Veröffentlichung von Chrome 119

Das Unternehmen Google hat die Veröffentlichung des Web-Browsers Chrome 119 angekündigt. Gleichzeitig steht die stabile Version des freien Projekts Chromium zur Verfügung, das die Grundlage für Chrome bildet. Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, das Vorhandensein eines Benachrichtigungssystems bei Abstürzen, Modulen zum Abspielen von kopiergeschütztem Videoinhalt (DRM), einem automatischen Update-Installationssystem, ständiger Sandbox-Isolierung, der Bereitstellung von Schlüsseln für die Google API und der Übertragung von RLZ-Parametern bei der Suche. Für diejenigen, die mehr Zeit für das Update benötigen, wird ein separater Extended Stable-Zweig unterstützt, der 8 Wochen lang begleitet wird. Die nächste Veröffentlichung von Chrome 120 ist für den 5. Dezember geplant.

Die wichtigsten Änderungen in Chrome 119:

• Der Veröffentlichungszyklus wurde verkürzt, indem die Zeit zwischen der Erstellung eines neuen Zweigs und dem Beginn des Beta-Tests reduziert wurde – die Beta-Version wird nun zwei Tage nach der Erstellung des Zweigs erstellt, anstatt nach 8 Tagen. Die Stabilisierung der Beta-Version erfolgt wie gewohnt über 4 Wochen. Somit hat sich der Vorbereitungszyklus für neue Veröffentlichungen um eine Woche verkürzt.
• Die Möglichkeit, Tabgruppen zu speichern, wurde eingeführt. Benutzer können jetzt eine Gruppe speichern und die darin enthaltenen Registerkarten schließen, damit sie keine Ressourcen beanspruchen. Später, wenn der Bedarf besteht, können die Registerkarten aus der gespeicherten Gruppe wiederhergestellt und auch auf anderen Geräten geöffnet werden, die an der Synchronisierung der Registerkarten teilnehmen. Die Funktion ist für einen Teil der Benutzer aktiviert; für die zwingende Aktivierung gibt es die Einstellung „chrome://flags/#tab-groups-save“.
• Im Interface wurden die Formulierungen der Operationen und Einstellungen, die mit dem Löschen und Verlust von Daten zu tun haben, geändert. Anstelle des Begriffs „Clear“ wird jetzt das Wort „Delete“ verwendet, da „Clear“ von einigen Benutzern nicht als Zeichen für einen irreversiblen Datenverlust wahrgenommen wurde.
• Beim automatischen Vervollständigen von URLs wird jetzt jedes frühere Suchschlüsselwort berücksichtigt, das zur Suche nach einer Website verwendet wurde, und nicht nur Wörter, die mit dem Beginn der Adresse übereinstimmen. Zum Beispiel wird die automatische Vervollständigung der Adresse „https://www.google.com/travel/flights“ nicht nur beim Eingeben des Wortes „google“, sondern auch beim Eingeben von „flights“ ausgeführt.
• Eine automatische Korrektur von Tippfehlern bei der Eingabe der Website-Adresse wurde implementiert, und es werden relevante Vorschläge angezeigt, die zuvor von dem aktuellen Benutzer besuchte Websites berücksichtigen. Wenn Sie zum Beispiel "youutube" eingeben, wird vorgeschlagen, YouTube.com zu öffnen.
• Es wurde die Möglichkeit geschaffen, in den Lesezeichenseiten über die Adressleiste zu suchen. Beispielsweise kann beim Eingeben des Namens einer Lesezeichenseite Chrome Links aus diesem Abschnitt vorschlagen, die dem eingegebenen Schlüsselwort entsprechen. Bei der Eingabe von "reisen 2023 New" werden Links aus dem Lesezeichenordner "reisen 2023" angeboten, die mit New York verbunden sind.
• Es werden Empfehlungen für beliebte Websites angezeigt, selbst wenn der Benutzer diese zuvor nicht besucht hat oder einen Fehler bei der Eingabe der URL gemacht hat. Wenn ein Benutzer beispielsweise auf Empfehlung jemandes Google Earth öffnen möchte und "googleear" eingibt, ohne die genaue Adresse zu kennen, wird der Browser anbieten, zu earth.google.com zu wechseln.
• In Chrome für Desktop-Systeme wurde die Lesbarkeit der Informationen in der Adressleiste verbessert und die Benutzeroberfläche reaktionsschneller gemacht – die Ergebnisse werden jetzt sofort nach Beginn der Eingabe in die Adressleiste angezeigt.
