Veröffentlichung von Chrome 120

Google hat die Version 120 seines Webbrowsers Chrome veröffentlicht. Gleichzeitig steht die stabile Ausgabe des freien Projekts Chromium zur Verfügung, welches die Basis für Chrome bildet. Der Browser Chrome unterscheidet sich von Chromium durch die Verwendung von Google-Logos, ein System zur Benachrichtigung bei Abstürzen, Modulen zur Wiedergabe von kopiergeschütztem Videoinhalten (DRM), eine automatische Update-Installation, permanente Sandbox-Isolation, die Bereitstellung von Schlüsseln für die Google API und die Übertragung von RLZ-Parametern bei der Suche. Für Nutzer, die mehr Zeit für ein Update benötigen, wird die Extended Stable-Version mit einer unterstützenden Dauer von 8 Wochen bereitgestellt. Die nächste Version Chrome 121 ist für den 23. Januar geplant.

Die wichtigsten Änderungen in Chrome 120:

• Ein Experiment zur Deaktivierung der Unterstützung von Drittanbieter-Cookies hat begonnen, die bei Zugriffen auf andere Websites gesetzt werden. Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden. Diese Cookies dienen dazu, die Bewegungen der Nutzer zwischen Websites in Werbenetzwerken, sozialen Medien und Web-Analyse-Systemen zu verfolgen. Ab Januar 2024 werden Drittanbieter-Cookies für 1 % der Nutzer im Browser deaktiviert. Diese Änderungen sind Teil der Privacy Sandbox-Initiative, die darauf abzielt, einen Kompromiss zwischen dem Bedürfnis der Nutzer nach Privatsphäre und dem Wunsch von Werbenetzwerken und Websites zu finden, die Vorlieben ihrer Besucher zu verfolgen.

  Anstelle von Tracking-Cookies wird empfohlen, die folgenden APIs zu verwenden:

  • FedCM (Federated Credential Management), ermöglicht die Erstellung kombinierter Identitätsdienste, die Datenschutz gewährleisten und ohne Drittanbieter-Cookies funktionieren.
  • Private State Tokens, ermöglichen die Unterscheidung zwischen verschiedenen Nutzern ohne die Verwendung von Cross-Site-Identifiers und die Übertragung von Benutzerauthentifizierungsdaten über verschiedene Kontexte hinweg.
  • Topics (Kritik) ermöglicht es, die Interessen Kategorien der Benutzer zu bestimmen, die verwendet werden können, um Gruppen von Benutzern mit ähnlichen Interessen zu identifizieren, ohne einzelne Benutzer durch Tracker-Cookies zu identifizieren. Die Interessen werden anhand der Aktivitäten des Benutzers im Browser berechnet und auf dem Gerät des Benutzers gespeichert. Durch die API Topics kann das Werbenetzwerk allgemeine Informationen über spezifische Interessen erhalten, ohne Zugang zu Informationen über die konkrete Aktivität des Benutzers zu haben.
  • Protected Audience, eine Lösung für Retargeting-Aufgaben und zur Bewertung des eigenen Publikums (Arbeit mit Benutzern, die die Website bereits besucht haben).
  • Attribution Reporting ermöglicht es, solche Leistungsmerkmale der Werbung zu bewerten, wie Klicks und Konversionen (Käufe auf der Website nach einem Klick).
  • Storage Access API kann verwendet werden, um den Benutzer um Erlaubnis zu bitten, auf den Cookie-Speicher zuzugreifen, wenn Drittanbieter-Cookies standardmäßig blockiert sind.
• Gemäß den Anforderungen des im Europäische Union verabschiedeten Gesetzes DMA (Digital Markets Act) wird einigen Nutzern ein Dialog zur Auswahl der Standardsuchmaschine angezeigt, dessen Optionen den Einstellungen in chrome://settings/search entsprechen. In Chrome 120 wird der Dialog 1 % der Nutzer angezeigt, während bis zur Veröffentlichung von Chrome 122 die Anzeige auf 100 % ausgeweitet werden soll.
• Der Prozess zur Einstellung der Unterstützung des Video-Codecs Theora hat begonnen. In der Anfangsphase wird Theora für 1 % der Nutzer deaktiviert, aber bis zum 16. Januar soll es für alle Nutzer abgeschaltet werden. Während der Übergangsphase kann der Codec über die Einstellung „chrome://flags/#theora-video-codec“ wieder aktiviert werden. Als Grund für die Einstellung der Unterstützung von Theora werden Bedenken angegeben, dass in der Implementierung von Theora, die eine komplexe Logik zum Parsen von Binärdaten und Dekodieren von Streams beinhaltet, Schwachstellen vorhanden sein könnten, die ähnlichen kritischen Problemen mit dem VP8-Encoder ähneln.
• Das Design des Chrome Web Store-Katalogs wurde überarbeitet, um die Suche und Verwaltung von Erweiterungen zu erleichtern. Neue Kategorien für Erweiterungen wurden hinzugefügt, darunter eine Kategorie für maschinelles Lernen sowie ein Bereich „Redaktionsauswahl“. Im Menü » ⋮ « wurde die Möglichkeit hinzugefügt, zum vorherigen Design zurückzukehren.
• Die Funktionalität der Benutzeroberfläche „Sicherheitsprüfung“ wurde erweitert, um eine Zusammenfassung möglicher Sicherheitsprobleme anzuzeigen, wie z.B. die Verwendung kompromittierter Passwörter, den Status der Überprüfung auf schädliche Websites (Safe Browsing), das Vorhandensein nicht installierter Updates und die Erkennung schädlicher Erweiterungen. In der neuen Version wird ein proaktiver Modus angeboten, der regelmäßig sicherheitsrelevante Prüfungen des Browsers durchführt und den Benutzer im Falle von Problemen informiert. In die Einstellungen wurden Optionen zur Verwaltung der Aktionen im proaktiven Modus aufgenommen.
• Es wurde eine adaptive Symbolleiste implementiert, die sich je nach Fenstergröße ändert.
• Im Passwortmanager ist es erlaubt, einzelnen Passwörtern für Mitglieder der Google Family Group, die über das Google-Konto eingerichtet wurde, gemeinsamen Zugriff zu gewähren. Gleichzeitig kann nur auf ein Passwort zugegriffen werden; das gemeinsam genutzte Passwort kann danach nicht mehr vom Absender aktualisiert oder zurückgezogen werden.
• Die Interaktion mit Druckern wurde in einen separaten Service-Prozess verlagert, wodurch die Stabilität des Browsers verbessert und die Reaktionsfähigkeit der Druckvorschau-Oberfläche optimiert wurde.
• In TLS wurde die Implementierung eines Schlüsselinkapselungsmechanismus (KEM, Key Encapsulation Mechanism) eingeführt, der den hybriden Algorithmus X25519Kyber768 verwendet und gegen Angriffe mit Quantencomputern resistent ist. Für die Erstellung von Sitzungsschlüsseln, die zur Datenverschlüsselung innerhalb von TLS-Verbindungen verwendet werden, kann nun eine Kombination aus dem elliptischen Kurven-basierten Schlüsselaustauschmechanismus X25519, der bereits in TLS eingesetzt wird, und dem Kyber-768-Algorithmus verwendet werden, der auf Methoden der Kryptographie basiert, die auf der Lösung von Gitterproblemen beruhen, wobei die Lösungszeiten sowohl auf klassischen als auch auf Quantencomputern ähnlich sind.
• Im Service für die automatische Unterdrückung von Anfragen zur Bestätigung von Berechtigungen (Permission Suggestions Service) wird die URL der Seite erfasst, die Berechtigungen anfordert (an Server Google werden Hashes der anfordernden Berechtigungs-URLs übermittelt).
• In der Android-Version wurde die Unterstützung für die Plattform Android 7.0 „Nougat“ eingestellt.
• Ein Framework zur Implementierung des Konzepts von Close-Anfragen wurde hinzugefügt, das es dem Benutzer ermöglicht, das Schließen von modalen und Popup-Dialogen durch Drücken der Esc-Taste, durch einen Wisch auf dem Bildschirm oder mit der „Zurück“-Taste auf Smartphones anzufordern. Die Unterstützung von Close-Anfragen wurde für Dialoge hinzugefügt, die mit dem Element
  oder der Eigenschaft „popover“ erstellt wurden. Zudem wurde die API CloseWatcher eingeführt, die es App-Entwicklern ermöglicht, Close-Anfragen zu verfolgen und darauf zu reagieren (z. B. kann ein Handler für die „Zurück“-Taste auf Android-Smartphones erstellt werden).
• Im Element
  wurde die Unterstützung für das Attribut „name“ hinzugefügt, das die Erstellung von Gruppen durch die Definition einer Serie von

