Chrome-Version 107

Google hat die Veröffentlichung des Webbrowsers Chrome 107 vorgestellt. Gleichzeitig ist eine stabile Version des kostenlosen Chromium-Projekts verfügbar, das die Basis von Chrome bildet. Der Chrome-Browser unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Systems zum Senden von Benachrichtigungen im Falle eines Absturzes, Module zum Abspielen kopiergeschützter Videoinhalte (DRM), ein automatisches Update-System und die ständige Einbindung der Sandbox-Isolation , die Bereitstellung von Schlüsseln an die Google API und die Übermittlung bei der Suche nach RLZ-Parametern. Für diejenigen, die mehr Zeit für die Aktualisierung benötigen, wird der Extended Stable-Zweig separat unterstützt, gefolgt von 8 Wochen. Die nächste Veröffentlichung von Chrome 108 ist für den 29. November geplant.

Wichtige Änderungen in Chrome 107:

• Unterstützung für den ECH-Mechanismus (Encrypted Client Hello) hinzugefügt, der die Entwicklung von ESNI (Encrypted Server Name Indication) fortsetzt und zum Verschlüsseln von Informationen über TLS-Sitzungsparameter, wie z. B. den angeforderten Domänennamen, verwendet wird. Der Hauptunterschied zwischen ECH und ESNI besteht darin, dass bei ECH anstelle der Verschlüsselung auf der Ebene einzelner Felder die gesamte TLS-ClientHello-Nachricht verschlüsselt wird, wodurch Sie Lecks durch Felder blockieren können, die nicht von ESNI abgedeckt werden, beispielsweise dem PSK Feld (Pre-Shared Key). ECH verwendet außerdem einen HTTPSSVC-DNS-Eintrag anstelle eines TXT-Eintrags, um Informationen zum öffentlichen Schlüssel zu übermitteln, und verwendet eine authentifizierte Ende-zu-Ende-Verschlüsselung basierend auf dem Hybrid Public Key Encryption (HPKE)-Mechanismus, um den Schlüssel zu erhalten und zu verschlüsseln. Um zu steuern, ob ECH aktiviert ist, wird die Einstellung „chrome://flags#encrypted-client-hello“ empfohlen.
• Unterstützung für hardwarebeschleunigte Videodekodierung im H.265-Format (HEVC) aktiviert.
• Die fünfte Stufe der Kürzung der Informationen im User-Agent-HTTP-Header und in den JavaScript-Parametern navigator.userAgent, navigator.appVersion und navigator.platform wurde aktiviert, um Informationen zu reduzieren, die zur passiven Identifizierung eines Benutzers verwendet werden können. In Chrome 107 wurden die Plattform- und Prozessorinformationen der User-Agent-Zeichenfolge für Desktop-Benutzer reduziert und der Inhalt des JavaScript-Parameters navigator.platform wurde eingefroren. Die Änderung macht sich nur bei Versionen für die Windows-Plattform bemerkbar, bei denen die spezifische Plattformversion auf „Windows NT 10.0“ geändert wird. Unter Linux hat sich der Plattforminhalt im User-Agent nicht geändert.

  Zuvor wurden die MINOR.BUILD.PATCH-Nummern, aus denen die Browserversion bestand, durch 0.0.0 ersetzt. Zukünftig enthält der Header nur noch Informationen über den Browsernamen, die Hauptbrowserversion, die Plattform und den Gerätetyp (Mobiltelefon, PC, Tablet). Für zusätzliche Daten, wie etwa die genaue Version und erweiterte Plattformdaten, müssen Sie die User Agent Client Hints API verwenden. Für Websites, die nicht über genügend neue Informationen verfügen und noch nicht bereit sind, auf User Agent Client Hints umzusteigen, besteht bis Mai 2023 die Möglichkeit, den vollständigen User-Agent zurückzugeben.

