Elemente mit Bezug auf das Ende des Arrays zu suchen. [1,2,3,4].findLast((el) => el % 2 === 0) \/\/ → 4 (letztes gerades Element)
• Geschlossene (ohne das Attribut „open“) HTML-Elemente
  , sind jetzt für die Suche und Links verfügbar und werden automatisch geöffnet, wenn eine Seiten-Suche und Fragment-Navigation (ScrollToTextFragment) verwendet wird.
• Einschränkungen der Content Security Policy (CSP) in den Antwort-Headern Server werden jetzt auch auf dedizierte Worker angewendet, die zuvor als separate Dokumente behandelt wurden.
• Es wird eine klare Anfrage nach der Genehmigung zum Laden von Subressourcen aus dem lokalen Netzwerk sichergestellt – bevor auf das lokale Netzwerk oder localhost des Hauptservers zugegriffen wird, wird jetzt eine CORS-Anfrage (Cross-Origin Resource Sharing) mit dem Header ‚Access-Control-Request-Private-Network: true‘ gesendet, die eine Bestätigung des Vorgangs durch die Rückgabe des Headers ‚Access-Control-Allow-Private-Network: true‘ erfordert.
• Die CSS-Eigenschaft font-synthesis wurde hinzugefügt, die es ermöglicht, die Fähigkeit des Browsers zur Synthese fehlender Schriftartenvarianten (oblique, bold und small-cap), die in der gewählten Schriftfamilie fehlen, zu steuern.
• Für CSS-Transformationen wurde in der Funktion perspective() der Parameter ‚none‘ implementiert, der als unendlicher Wert behandelt wird, wenn Animationen organisiert werden.
• Im HTTP-Header Permissions-Policy (Feature Policy), der zur Delegierung von Rechten und zur Aktivierung erweiterter Funktionen verwendet wird, wurde die Unterstützung des Wertes keyboard-map hinzugefügt, die die Verwendung der API Keyboard erlaubt. Es wurde die Methode Keyboard.getLayoutMap() implementiert, die es ermöglicht festzustellen, welche Taste gedrückt wurde, unter Berücksichtigung verschiedener Tastaturlayouts (z. B. ob die Taste im russischen oder im englischen Layout gedrückt wurde).
• Die Methode HTMLScriptElement.supports() wurde hinzugefügt, die die Definition neuer Möglichkeiten, die im Element „script“ verfügbar sind, vereinheitlicht, z. B. kann eine Liste der unterstützten Werte für das Attribut „type“ abgerufen werden.
• Der Prozess der Normalisierung neuer Zeilen beim Senden von Web-Formularen wurde an die Browser-Engines Gecko und WebKit angepasst. Die Normalisierung von Zeilenumbruchs- und Wagenrückkehrzeichen (das Ersetzen von \/r und \/n durch \r\n) erfolgt in Chrome jetzt in der letzten Phase und nicht zu Beginn der Verarbeitung des Formularversands (d. h. zwischenzeitliche Handler, die das Objekt FormData verwenden, sehen die Daten so, wie sie der Benutzer eingegeben hat, und nicht in normalisierter Form).
• Die Benennung der Eigenschaften für die API Client Hints, die als Ersatz für den User-Agent-Header entwickelt wird und es ermöglicht, gezielt Informationen über spezifische Browser- und Systemparameter (Version, Plattform usw.) nur auf Anfrage des Servers bereitzustellen, wurde standardisiert. Die Eigenschaften beginnen jetzt mit dem Präfix „sec-ch-“, z. B. sec-ch-dpr, sec-ch-width, sec-ch-viewport-width, sec-ch-device-memory, sec-ch-rtt, sec-ch-downlink und sec-ch-ect.
• Die zweite Phase der Unterstützung der WebSQL-API wurde eingestellt. Ab sofort werden Aufrufe von externen Skripten geblockt. Darüber hinaus ist geplant, die Unterstützung von WebSQL schrittweise vollständig zu beenden, unabhängig vom Nutzungskontext. Der WebSQL-Handler basiert auf dem SQLite-Code und könnte von Angreifern ausgenutzt werden, um Schwachstellen in SQLite auszunutzen.
• Für die Windows-Plattform wurde eine Version mit Integritätsprüfungen der Ausführungsströme (CFG, Control Flow Guard) aktiviert, die Versuche blockieren, Code in den Chrome-Prozess einzuschleusen. Darüber hinaus gilt jetzt die Sandbox-Isolierung für Netzwerkdienste, die in separaten Prozessen ausgeführt werden, was die Möglichkeiten des Codes in diesen Prozessen einschränkt.
• In Chrome für Android wurde ein Mechanismus zur dynamischen Aktualisierung des Logs ausgegebener und zurückgezogener Zertifikate (Certificate Transparency) aktiviert, der zuvor in den Versionen für Desktop-Systeme aktiviert wurde.
• Die Werkzeuge für Webentwickler wurden verbessert. Experimentelle Unterstützung für die Synchronisation der DevTools-Einstellungen zwischen verschiedenen Geräten wurde implementiert. Ein neues Recorder-Panel wurde hinzugefügt, mit dem Benutzeraktionen auf der Seite aufgezeichnet, wiedergegeben und analysiert werden können.

  Bei der Anzeige von Fehlern in der Web-Konsole wird jetzt die Anzeige der mit dem Problem verbundenen Spaltennummern sichergestellt, was die Fehlersuche in minimiertem JavaScript-Code erleichtert. Die Liste der Geräte, die zur Bewertung der Seitenanzeige auf mobilen Geräten simuliert werden können, wurde aktualisiert. In der HTML-Bearbeitungsoberfläche (Bearbeiten als HTML) wurde Syntax-Highlighting und eine Autovervollständigung von Eingaben hinzugefügt.

  

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 37 Sicherheitsanfälligkeiten behoben. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit Tools wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Einer dieser Schwachstellen wurde der Status eines kritischen Problems zugewiesen, das es ermöglicht, alle Schutzebenen des Browsers zu umgehen und Code im System außerhalb der Sandbox-Umgebung auszuführen. Details zur kritischen Sicherheitsanfälligkeit (CVE-2022-0096) werden derzeit nicht veröffentlicht, es ist nur bekannt, dass sie mit dem Zugriff auf bereits freigegebenen Speicher im Code für den Umgang mit internen Speichern (API Storage) zusammenhängt.

Im Rahmen des Programms zur Auszahlung von Prämien für die Entdeckung von Schwachstellen für die aktuelle Version hat Google 24 Prämien in Höhe von 54.000 US-Dollar ausgezahlt (drei Prämien in Höhe von 10.000 US-Dollar, zwei Prämien in Höhe von 5.000 US-Dollar, eine Prämie in Höhe von 4.000 US-Dollar, drei Prämien in Höhe von 3.000 US-Dollar und eine Prämie in Höhe von 1.000 US-Dollar). Die Höhe von 14 Prämien ist bisher nicht festgelegt.

Quelle: opennet.ru