Release des Web Browsers Chrome 135

Die Firma Google hat die Version des Web Browsers Chrome 135 veröffentlicht. Gleichzeitig ist eine stabile Version des freien Projekts Chromium verfügbar, das die Basis für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System zur Versand von Benachrichtigungen im Falle eines Absturzes, Modulen zur Wiedergabe von kopiergeschützten Inhalten (DRM), einem automatischen Update-System, ständiger Aktivierung der Sandbox-Isolierung, Bereitstellung von Schlüsseln für die Google API und der Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, wird gesondert ein erweiterter stabiler Zweig unterstützt, der 8 Wochen begleitet wird. Das nächste Release von Chrome 136 ist für den 29. April geplant.

Wesentliche Änderungen in Chrome 135:

• Der Schutz vor heimlicher Benutzeridentifizierung wurde durch den HSTS-Cache (HTTP Strict Transport Security) hinzugefügt. HSTS ermöglicht es Websites, bei einem Zugriff über HTTP den Benutzer auf HTTPS umzuleiten. Während des Betriebs wird der Hostname, der über HSTS gesetzt wurde, im internen Cache gespeichert, was es ermöglicht, das Vorhandensein oder Nichtvorhandensein des Hosts im Cache zu nutzen, um ein einzelnes Bit Informationen zu speichern.

  Zur geheimen Speicherung einer 32-Bit-Benutzerkennung kann ein Array aus 32 Bildern verwendet werden, die von verschiedenen Hosts über HTTP geliefert werden (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg usw.). Die Identifizierung der Benutzerkennung erfolgt durch die Überprüfung, von welchen Hosts die Bilder über HTTPS geladen wurden und von welchen über HTTP (wenn die Bilder zuvor über HTTP geliefert und dann über HSTS auf HTTPS umgeleitet wurden, werden sie bei nachfolgenden Anfragen sofort über HTTPS geladen, ohne einen HTTP-Zugriff). Der Schutz wurde auf die Erlaubnis zur Aktualisierung von HSTS nur für Top-Level-Ressourcen und die Blockierung der Aktualisierung von HSTS bei Ressourcenanfragen reduziert.
• Ein lokal ausführbares Modell für maschinelles Lernen wurde hinzugefügt, um die Erkennung von Eingabeformularen für Passwörter auf Seiten zu verbessern und um eine automatische Passwortänderung zu ermöglichen. Wenn ein Passwort als kompromittiert erkannt wird, gibt Chrome bei einem Anmeldeversuch mit diesem Passwort eine Warnung aus und empfiehlt, das Passwort zu ändern. Bei Zustimmung generiert der Browser ein sicheres Passwort, ändert das Passwort auf der Website und speichert das neue Passwort im Passwort-Manager — die KI füllt die benötigten Webformulare auf der entsprechenden Website automatisch aus und sendet sie ab und aktualisiert das gespeicherte Passwort.
• In den erweiterten Schutzmodus des Browsers (Safe Browsing > Erweiterter Schutz) wurde die Möglichkeit integriert, ein großes Sprachmodell zu nutzen, um betrügerische Seiten anhand ihres Inhalts zu identifizieren. Das KI-Modell wird auf der Client-Seite ausgeführt, aber bei Verdacht auf fragwürdige Inhalte wird eine zusätzliche Überprüfung auf Servern von Google durchgeführt. Wenn die zusätzliche Überprüfung bestärkt wird, erhält der Nutzer eine Warnung. Die Überprüfung erfolgt bislang nur für Seiten, die die API Keyboard Lock verwenden.
• Für Nutzer, die Chrome mit ihrem Google-Konto verbunden haben, gibt es die Möglichkeit, installierte Erweiterungen in ihrem Google-Konto zu speichern, um diese Erweiterungen später automatisch auf allen Computern zu verwenden, die der Nutzer verwendet.
• Nutzer, die sich kürzlich mit ihrem Google-Konto verbunden haben oder Chrome Sync verwenden, erhalten die Möglichkeit, synchronisierte Einstellungen, Lesezeichen und Designs getrennt von den lokalen Einstellungen zu speichern. Dadurch bleiben die ursprünglichen Einstellungen bestehen, wenn Chrome Sync auf dem Gerät deaktiviert wird, und bei einer Verbindung mit Google werden die lokalen Einstellungen nicht geladen.
• In der Android-Version wurde die Unterstützung für den integrierten Passwort-Manager eingestellt, ersetzt durch den einheitlichen Google Password Manager, der über den Google Play Store bereitgestellt wird. Nutzer können den Inhalt des alten Passwort-Managers im CSV-Format speichern, um ihn in andere Passwort-Manager zu übertragen.
• Im Inkognito-Modus wurde eine browserseitig nicht deaktivierbare Blockierung von Drittanbieter-Cookies implementiert, die beim Zugriff auf Webseiten, die sich von der Domain unterscheiden, gesetzt werden. der aktuellen Seite (solche Cookies werden verwendet, um die Bewegungen des Nutzers zwischen Websites in den Codes von Werbenetzwerken, sozialen Medien-Widgets und Web-Analysetools zu verfolgen). Die Möglichkeit, die Blockierung von Drittanbieter-Cookies auf Seiten zu steuern, bleibt unverändert, aber im Browser kann die Einstellung BlockThirdPartyCookies im Inkognito-Modus jetzt nicht mehr auf false gesetzt werden.
• In CSS wurden die Pseudoelemente „::column“, „::scroll-button“, „::scroll-marker“ und „::scroll-marker-group“ hinzugefügt, mit denen eine Karrussell-Scrollfunktion implementiert werden kann.
• Die HTML-Attribute „command“ und „commandfor“ wurden implementiert, die in Schaltflächen anstelle der Attribute „popovertargetaction“ und „popovertarget“ verwendet werden können, um die Interaktion mit dem durch das Drücken der Schaltfläche aufgerufenen Menü deklarativ zu konfigurieren. Bei der Verwendung der neuen Attribute übernimmt der Browser die gesamte Logik der Interaktion mit dem Menü, ohne dass eigene JavaScript-Handler erforderlich sind. Zum Beispiel genügt es, anzugeben: <button commandfor="»my-menu»" command="»show-popover»">Menü öffnen</button> <div popover id="»my-menu»"> … </div>
• In CSS wurde die Funktion shape() hinzugefügt, die es ermöglicht, Formen mit den CSS-Eigenschaften clip-path und offset-path zu erstellen. Die Funktion shape() unterstützt die Formbildungsbefehle, die äquivalent zur Funktion path() sind, ermöglicht jedoch die Verwendung der standardisierten CSS-Syntax.
• Im Web Speech API, das Funktionen zur Sprachsynthese und -erkennung bereitstellt, wurde die Unterstützung für das Interface MediaStreamTrack hinzugefügt, um Audiosignale aus verschiedenen Quellen zu verarbeiten, einschließlich externer Audiospuren. Zuvor konnte das Web Speech API nur Audio verarbeiten, das über ein standardmäßig ausgewähltes Mikrofon aufgenommen wurde.
• In JavaScript wurde die Unterstützung für typisierte Arrays Float16Array hinzugefügt, die zum Speichern von Werten des Typs Float16 vorgesehen sind.
• Eine Observable API wurde hinzugefügt, um Ereignisströme asynchron zu verarbeiten. Die API ermöglicht es, sich auf ein Objekt zu abonnieren, um Ereignisse bei deren Eintreffen zu empfangen und einen deklarativen Stream von Transformationen zu beschreiben, die auf die eintreffenden Ereignisse angewendet werden sollen.
• Die Methode navigator.xr.supportsSession, die zuvor als veraltet erklärt wurde, wurde entfernt. Stattdessen sollte die Methode navigator.xr.isSessionSupported verwendet werden, wie in der WebXR-Spezifikation festgelegt.
• Die Einstellungen InsecurePrivateNetworkRequestsAllowedForUrls und InsecurePrivateNetworkRequestsAllowed, die zur Aktivierung des PNA 1.0 (Private Network Access)-Mechanismus verwendet wurden, wurden entfernt. Dieser Mechanismus schränkt den Ladevorgang von Ressourcen von öffentlich zugänglichen Websites ein, die auf Hosts im internen Netzwerk (127.0.0.0/8, 192.168.0.0/16, 10.0.0.0/8 usw.) verweisen. Solche Aktivitäten werden von Angreifern für CSRF-Angriffe auf Router, Access Points, Drucker, Unternehmens-Weboberflächen und andere Geräte und Dienste genutzt, die Anfragen nur aus dem lokalen Netzwerk akzeptieren.

