Veröffentlichung des Web Browsers Chrome 140 mit Unterstützung für IP-Verborgenheit und Skriptblockierung

Das Unternehmen Google hat die Version 140 des Web-Browsers Chrome veröffentlicht. Gleichzeitig ist die stabile Version des freien Projekts Chromium verfügbar, das die Grundlage für Chrome bildet. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zur Benachrichtigung im Falle eines Absturzes, Module zur Wiedergabe von kopiergeschütztem Videoinhalt (DRM), ein automatisches Update-System, die dauerhafte Aktivierung von Sandbox-Isolierung, die Bereitstellung von Schlüsseln für Google API und die Übertragung von RLZ-Parametern bei Suchanfragen. Für diejenigen, die mehr Zeit für das Update benötigen, wird zusätzlich der Extended Stable-Zweig unterstützt, der für 8 Wochen begleitet wird. Das nächste Chrome-Release 141 ist für den 30. September geplant.

Wesentliche Änderungen in Chrome 140:

• Um den Schutz vor Nachverfolgung beim Wechsel zwischen Websites im Inkognito-Modus zu verstärken, wurde die Möglichkeit implementiert, Informationen zur IP-Adresse des Benutzers in externen Kontexten zu verbergen (z. B. bei Seiten, die über ein iframe geladen werden). Die Verbergung erfolgt nur für Domains, die in der MDL (Masked Domain List) aufgeführt sind, und wird durch einen Proxy-Server von Google realisiert, sodass die Website die eingehende IP-Adressen Adresse des Proxys und nicht die des Benutzers sieht.
• Um selektive Informationen zu den IP-Adressen der Benutzer zu erhalten, wenn im Browser der IP-Schutzmodus aktiviert ist, der Anfragen über einen Transitproxy sendet, wurde der Mechanismus PRT (Probabilistic Reveal Token) implementiert. PRT sieht vor, dass ein Header mit einem verschlüsselten Token gesendet wird, der eine zufällige, gekürzte Stichprobe echter IP-Adressen von Clients ermöglicht, die auf ein bestimmtes Domainzugegriffen haben, jedoch nicht an spezifische Anfragen gebunden sind. Ein Teil der PRT-Token enthält Informationen zur echten IP, während ein anderer Teil dies nicht tut; der Inhalt des Tokens kann erst nach Ablauf einer bestimmten Zeit entschlüsselt werden, wobei ein von Google nach einer separaten Anfrage ausgegebener Schlüssel verwendet wird. Solche Informationen über IP-Adressen können in Systems zur Betrugsbekämpfung und zur Analyse der Qualität des Webverkehrs eingesetzt werden.
• Im Inkognito-Modus wurde ein Mechanismus für die "Script Blocking"-Funktion implementiert, der selektiv den Zugang zu bestimmten JavaScript-APIs blockiert, die für die heimliche Identifizierung von Nutzern verwendet werden können. Beispielsweise können Unterschiede in der Darstellung von Bildern in verschiedenen Browsern über die Canvas-API als zusätzliches Merkmal zur Identifizierung herangezogen werden. Die Blockierung erfolgt nur für Inhalte von Drittanbietern (wie beispielsweise über iframe oder script-Tags in die Seite eingebettete Inhalte), sofern spezifische Aktivitäten zur heimlichen Identifizierung festgestellt werden, sowie für Domains aus der Blacklist MDL (Masked Domain List), die in der heimlichen Identifizierung identifiziert wurden.
• Der Modus OverrideDefaultOzonePlatformHintToAuto für die automatische Auswahl des Backends in der Ozone-Schicht, die die Interaktion mit dem Grafiksystem abstrahiert, ist aktiviert. Diese Änderung ermöglicht die adaptive Aktivierung des Wayland-Backends auf Systemen mit Wayland-Unterstützung, ohne standardmäßig an das X11-Backend gebunden zu sein.
• Die Funktion zur automatischen Passwortänderung, die auf der Verwendung von KI basiert, ist aktiviert. Wenn ein Passwort in bekannten Datenbanken kompromittierter Konten enthalten ist, zeigt Chrome bei der Anmeldung mit diesem Passwort eine Warnung an und schlägt vor, das Passwort zu ändern. Bei Zustimmung generiert der Browser ein sicheres Passwort, ändert das Passwort auf der Website (füllt die erforderlichen Webformulare automatisch aus und sendet sie) und speichert das neue Passwort im Passwort-Manager.
• DSE Prewarming (Default Search Engine Prewarming) wurde hinzugefügt, um das Öffnen von Seiten mit Suchergebnissen nach einer Anfrage über die Adresszeile zu beschleunigen. Bei Aktivierung von DSE Prewarming wird direkt nach dem Fokussieren des Eingabefelds auf die Adresszeile eine Vorab-Wiedergabe des Layouts der Seite mit Suchergebnissen und das Laden der dafür erforderlichen Ressourcen durchgeführt. Geladene Ressourcen werden auch verwendet, um nachfolgende Anfragen zu beschleunigen. Diese Möglichkeit ist derzeit standardmäßig nur für einen Teil der Nutzer aktiviert.
