Versand des Web-Browsers Chrome 137.

Das Unternehmen Google hat die Version 137 des Webbrowsers Chrome veröffentlicht. Gleichzeitig steht eine stabile Version des freien Projekts Chromium zur Verfügung, das die Grundlage für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, die Bereitstellung eines Benachrichtigungssystems im Falle eines Absturzes, Modulen zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, die permanente Aktivierung von Sandbox-Isolierung, die Bereitstellung von Schlüsseln für Google API und die Übermittlung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Update benötigen, wird separat der Extended Stable-Zweig unterstützt, der mit 8 Wochen verlängert wird. Die nächste Version von Chrome 138 ist für den 24. Juni geplant.

Wesentliche Änderungen in Chrome 137:

• In die Versionen für Windows und macOS wurde der Chatbot Gemini integriert, der den Inhalt der besuchten Seite erklären und verwandte Fragen dazu beantworten kann, ohne die aktuelle Registerkarte zu wechseln. Text- und Sprachinteraktionen mit Gemini werden unterstützt. Die Nutzung des Chatbots steht derzeit nur einer bestimmten Gruppe von Nutzern in den USA mit Google AI Pro- und Ultra-Abonnements zur Verfügung.
• Analog zur zuvor umgesetzten Segmentierung des Speichers wurde eine Isolierung für die Verarbeitung des URL-Schemas „blob:“ implementiert, das für den Zugriff auf lokal generierte Daten über die Blob- oder File-APIs gedacht ist. Bei der Segmentierung wird an den Schlüssel, der zum Abrufen von Objekten verwendet wird, ein separates Merkmal angeheftet, das die Bindung an das primäre Domain, von dem die Hauptseite geöffnet wurde, definiert, was es ermöglicht, Methoden zur Verfolgung der Bewegungen des Nutzers zwischen den Webseiten durch Manipulation der URL „blob:“ zu blockieren.
• Im Modus für erweiterte Browsersicherheit (Safe Browsing > Erweiterter Schutz) wurde die Möglichkeit aktiviert, ein großes Sprachmodell zur Identifizierung betrügerischer Seiten anhand ihres Inhalts zu verwenden. Das AI-Modell wird auf der Client-Seite ausgeführt, aber im Falle von Verdachtsmomenten auf fragwürdige Inhalte wird eine zusätzliche Überprüfung bei Servern Google durchgeführt. In der aktuellen Version erfolgt derzeit nur die Sammlung von Informationen über problematische Seiten. In der nächsten Veröffentlichung ist geplant, Warnungen an den Nutzer auszugeben.
• Der Schutz vor versteckter Identifizierung von Benutzern durch den HSTS-Cache (HTTP Strict Transport Security) ist aktiviert. HSTS ermöglicht es Websites, Benutzer bei einem Zugriff über HTTP auf HTTPS umzuleiten. Im Verlauf der Nutzung wird der Hostname, der über HSTS zugewiesen wurde, im internen Cache gespeichert. Dadurch kann der bestehende oder nicht bestehende Host im Cache verwendet werden, um ein einzelnes Bit Information zu speichern. Um eine 32-Bit-Benutzer-ID verborgen zu speichern, kann ein Array von 32 Bildern verwendet werden, die von verschiedenen Hosts über HTTP abgerufen werden (http://bit0.example.com/image.jpg, http://bit1.example.com/image.jpg usw.). Die Identifizierung der Benutzer-ID erfolgt durch Überprüfung, von welchen Hosts die Bilder über HTTPS und von welchen über HTTP geladen wurden (wenn die Bilder zuvor über HTTP bereitgestellt und dann über HSTS auf HTTPS umgeleitet wurden, werden sie bei nachfolgenden Anfragen sofort über HTTPS geladen, ohne eine HTTP-Anfrage zu stellen). Der Schutz beschränkt sich darauf, das Update von HSTS nur für Ressourcen der obersten Ebene zuzulassen und das Update von HSTS in den Anfragen von Subressourcen zu blockieren.
• Für WebRTC-Verbindungen wurde die Unterstützung des DTLS 1.3 Protokolls (Datagram Transport Layer Security, das Äquivalent von TLS für UDP) implementiert. Die Unterstützung von DTLS 1.3 ist erforderlich, um Post-Quanten-Kryptographie-Algorithmen in WebRTC zu verwenden.
• Die Befehlszeilenoption „—load-extension“, die das Laden von Erweiterungen ermöglicht, wurde entfernt. Diese Option wurde entfernt, um das Risiko zu verringern, dass sie zum Laden bösartiger Erweiterungen missbraucht wird. Um entpackte Erweiterungen zwangsweise zu laden, wird empfohlen, die Schaltfläche „Load Unpacked“ auf der Seite zur Verwaltung von Erweiterungen (chrome://extensions/) zu verwenden, nachdem der Entwicklermodus aktiviert ist. In Chromium- und Testversionen von Chrome For Testing bleibt die Unterstützung der Option „—load-extension“ erhalten.