  Aufgrund der Inkompatibilität mit bestimmten Geräten konnte PNA 1.0 nur auf Wunsch aktiviert werden. Für PNA 1.0 wurde die Spezifikation PNA 2.0 entwickelt, die keine Änderungen auf der Seite der Geräte erfordert; es sind nur Änderungen auf der Seite der Websites erforderlich, die Zugang zu Intranet-Ressourcen benötigen. PNA 1.0 und PNA 2.0 sind nicht miteinander kompatibel, daher plant Google, zunächst die Unterstützung für PNA 1.0 abzuschaffen, bevor PNA 2.0 eingeführt wird.

• Die Option zur Wiederherstellung der Unterstützung für die veraltete Programmierschnittstelle MutationEvent und die damit verbundenen synchron verarbeiteten Ereignisse DOMSubtreeModified, DOMNodeInserted, DOMNodeRemoved, DOMNodeRemovedFromDocument, DOMNodeInsertedIntoDocument und DOMCharacterDataModified wurde entfernt. Die Schnittstelle wurde verwendet, um Änderungen im DOM-Baum zu verfolgen, hatte jedoch negative Auswirkungen auf die Seitenleistung und hinderte die Implementierung neuer Funktionalitäten. Diese API wurde im vergangenen Sommer standardmäßig deaktiviert, aber in Chrome blieb die Option MutationEventsEnabled zur Wiederherstellung der Unterstützung bestehen. Als Alternative wird empfohlen, die Mutation Observer API zu verwenden.
• In den Entwicklerwerkzeugen für das Web wurden die Funktionen zur Leistungsanalyse erweitert.

Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 14 Sicherheitsanfälligkeiten behoben. Viele der Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die alle Sicherheitsebenen des Browsers umgehen und Code außerhalb der Sandbox-Umgebung ausführen könnten, wurden nicht festgestellt. Im Rahmen des Programms zur Belohnung der Entdeckung von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 8 Belohnungen in Höhe von insgesamt 17.000 US-Dollar ausgezahlt (eine Belohnung von 10.000 USD und zwei Belohnungen von 2.000 USD, 1.000 USD und 500 USD).

Quelle: opennet.ru