Veröffentlichung des Webbrowsers Chrome 127

Die Firma Google hat die Version 127 des Webbrowsers Chrome veröffentlicht. Gleichzeitig ist eine stabile Version des Open-Source-Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das System zur Benachrichtigung bei Abstürzen, Module zur Wiedergabe von urheberrechtlich geschütztem Videoinhalt (DRM), ein automatisches Update-System, die ständige Aktivierung der Sandbox-Isolierung, die Bereitstellung von Schlüsseln für die Google API und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, wird ein separater Extended Stable-Zweig unterstützt, der 8 Wochen lang aktualisiert wird. Die nächste Version von Chrome 128 ist für den 20. August geplant.

Die wichtigsten Änderungen in Chrome 127:

• Im Inkognito-Modus ist standardmäßig die Funktion „HTTPS-First“ aktiviert, die HTTP-Anfragen automatisch auf HTTPS umleitet. Um den Zugriff auf Websites zu gewährleisten, die HTTPS nicht unterstützen, wird ein Rollback auf HTTP durchgeführt, wenn nach der Umleitung die Anfrage über HTTPS nicht erfolgreich ist oder es Probleme mit den Zertifikaten gibt. Beim Versuch, eine Website über HTTP zu öffnen, wird eine spezielle Warnmeldung angezeigt.
• Im integrierten Speicher für Root-Zertifikate (Chrome Root Store) wurde beschlossen, das Vertrauen in die Zertifizierungsstelle Entrust aufgrund mehrfacher Verstöße gegen Anforderungen an Zertifizierungsstellen einzustellen, darunter Nichteinhaltung von Fristen für die Reaktion auf problematische Zertifikate, Verzögerungen bei der Zertifikatswiderrufung, mangelhafte Berichterstattung über Vorfälle und Missachtung der Vorschriften bei der Ausstellung von TLS-Zertifikate EV-Zertifikaten (Extended Validation), die eine Dokumentenprüfung zur Bestätigung der Domainzugehörigkeit und des Ressourceninhabers erfordern. Aufgrund fehlender Maßnahmen zur Behebung der festgestellten Mängel werden TLS-Zertifikate, die nach dem 31. Oktober 2024 von Entrust ausgestellt werden, in Chrome als nicht vertrauenswürdig angesehen. Zertifikate, die vor dem 31. Oktober ausgestellt wurden, werden weiterhin als normal betrachtet.
• Der Prozess zur schrittweisen Einstellung der Unterstützung für die zweite Version des Chrome-Manifests, das die Funktionen und Ressourcen definiert, die für mit der WebExtensions-API entwickelte Erweiterungen verfügbar sind, hat begonnen. Das Deaktivieren von Erweiterungen, die die zweite Version des Manifests verwenden, betrifft vorerst nur einen Teil der Nutzer von Testversionen von Chrome (nicht von den Release-Versionen). Die vollständige Migration auf die dritte Version des Manifests ist bis Juni 2025 geplant.
• Bei Aktivierung des erweiterten Browserschutzes (Safe Browsing > Erweiterter Schutz) wird die Übertragung an Server Google zusätzlicher Telemetriedaten mit Informationen über die besuchten Seiten realisiert, wenn auf diesen Seiten APIs zur Initiierung von Vibration (Vibration) oder zur vollständigen Kontrolle über die Maus (PointerLock) und die Tastatur (Keyboard) verwendet werden. Wenn die geöffnete Seite auf einer schwarzen Liste steht, wird dem Nutzer eine entsprechende Warnmeldung angezeigt und die markierten APIs werden deaktiviert.