• Gemäß der Änderung der API Fetch-Spezifikation wurde der HTTP-Header Authorization beim Weiterleiten auf eine andere Domain (Cross-Origin) entfernt.
• In den Benachrichtigungseinstellungen und der Standortbestimmung wurde eine Option zur Aktivierung des Dienstes für die automatische Unterdrückung von Berechtigungsanfragen (Permission Suggestions Service) hinzugefügt. Folgende Modi stehen zur Auswahl:
  • Immer Berechtigungsanfragen für Benachrichtigungen und Standortzugriff anzeigen;
  • Spam-Berechtigungsanfragen automatisch ignorieren, indem der Permission Suggestions Service verwendet wird;
  • Alle Anfragen zur Anzeige von Benachrichtigungen immer ignorieren;
  • Alle Anfragen zur Erlangung von Berechtigungen für Benachrichtigungen und Standortzugriff immer blockieren.
• In den Builds für die Android-Plattform wird bei Aktivierung des Standard-Browserschutzes (Safe Browsing > Standard protection) in Echtzeit eine Sicherheitsprüfung der geöffneten URLs durchgeführt, die auf der Übertragung von Server teilweisen Hashes der vom Nutzer geöffneten URLs an Google basiert. Um eine Zuordnung zu vermeiden IP-Adressen Benutzerdaten und Hashwerte werden über einen Zwischenproxy übertragen. Zuvor erfolgte die Prüfung durch das Hochladen einer lokalen Kopie der Liste unsicherer URLs auf das Benutzer-System. Das neue Schema ermöglicht eine schnellere Blockierung von bösartigen URLs. Für Desktop-Systeme wurde ein ähnlicher Modus bereits in der letzten Version implementiert.
• Die Maskierung nicht-alphanumerischer Zeichen im Hostnamen bei der URL-Funktion entspricht der aktualisierten Spezifikation. Beispielsweise gab der Aufruf der Funktion ‘URL(«http://exa(mple.com;»)’ zuvor ‘http://example.com/’ zurück, und jetzt wird ein Fehler » Ungültige URL« ausgegeben.
• Alle zuvor gespeicherten Cookies unterliegen einer Lebenszeiteinschränkung, die der ab Chrome 104 für neue und aktualisierte Cookies verwendeten ähnelt. Für bestehende Cookies wird die Lebensdauer auf 400 Tage ab der Veröffentlichung von Chrome 119 verkürzt.
• In CSS wurden neue Pseudo-Klassen ‘:user-valid’ und ‘:user-invalid’ eingeführt, die Formularelemente darstellen, deren Werte die Validierung bestanden oder nicht bestanden haben. Im Gegensatz zu ‘:valid’ und ‘:invalid’ aktivieren sich die neuen Pseudoklassen erst nach der Interaktion des Benutzers mit dem Formularelement.
• Bei der Farbdarstellung in CSS ist es erlaubt, Werte anzugeben, die relativ zu anderen Farbparametern berechnet werden. Zum Beispiel ergibt die Angabe „oklab(from magenta calc(l * 0.8) a b)“ eine um 80 % hellere Farbe als Purpur.
• Im CSS-Eigenschaft clip-path, die es ermöglicht, die Sichtbarkeit eines Elements auf einen bestimmten Bereich zu beschränken, wurde die Unterstützung für den Wert hinzugefügt, um beliebige Zuschnitte zu definieren. Zudem wurde die Nutzung der Funktionen xywh() und rect() zur Vereinfachung von rechteckigen oder abgerundeten Bereichen ermöglicht.
• Die Unterstützung für die WebSQL-API wurde eingestellt, stattdessen wird empfohlen, die Web Storage-API und die Indexed Database zu verwenden. Der WebSQL-Handler basierte auf dem Code der SQLite-Bibliothek. Die WebSQL-API wurde in anderen Browsern nicht unterstützt, war an die API einer externen Bibliothek gebunden und erhöhte die Sicherheitsrisiken (WebSQL konnte von Angreifern zur Ausnutzung von Schwachstellen in SQLite verwendet werden). Um die Unterstützung von WebSQL für Unternehmenskunden wiederherzustellen, wurde die Richtlinie WebSQLAccess beibehalten, die in Chrome 123 entfernt wird.
• Das API HTML Sanitizer wurde vorübergehend entfernt, da es Elemente aus dem Inhalt ausschneidet, die die Darstellung und Ausführung durch die Methode setHTML() beeinflussen. Das API wurde entwickelt, um HTML-Tags zu entfernen, die für XSS-Angriffe verwendet werden können. Als Grund für die Entfernung wird die Unvollständigkeit der Spezifikation genannt, die sich seit der Einführung des Sanitizers in Chrome erheblich verändert hat. Sobald die Spezifikation fertiggestellt ist, wird das API zurückgebracht.
