Version des Webbrowsers Chrome 136 mit Isolierung des Stils besuchter Links

Die Firma Google hat die Version 136 des Webbrowsers Chrome veröffentlicht. Gleichzeitig ist eine stabile Version des freien Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System zur Benachrichtigung im Falle von Abstürzen, Module zum Abspielen von kopiergeschützten Videoinhalten (DRM), ein automatisches Update-System, ständige Aktivierung der Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google API und die Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für Updates benötigen, gibt es einen separaten Extended Stable-Zweig, der 8 Wochen lang unterstützt wird. Die nächste Version Chrome 137 ist für den 27. Mai geplant.

Die wichtigsten Änderungen in Chrome 136:

• Es wurde ein Schutz gegen das Leaking von Informationen über zuvor besuchte Seiten hinzugefügt, das durch die Anwendung des CSS-Pseudoklassen «:visited» entsteht, die es ermöglicht, das Erscheinen zuvor geöffneter Links anzupassen. Bis zur Version Chrome 136 führte das Klicken auf einen Link dazu, dass das Erscheinen dieses Links auf allen Websites, die diesen Link anzeigten, geändert wurde, unabhängig davon, von welcher Website der Klick initiiert wurde. Auf seiner eigenen Website konnte ein Angreifer feststellen, ob der Benutzer zuvor die für ihn interessanten Links geöffnet hatte, indem er die Änderung des Erscheinens dieser Links analysierte. Wenn man beispielsweise eine Liste von Links zu verschiedenen Seiten erstellt, werden die zuvor besuchten Seiten in dieser Liste vom Browser in einer anderen Farbe hervorgehoben, auf deren Grundlage man schließen kann, ob die Links zuvor geöffnet wurden.

  Um das Leaking von Informationen über besuchte Links in Chrome zu verhindern, wurde eine Isolation der Verarbeitung des Selektors «:visited» in Bezug auf die besuchte Website implementiert, das heißt, Elemente werden jetzt mithilfe von «:visited» nur dann stilisiert, wenn sie zuvor von der aktuellen Website geöffnet wurden und in Bezug auf das aktuelle iFrame. Die Isolation erfolgt durch Hashing des Stils der besuchten Links unter Verwendung eines Schlüssels, der aus drei Komponenten besteht – dem Link, der übergeordneten Website und dem Host, der im iFrame verwendet wird.

  

  Zum Beispiel, wenn von der Website "A" über einen Link navigiert wurde, wird dieser Link künftig nur auf der Website "A" hervorgehoben und bleibt auf der Website des Angreifers unverändert. Eine Ausnahme wurde nur für iframes gemacht, die von der Hauptwebsite geladen werden (same-origin), sowie für Links zur aktuellen Website. So werden beim Öffnen der Website "A" Links, die zur Website "A" führen, hervorgehoben, selbst wenn die Navigierung von einer anderen Website erfolgte, während andere Links nur hervorgehoben werden, wenn die Navigierung von der Website "A" kam.

  

  Im Firefox wurde der Schutz vor solchen Lecks 2010 hinzugefügt, aber es gab Methoden, diesen zu umgehen. Zum Beispiel wurde in Firefox 122 im Jahr 2024 die Möglichkeit beseitigt, die Farben von Pixeln durch Filter, die den Parameter currentColor verwenden, zu analysieren, sowie bei Manipulationen mit dem canvas-Tag in SVG.