• Die Android-Version unterstützt die Android 6.0-Plattform nicht mehr, der Browser erfordert nun mindestens Android 7.0.
• Das Design der Benutzeroberfläche zur Verfolgung des Download-Status wurde geändert. Anstelle der unteren Zeile mit Daten zum Download-Fortschritt wurde dem Panel mit der Adressleiste ein neuer Indikator hinzugefügt, bei dem beim Klicken der Fortschritt des Herunterladens von Dateien und ein Verlauf mit einer Liste bereits heruntergeladener Dateien angezeigt werden. Im Gegensatz zur unteren Leiste wird die Schaltfläche dauerhaft in der Leiste angezeigt und ermöglicht Ihnen einen schnellen Zugriff auf Ihren Download-Verlauf. Die neue Oberfläche wird bisher nur einigen Nutzern standardmäßig angeboten und wird bei störungsfreien Problemen auf alle ausgeweitet.
• Für Desktop-Benutzer besteht die Möglichkeit, in einer Datei im CSV-Format gespeicherte Passwörter zu importieren. Bisher konnten Passwörter aus einer Datei nur über den Dienst „passwords.google.com“ an den Browser übertragen werden. Jetzt ist dies über den im Browser integrierten Passwort-Manager (Google Password Manager) möglich.
• Nachdem der Benutzer ein neues Profil erstellt hat, werden Sie aufgefordert, die Synchronisierung zu aktivieren und zu den Einstellungen zu wechseln, in denen Sie den Profilnamen ändern und ein Farbthema auswählen können.
• Die Version für die Android-Plattform bietet eine neue Schnittstelle zur Auswahl von Mediendateien zum Hochladen von Fotos und Videos (anstelle einer eigenen Implementierung wird die standardmäßige Android Media Picker-Schnittstelle verwendet).
• Automatischer Widerruf der Berechtigung zum Anzeigen von Benachrichtigungen für Websites aktiviert, die beim Senden von Benachrichtigungen und Nachrichten erwischt wurden, die den Benutzer stören. Darüber hinaus werden für solche Websites Anträge auf Erlaubnis zum Versenden von Benachrichtigungen ausgesetzt.
• Der Screen Capture-API im Zusammenhang mit der Bildschirmfreigabe wurden neue Eigenschaften hinzugefügt: selfBrowserSurface (ermöglicht das Ausschließen der aktuellen Registerkarte beim Aufruf von getDisplayMedia()), surfaceSwitching (ermöglicht das Ausblenden der Schaltfläche zum Wechseln der Registerkarten) und displaySurface (ermöglicht das Ausblenden der Schaltfläche zum Wechseln der Registerkarten). die Freigabe auf eine Registerkarte, ein Fenster oder einen Bildschirm beschränken).
• Die renderBlockingStatus-Eigenschaft wurde zur Performance-API hinzugefügt, um Ressourcen zu identifizieren, die dazu führen, dass das Seitenrendering angehalten wird, bis der Ladevorgang abgeschlossen ist.
• Dem Origin-Testmodus (experimentelle Funktionen, die eine separate Aktivierung erfordern) wurden mehrere neue APIs hinzugefügt. Die Origin-Testversion impliziert die Möglichkeit, mit der angegebenen API aus Anwendungen zu arbeiten, die von localhost oder 127.0.0.1 heruntergeladen wurden, oder nach der Registrierung und dem Erhalt eines speziellen Tokens, das für eine begrenzte Zeit für eine bestimmte Site gültig ist.
  • Eine deklarative PendingBeacon-API, mit der Sie das Senden von Daten steuern können, die keine Antwort (Beacon) an den Server erfordern. Mit der neuen API können Sie das Senden solcher Daten an den Browser delegieren, ohne dass Sendevorgänge zu einem bestimmten Zeitpunkt aufgerufen werden müssen, um beispielsweise die Übertragung von Telemetriedaten zu organisieren, nachdem der Benutzer die Seite geschlossen hat.
  • Der Permissions-Policy (Feature Policy) HTTP-Header, der zum Delegieren von Berechtigungen und zum Aktivieren erweiterter Funktionen verwendet wird, unterstützt jetzt den Wert „unload“, der zum Deaktivieren von „unload“-Ereignishandlern auf der Seite verwendet werden kann.
• Zu markieren Unterstützung für das „rel“-Attribut hinzugefügt, das es Ihnen ermöglicht, den Parameter „rel=noreferrer“ auf die Navigation durch Webformulare anzuwenden, um die Übertragung des Referer-Headers zu deaktivieren, oder „rel=noopener“, um das Setzen der Window.opener-Eigenschaft zu deaktivieren und zu verweigern Zugriff auf den Kontext, aus dem der Übergang erfolgte.
• CSS Grid bietet Unterstützung für die Interpolation der Eigenschaften „grid-template-columns“ und „grid-template-rows“, um einen reibungslosen Übergang zwischen verschiedenen Rasterzuständen zu ermöglichen.
• Es wurden Verbesserungen an den Tools für Webentwickler vorgenommen. Es wurde die Möglichkeit hinzugefügt, Hotkeys anzupassen. Verbesserte Speicherüberprüfung von C/C++-Anwendungsobjekten, die in das WebAssembly-Format konvertiert wurden.

Neben Neuerungen und Fehlerbehebungen wurden in der neuen Version 14 Schwachstellen behoben. Viele der Schwachstellen wurden durch automatisierte Testtools wie AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL identifiziert. Es wurden keine kritischen Probleme identifiziert, die das Umgehen aller Browser-Schutzstufen und die Ausführung von Code im System außerhalb der Sandbox-Umgebung ermöglichen. Im Rahmen des Schwachstellen-Bounty-Programms für die aktuelle Version hat Google zehn Auszeichnungen im Wert von 10 US-Dollar ausgezahlt (je eine im Wert von 57 US-Dollar, 20000 US-Dollar und 17000 US-Dollar, zwei Auszeichnungen im Wert von 7000 US-Dollar, drei Auszeichnungen im Wert von 3000 US-Dollar und eine Auszeichnung im Wert von 2000 US-Dollar). Die Höhe einer Belohnung steht noch nicht fest.

Source: opennet.ru