  -Elementen mit demselben Namen ermöglicht.
• Die API für Media Session hat das Ereignis „enterpictureinpicture“ hinzugefügt, was es der Website ermöglicht, einen Handler zu registrieren, der beim Öffnen von Inhalten im „Bild-in-Bild“-Modus aufgerufen wird.
• Die Syntax für verschachtelte CSS-Blöcke wurde vereinfacht – verschachtelte CSS-Regeln können jetzt mit jedem Element beginnen, ohne dass das Zeichen „&“ vor der Regel angegeben werden muss oder die Funktion is() verwendet werden muss. dl { dt { /* Stil für dl dt */ } dd { /* Stil für dl dd */ } }
• Im CSS-Eigenschaft „background-clip“ wurde die Unterstützung für die Option „text“ hinzugefügt, um den gewählten Hintergrund nur im Bereich angezeigt zu bekommen, der durch die Textzeichen begrenzt ist. Zum Beispiel wird die Angabe „background: linear-gradient(60deg, red, yellow, red, yellow, red); background-clip: text; color: rgba(0, 0, 0, 0.2)“ zu folgender Anzeige führen:
• In CSS wurde der Medienabfrage „scripting“ hinzugefügt, der verwendet werden kann, um die Möglichkeit der Skriptausführung, z. B. in JavaScript, auf der aktuellen Seite zu bestimmen.
• In CSS wurde der Pseudoklasse „:dir()“ hinzugefügt, die erlaubt, Elemente basierend auf der Textausrichtung auszuwählen (z. B. „:dir(ltr)“ erfasst Elemente, in denen der Text von links nach rechts angezeigt wird).
• In CSS wurden die exponentiellen Funktionen pow(), sqrt(), hypot(), log() und exp() hinzugefügt.
• In CSS wurde die Unterstützung für die Eigenschaften mask, mask-image, mask-repeat, mask-position, mask-clip, mask-origin, mask-size, mask-composite und mask-mode hinzugefügt, um ein Element durch Überlagerung eines Bildes an bestimmten Punkten auszublenden.
• In der API FontFaceSet wurde die Methode check() hinzugefügt, die es ermöglicht zu überprüfen, ob Text mit den gewählten Schriftarten angezeigt werden kann, ohne dass Schriftarten aus FontFaceSet geladen werden, die noch nicht vollständig geladen sind.
• In der API WebGPU wurde die Möglichkeit zur Verwendung eines 16-Bit-Floating-Point-Typs f16 in Shadern hinzugefügt.
• In der API Media Capabilities wurden dem Methode decodingInfo() die Felder hdrMetadataType, colorGamut und transferFunction hinzugefügt, um die Unterstützung von HDR zu bestimmen.
• In der API MediaStreamTrack wurde die Möglichkeit hinzugefügt, Informationen über die Zähler der empfangenen und verworfenen Video-Frames abzurufen.
• Die Möglichkeit, ein ArrayBuffer-Objekt an die Konstruktoren VideoFrame, AudioData, EncodedVideoChunk, EncodedAudioChunk und ImageDecoder zu übergeben, wurde hinzugefügt, um das direkte Arbeiten mit dem Byte-Array ohne Erstellung einer Kopie zu ermöglichen.
• Um den Schutz vor XSS-Angriffen zu erhöhen und die Kompatibilität zwischen Browsern zu verbessern, wird die Unterstützung für die URL «data:» im SVGUseElement eingestellt, die zuvor nicht im WebKit-Engine unterstützt wurde.
• Es wurde eine experimentelle Unterstützung für den HTTP-Header «Priority» hinzugefügt, mit dem Informationen zur Priorität der Anfrageverarbeitung (RFC 9218) beim ersten Zugriff auf die Ressource übermittelt werden können.
• Die Tools für Webentwickler wurden verbessert. Im Debugger wird standardmäßig das Ignorieren von Skripten aus den Verzeichnissen «/node_modules/» und «/bower_components/» mit Node.js-Modulen aktiviert. Im Remote-Debugging-Modus wurde ein Schalter eingeführt, um zwischen Maus und Touchscreen zu wählen. Die Fehlerbehebung bei Animationen wurde verbessert. In der Elements-Panel wurde ein Schalter «media» zur Fehlerbehebung für die Elemente

In der neuen Version wurden neben neuen Funktionen auch 10 Sicherheitsanfälligkeiten behoben. Viele dieser Anfälligkeiten wurden durch automatisierte Tests mit den Werkzeugen AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer und AFL entdeckt. Kritische Probleme, die es ermöglichen, alle Sicherheitsebenen des Browsers zu umgehen und Code außerhalb der Sandbox-Umgebung auszuführen, wurden nicht gefunden. Im Rahmen des Belohnungsprogramms für das Entdecken von Sicherheitsanfälligkeiten hat Google für die aktuelle Version insgesamt 13 Prämien in Höhe von 15.000 US-Dollar ausgezahlt (eine Prämie von 10.000 $, eine Prämie von 2.000 $ und drei Prämien von je 1.000 $).

Quelle: opennet.ru