• Die Ergebnisse der Modernisierung der Überprüfung von hochgeladenen Dateien im Modus des erweiterten Browserschutzes (Safe Browsing > Erweiterter Schutz) wurden zusammengefasst, bei der ausführbare Dateien und verdächtige Archive an die Google-Server zur Überprüfung auf Viren und Malware gesendet werden. Zur Sicherheitsprüfung von hochgeladenen verschlüsselten Archiven (.zip, .7z und .rar) fordert der Browser den Nutzer zur Eingabe des Passworts für die Entschlüsselung des Archivs auf. Der Nutzer kann die Überprüfung ablehnen oder das Passwort eingeben, wonach der Browser die Datei mit dem Passwort zur Überprüfung an die Google-Server sendet. Im Standardmodus (nicht erweiterter Modus) wird bei Safe Browsing ebenfalls um das Passwort gebeten, jedoch werden anstelle des Inhalts des Archivs nur die Metadaten und Hashes der im Archiv enthaltenen Dateien an die Google-Server zur Überprüfung gesendet. Es wurden auffälligere Warnungen beim Herunterladen gefährlicher Dateien implementiert, die nun nicht mehr in der unteren Leiste, sondern unter der oberen Leiste angezeigt werden.
• Es wurde eine erste Implementierung der Spezifikation für den Private Network Access vorgeschlagen, die das Laden von Ressourcen von öffentlich zugänglichen Seiten, die auf Hosts im internen Netzwerk verweisen (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 usw.), einschränkt. Das Laden solcher Ressourcen ist jetzt nur noch möglich, wenn die Seite im sicheren Kontext (über HTTPS) geöffnet wird. Zukünftig soll die Möglichkeit eines unkontrollierten Zugriffs auf interne Intranets von Seiten, die auf öffentlichen Websites geöffnet werden, vollständig eingeschränkt werden, da solche Anfragen von Angreifern genutzt werden, um CSRF-Angriffe auf Router, Access Points, Drucker, Unternehmens-Webschnittstellen und andere Geräte und Dienste durchzuführen, die Anfragen nur aus dem lokalen Netzwerk annehmen. Experimente mit der Blockierung wurden bereits 2022 in Chrome 98 begonnen, aber aufgrund von Fehlern wurde die Blockierung verschoben.
• Im Modus ‚Origin Trials‘ wurde eine experimentelle Blockierung des Zugriffs auf die IP 0.0.0.0 implementiert, da diese IP verwendet werden kann, um die Blockierung des Zugriffs auf die IP 127.0.0.1 (localhost) auf Linux- und macOS-Plattformen zu umgehen.
• In der Version für die Android-Plattform wurde die Benutzeroberfläche zur Verknüpfung mit einem Google-Konto und zur Synchronisierung von Daten wie gespeicherten Passwörtern und Lesezeichen vereinfacht. Die Synchronisierung ist jetzt in die Anmeldung beim Konto integriert und wird nicht mehr als separate Option in den Einstellungen angezeigt.
• In der Version für die Android-Plattform wurde die Benutzeroberfläche zur Verwaltung von Passwörtern aktualisiert. Nutzern, die sich mit ihrem Google-Konto verbunden haben, jedoch die Synchronisierung nicht aktiviert haben, wird die Möglichkeit geboten, Passwörter zu speichern und zu verwenden, die mit ihrem Google-Konto verknüpft sind.
• Die Einstellung „Automatisches Aktivieren des Vollbildmodus“ (Automatic Fullscreen, chrome://settings/content/automaticFullScreen) wurde hinzugefügt, die es Websites ermöglicht, den Vollbildmodus automatisch über die Methode Element.requestFullscreen() ohne Bestätigung des Nutzers zu aktivieren. Außerdem können Browser-Dialoge ohne Verlassen des Vollbildmodus angezeigt werden. Standardmäßig ist diese Einstellung deaktiviert und kann für bestimmte Websites und Webanwendungen aktiviert werden. In Kombination mit der API zur Fensterverwaltung und den Einstellungen für Popup-Benachrichtigungen (chrome://settings/content/popups) vereinfacht die neue Funktion die Nutzung von Möglichkeiten wie dem Öffnen eines Popups im Vollbild auf einem anderen Monitor, dem Anzeigen von Vollbildinhalten auf allen Bildschirmen oder auf einem zusätzlichen Bildschirm sowie dem Wechseln von Vollbildinhalten zwischen verschiedenen Anzeigen.