• Die Funktionen zur automatischen Formularausfüllung wurden erweitert, die ein KI-Modell verwenden, um das Webformular zu verstehen und die Felder basierend darauf automatisch auszufüllen, wie der Benutzer zuvor ähnliche Formulare ausgefüllt hat. Die Einstellung "Autofill with AI" wurde in "Enhanced autofill" umbenannt. In der neuen Version wurde die Anzahl der Länder und Sprachen, für die die Funktion verfügbar ist, erweitert, sowie die Unterstützung für zusätzliche Informationen hinzugefügt.
• Für Benutzer aus den USA wurde der in den Browser integrierte Chatbot Gemini aktiviert, der den Inhalt der angesehenen Seite erläutern und auf damit verbundene Fragen antworten kann, ohne die aktuelle Registerkarte zu wechseln. Text- und Sprachinteraktionen mit Gemini werden unterstützt. In Zukunft ist geplant, den Chatbot auch für Benutzer aus anderen Ländern einzuführen.
• Für alle Benutzer wurde die Möglichkeit aktiviert, bestehenden Gruppen von gemeinsamen Registerkarten beizutreten, an denen mehrere Benutzer gleichzeitig arbeiten können. Die Unterstützung für die Erstellung von Gruppen ist derzeit nur für Benutzer von Testversionen (Beta/Dev/Canary) verfügbar; es wird angenommen, dass sie ein Set von Registerkarten erstellen und mit anderen Benutzern teilen können, die dieselben Registerkarten auf ihren Geräten sehen. Wenn einer der Teilnehmer die Registerkarte in der Gruppe wechselt, wird die Änderung sofort auf den Geräten der anderen Benutzer angezeigt.
• Die Gestaltung der Warnmeldungen wurde geändert, die beim Versuch angezeigt werden, eine Website ohne HTTPS zu öffnen, falls in den Einstellungen (chrome://settings/security) der Modus für die Installation nur von sicheren Verbindungen festgelegt wurde. Anstelle einer Warnseite wurde ein Dialog implementiert, der unter der Adresszeile erscheint und den Ladevorgang unverschlüsselter Daten blockiert, bis der Benutzer eine Aktion auswählt.
• Bei Anfragen zur proaktiven Ressourcenvorladung oder -darstellung ( oder ) wird nun der HTTP-Header „Sec-Purpose“ gesendet. Der zuvor dafür verwendete HTTP-Header „Purpose: prefetch“ wurde als veraltet erklärt, ist jedoch vorerst nicht standardmäßig deaktiviert, um die Kompatibilität zu wahren.
• Im API ToggleEvent wurde die Eigenschaft source hinzugefügt, die ein Element-Objekt enthält, das das Steuerelement darstellt, das die Zustandsänderung initiiert hat, auf die das Toggle-Ereignis generiert wurde. Beispielsweise wird ein ToggleEvent generiert, wenn der Benutzer auf das Element „“ mit dem Attribut „popovertarget“ klickt, wobei die Eigenschaft „source“ es ermöglicht zu verstehen, welches „“ gedrückt wurde.
• Die Möglichkeit zur Verwendung der Funktionen counter() und counters() innerhalb des alternativen Textes in der Eigenschaft „content“ wurde hinzugefügt (z. B. ‘content: „Kapitel“ counter(chapter);’).
• Das CSS-Attribut „caret-animation“ wurde hinzugefügt, das die Steuerung der Animation des Cursors in Eingabefeldern ermöglicht (zum Beispiel kann das Blinken des Cursors durch eine benutzerdefinierte Animation ersetzt werden). Außerdem wurden die Eigenschaften animation-timing-function, animation-iteration-count, animation-direction und animation-play-state hinzugefügt, um Übergangsanimationseffekte zu steuern.
• Die CSS-Regel „@font-face“ unterstützt jetzt die Eigenschaft font-variation-settings zur Anpassung der Glyphen in variablen Schriftarten (Strichstärke, Breite der Zeichen, Neigung der Zeichen usw.).
• CSS unterstützt typisierte Arithmetik, die Ausdrucksformen wie „calc(10em / 1px)“ und „calc(20% / 0.5em * 1px)“ ermöglicht.
• Es wurden die Methoden Uint8Array.prototype.toBase64, Uint8Array.prototype.toHex, Uint8Array.fromBase64 und Uint8Array.fromHex hinzugefügt, um zwischen Uint8Array und Daten im Base64- oder hexadezimalen Format zu konvertieren.
• Die Entwicklerwerkzeuge haben erweiterte Funktionen zur Anwendung von KI zur Fehlersuche bei Leistungsproblemen erhalten. Die Unterstützung für die Emulation des Verhaltens bei Verwendung des HTTP-Headers „Save-Data“ wurde hinzugefügt.

Neben neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 6 Sicherheitsanfälligkeiten beseitigt. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Es wurden keine kritischen Probleme festgestellt, die es ermöglichen, alle Sicherheitsebenen des Browsers zu umgehen und Code außerhalb einer Sandbox-Umgebung auszuführen. Im Rahmen des Programms zur Vergütung für das Auffinden von Sicherheitsanfälligkeiten hat Google für die aktuelle Version 4 Prämien in Höhe von insgesamt 10.000 US-Dollar (je eine Prämie von 5.000 $, 4.000 $ und 1.000 $) ausgezahlt. Die Höhe einer einzelnen Prämie ist noch nicht festgelegt.

Quelle: opennet.ru