• Es wurde beschlossen, auf die automatische Rückschaltung auf die Verwendung des Software-Rasterisierungssystems SwiftShader, das die Vulkan-API implementiert, zu verzichten. Wenn der entsprechende GPU-basierte Backend nicht vorhanden ist, wird die Erstellung des WebGL-Kontexts nun einen Fehler zurückgeben, anstatt auf SwiftShader zu wechseln. Das Verbot der Nutzung von SwiftShader wird die Sicherheit erhöhen, da die Ausführung von durch JIT-Compiler generiertem Code im Prozess, der für die Interaktion mit der GPU verantwortlich ist, ausgeschlossen wird. Um die Nutzung von SwiftShader wieder zu ermöglichen, gibt es eine separate Befehlszeilenoption „—enable-unsafe-swiftshader“. In Chrome 137 wird für Benutzer der Plattformen Linux und macOS eine Warnung in der Web-Konsole ausgegeben, wenn SwiftShader verwendet wird, und in Chrome 138 wird die Rückschaltung auf SwiftShader deaktiviert. FürWindows-Benutzer wurde das System SwiftShader durch das in Windows integrierte Software-Rasterisierungssystem WARP (Windows Advanced Rasterization Platform) ersetzt.
• Die Einstellungen wurden um die Möglichkeit ergänzt, die Funktion „Autofill with AI“ zu aktivieren, die das Ausfüllen von Webformularen vereinfacht. Bei Aktivierung nutzt der Browser ein KI-Modell, um das Webformular zu verstehen und die Felder automatisch auszufüllen, basierend darauf, wie der Benutzer zuvor ähnliche Formulare ausgefüllt hat.
• Die API für Web-Kryptografie unterstützt nun kryptographische Algorithmen auf der Grundlage von elliptischen Kurven wie Curve25519, einschließlich des Ed25519-Signaturalgorithmus.
• Das CSS-Eigenschaft „reading-flow“ wurde implementiert, um die Reihenfolge der Verarbeitung von Elementen in Flex-, Grid- und Blockcontainern bei der Verwendung von Screenreadern und bei sequentieller Navigation zu steuern. Darüber hinaus wurde die Eigenschaft „reading-order“ hinzugefügt, die es ermöglicht, die Reihenfolge der Elemente manuell zu überschreiben.
• In CSS wurde die Funktion „if()“ eingeführt, die dazu dient, Werte basierend auf den Ergebnissen von Bedingungsausdrücken auszuwählen. Als Argument wird eine durch Semikolons getrennte Liste von Paaren „Bedingung:Wert“ übergeben. Die Funktion durchläuft diese Paare und stoppt beim ersten erfüllten Kriterium. Zum Beispiel: „background-color: if(style(—color: white): black; else: white);“.
• In der CSS-Eigenschaft offset-path wurde die Funktion shape() implementiert, um Formen über Befehle zu erstellen, die der Funktion path() entsprechen, jedoch den Standardsyntax von CSS verwenden.
• Die JSPI-API (JavaScript Promise Integration) wurde hinzugefügt, die die Integration von WebAssembly-Anwendungen mit dem JavaScript-Objekt Promise ermöglicht und es WebAssembly-Programmen erlaubt, als Promise-Generator aufzutreten und mit Promise-basierten APIs zu interagieren.
• Die APIs CanvasRenderingContext2D, OffscreenCanvasRenderingContext2D und ImageData unterstützen jetzt Pixel Formate, die Fließkommawerte zur Darstellung von Farbkomponenten verwenden.
• Im Rahmen des Origin Trials wurden experimentelle APIs namens Rewriter und Writer eingeführt, die es ermöglichen, Texte umzuschreiben (z. B. die Essenz kürzer zu fassen oder den Erzählstil zu verändern) oder Texte mithilfe großer Sprachmodelle zu generieren.
• Die Tools für Webentwickler bieten jetzt die Möglichkeit, an Arbeitsbereiche gebunden zu werden, was es ermöglicht, Änderungen in JavaScript, HTML und CSS lokal zu speichern, während mit den im Browser integrierten Tools gearbeitet wird. Die Funktionen des AI-Assistenten wurden erweitert, sodass dieser CSS ändern und die Leistung analysieren kann.

Neben den Neuerungen und Fehlerbehebungen wurden in der neuen Version 1 Schwachstelle behoben. Viele der Schwachstellen wurden durch automatisierte Tests mit Tools wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Kritische Probleme, die es ermöglichen, alle Schutzebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht festgestellt. Im Rahmen des Programms zur Vergabe von Geldprämien für die Entdeckung von Schwachstellen hat Google für das aktuelle Release 8 Prämien in Höhe von insgesamt 7500 US-Dollar vergeben (eine Prämie in Höhe von 4000 $, eine in Höhe von 2000 $, eine in Höhe von 1000 $ und eine in Höhe von 500 $). Die Höhe der vier Prämien ist noch nicht festgelegt.

Quelle: opennet.ru