• Die CSS-Eigenschaft font-size-adjust wurde hinzugefügt, die es ermöglicht, die Größe von Kleinbuchstaben im Verhältnis zur Größe von Großbuchstaben, die durch die Eigenschaft „font-size“ festgelegt werden, zu ändern. Dies kann beispielsweise nützlich sein, um ein recht gutes Maß an Lesbarkeit des Textes zu gewährleisten, wenn eine alternative Schriftart verwendet wird, während die ursprüngliche Schriftart nicht verfügbar ist. Bei Schriften mit unterschiedlichen Verhältnissen zwischen der Höhe von Kleinbuchstaben und der Schriftgröße unterscheiden sich die Buchstaben erheblich, was beispielsweise dazu führen kann, dass der Text schlecht lesbar ist, wenn die Schriftart Verdana durch Times ersetzt wird.
• In der API für die statische Routenführung von ServiceWorkern (Service Worker Static Routing), die festlegt, wie bestimmte Ressourcen geladen werden sollen und den Aufruf des ServiceWorkers für Ressourcen deaktiviert, die aus dem Cache oder direkt geladen werden können, wurde die Möglichkeit zur Anwendung der logischen Operation „not“ zum Invertieren von Matching-Bedingungen für Anfragen hinzugefügt.
• Es wird sichergestellt, dass Aktivierungsereignisse, die beim Arbeiten des Nutzers mit Inhalten in einem im Bild-in-Bild-Modus (picture-in-picture) geöffneten Fenster generiert werden, an das übergeordnete Fenster dieses Modus übertragen werden. Diese Änderung ermöglicht es auf der Hauptseite, von der das Fenster „Bild-in-Bild“ geöffnet wurde, die API zur Benutzeraktivierung (navigator.userActivation) zu verwenden, um das Nutzerverhalten mit diesem Fenster zu bestimmen (zum Beispiel kann festgestellt werden, ob der Nutzer mit der Maus im Fenster „Bild-in-Bild“ geklickt hat oder ob die Seite nur geladen wurde und unberührt bleibt).
• Verbesserungen wurden in die Werkzeuge für Web-Entwickler integriert. Beim Durchsehen von CSS-Stilen wurden Links zu den entsprechenden Positionen im Dokument hinzugefügt, auf die sich die CSS-Eigenschaften zur Steuerung der Sichtbarkeit von Elementen beziehen, die an die Position anderer Elemente gebunden sind (CSS Anchor Positioning). Beim Durchsehen des HTML-Codes wurden Links zu den Zielen hinzugefügt, auf die der Attribut „popovertarget“ verweist. In der Analyse-Pane für die Netzwerkanalyse wurde eine neue vordefinierte Simulation für Zugriffsgeschwindigkeit „Fast 4G“ hinzugefügt (die Voreinstellung „Fast 3G“ wurde in „Slow 4G“ umbenannt, und „Slow 3G“ in „3G“). In der Leistungsanalyse-Pane wurde bei der Trace-Analyse sichergestellt, dass Informationen über das Senden und Empfangen von Nachrichten über WebSocket angezeigt werden.

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 24 Sicherheitsanfälligkeiten behoben. Viele der Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Fünf Probleme wurden als kritisch eingestuft. Kritische Probleme, die alle Schutzebenen des Browsers umgehen und Code außerhalb der Sandbox-Umgebung ausführen können, wurden nicht identifiziert. Im Rahmen des Belohnungsprogramms für die Entdeckung von Sicherheitsanfälligkeiten hat Google in dieser Version 16 Prämien in Höhe von insgesamt 47.500 US-Dollar ausgezahlt (eine Prämie in $11.000, $5.000, $3.000 und $500, zwei Prämien in $8.000, drei Prämien in $2.000). Die Höhe der 6 Prämien ist noch nicht festgelegt.

Quelle: opennet.ru