• Das nicht standardisierte Attribut shadowRoot wurde entfernt, das es eigenen Elementen ermöglicht habe, auf ihre separate Wurzel im Shadow DOM zuzugreifen, unabhängig vom Zustand. Statt shadowRoot wurde in Chrome 111 das Attribut shadowRootMode vorgeschlagen, das Teil des Web-Standards wurde.
• Die Implementierung des HTML-Elements «» wurde verbessert, welches dem «iframe» ähnelt und ebenfalls das Einbetten von Inhalten von Drittanbietern auf der Seite ermöglicht. Der Unterschied besteht darin, dass die Interaktion des eingebetteten Inhalts mit dem Inhalt der Seite auf DOM- und Attributsebene eingeschränkt ist. Beispielsweise kann die Seite news.example, in die über fencedframe ein Werbeblock von shoes.example eingebettet wird, keine Daten von shoes.example abrufen, während umgekehrt der Code von shoes.example keine Daten von news.example abrufen kann. In der neuen Version wurde die Unterstützung für die in der API Protected Audience eingeführten Platzhalter für die Größe des Werbeblocks hinzugefügt, z.B. «https://ad.com?width={/_WIDTH%}&height={/_HEIGHT%}».
• Die Methode getDisplayMedia() hat den Parameter monitorTypeSurfaces erhalten, der verwendet werden kann, um den Zugriff auf den gesamten Bildschirm zu verbieten.
• Der Methode window.open() wurde ein experimenteller Parameter fullscreen hinzugefügt, der es ermöglicht, ein Fenster direkt im Vollbildmodus zu öffnen.
• Im API AudioEncoderConfig wurde das Flag „bitrateMode“ hinzugefügt, um zwischen konstantem (constant) und variablem (variable) Bitrate zu wählen.
• In TLS ist eine Implementierung des Key Encapsulation Mechanism (KEM) aktiviert, die den hybriden Algorithmus X25519Kyber768 verwendet, der quantensicher ist. Für die Erstellung von Sitzungs-schlüsseln, die zur Verschlüsselung von Daten innerhalb von TLS-Verbindungen verwendet werden, kann nun eine Kombination aus dem auf elliptischen Kurven basierenden X25519-Schlüssel-austauschmechanismus, der bereits in TLS verwendet wird, und dem Algorithmus Kyber-768, der Methoden der Gitter-Kryptographie nutzt, zum Einsatz kommen. Die Lösungszeiten sind auf klassischen und Quantencomputern vergleichbar.
• Die Unterstützung für die WasmGC-Erweiterung ist standardmäßig aktiviert. Diese erleichtert das Portieren von Programmen in WebAssembly, die in Programmiersprachen mit Garbage Collector (wie Kotlin, PHP, Java usw.) geschrieben sind. WasmGC fügt neue Typen für Strukturen und Arrays hinzu, die eine nichtlineare Speicherzuweisung ermöglichen.
• Verbesserungen der Tools für Webentwickler wurden implementiert. Die Möglichkeit zur Bearbeitung von CSS-Regeln "@property" wurde hinzugefügt, und es werden Warnungen ausgegeben, wenn diese nicht korrekt definiert sind. Die Liste der emulierten Geräte wurde aktualisiert (z. B. wurden iPhone 14 und Pixel 7 hinzugefügt). In der Web-Konsole wurde die Autovervollständigung für private Felder implementiert. Außerdem wird die Formatierung von JSON-Daten innerhalb von -Tags gewährleistet.

Neben den neuen Funktionen und Fehlerbehebungen wurden in der neuen Version 15 Sicherheitsanfälligkeiten behoben. Viele dieser Sicherheitsanfälligkeiten wurden durch automatisierte Tests mit den Tools AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die sämtliche Schutzmaßnahmen des Browsers umgehen und Code außerhalb der sandbox-Umgebung ausführen könnten, wurden nicht festgestellt. Im Rahmen des Bug-Bounty-Programms hat Google für diese Veröffentlichung 13 Prämien in Höhe von insgesamt 40.500 US-Dollar ausgezahlt (einmalige Prämien von 16.000, 11.000, 2.000 und 500 US-Dollar, sowie drei Prämien von 3.000 und zwei Prämien von 1.000 US-Dollar). Die Höhe von 4 Prämien wurde noch nicht festgelegt.

Quelle: opennet.ru