• In der Android-Version wurde die Übertragung an Server Google Telemetrie mit Daten über über den Browser heruntergeladene APK-Pakete implementiert. Derzeit beschränkt sich die Funktionalität auf das Senden von Telemetrie, wird jedoch in Zukunft verwendet, um Warnungen anzuzeigen und den Download von schädlichen APK-Dateien zu blockieren. Die Überprüfung erfolgt nur, wenn im Browser die erweiterte Schutzfunktion (Safe Browsing > Enhanced protection) in den Einstellungen aktiviert ist.
• Für die Remote-Debugging ist nun die Angabe eines separaten Verzeichnisses mit Daten erforderlich, das bei der Ausführung mit dem Parameter "—user-data-dir" angegeben werden muss, der zusammen mit dem Parameter "—remote-debugging-pipe" oder "—remote-debugging-port" angegeben wird. Bei Verwendung des standardmäßig verwendeten Verzeichnisses in Windows, Linux und macOS wird das Remote-Debugging nicht mehr funktionieren. Ursache der Änderung ist die Bekämpfung von Malware, die Remote-Debugging verwendet, um Daten aus Google Chrome zu extrahieren. Bei Verwendung eines separaten Verzeichnisses wird ein anderer Verschlüsselungsschlüssel verwendet, der den Zugriff auf die Arbeitsdaten des Benutzers im Hauptverzeichnis nicht zulässt. Die Änderung gilt nur für Chrome und nicht für Chromium.
• Das Design der Scrollleisten auf den Plattformen Linux und Windows wurde modernisiert. Bei Inaktivität wird die Scrollleiste ausgeblendet und erscheint nur wieder, wenn das Scrollen auf der Seite fortgesetzt wird. Zu den Einstellungen für die Aktivierung des neuen Designs der Scrollleisten wurden chrome://flags#fluent-overlay-scrollbars und chrome://flags#fluent-scrollbars vorgeschlagen.
• In der CSS-Funktion attr() wurde das Argument vom Typ „string“ in „raw-string“ umbenannt, gemäß der Entscheidung der Arbeitsgruppe, die die Entwicklung der CSS-Spezifikationen koordiniert. Diese Änderung soll Verwirrung aufgrund der Ähnlichkeit zwischen den Ausdrücken „attr(foo type())“ und „attr(foo string)“ vermeiden.
• Im API ProgressEvent, das zur Erstellung von Fortschrittsanzeigen dient, wurde in den Attributen „loaded“ und „total“ anstelle des Typs „unsigned long long“ der Typ „double“ verwendet, was dem Verhalten des HTML-Elements entspricht und es ermöglicht, allmähliche Änderungen nicht-ganzzahliger Werte anzuzeigen, beispielsweise beim Anstieg von 0 auf 1.
• Für die Escape-Zeichenfolgen, die in regulären Ausdrücken verwendet werden, wurde die statische Methode „RegExp.escape“ vorgeschlagen. Zeichenfolgen, die mithilfe von RegExp.escape escaped wurden, können sicher als Muster im Konstruktor RegExp() verwendet werden.
• Der Website ist es gestattet, automatisch Passkeys basierend auf bereits für diese Website gespeicherten Anmeldeinformationen zu erstellen. Die Erstellung von Passkeys erfolgt ohne die Anzeige eines separaten modalen Dialogs, wenn der Benutzer zuvor die Erstellung von Anmeldeinformationen für die Website bestätigt hat.
• Das CSS-Attribut dynamic-range-limit wurde hinzugefügt, um die maximale Helligkeit von HDR-Inhalten zu begrenzen.
• Im API Speculation Rules (), das zur Konfiguration des Vorabladens von Ressourcen verwendet wird, ist es erlaubt, ein optionales Feld „tag“ anzugeben, um die Quelle zu verfolgen. Der Inhalt dieses Feldes wird über den HTTP-Header Sec-Speculation-Tags gesendet.
• In WebRTC und der API MediaRecorder wurde die Unterstützung des Codecs H265 (HEVC) zusätzlich zu den zuvor unterstützten VP8, H.264, VP9 und AV1 hinzugefügt.
• In den Entwicklertools für das Web wurden die Möglichkeiten des Panels zur Leistungsanalyse erweitert. Berichte über Anfragen mit dem alten Protokoll HTTP/1.1, die Effizienz der Cache-Nutzung und die Optimierung mit der Eigenschaft font-display wurden hinzugefügt. Auf der Seite „Datenschutz und Sicherheit > Datenschutz > Cookies von Drittanbietern“ wurde die Möglichkeit hinzugefügt, einzelne Cookies zu suchen. Es wurde eine experimentelle Möglichkeit zur Ausgabe von Hinweisen zu Problemen mit DOM-Elementen und -Attributen hinzugefügt.

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 8 Sicherheitsanfälligkeiten beseitigt. Viele dieser Anfälligkeiten wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL aufgedeckt. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Vergabe von Geldprämien für die Entdeckung von Sicherheitsanfälligkeiten hat Google in diesem Release 4 Prämien in Höhe von insgesamt 10.000 USD ausgezahlt (eine Prämie von 5.000 USD, zwei Prämien von 2.000 USD und eine Prämie von 1.000 USD).

Quelle: opennet.ru